EU KI-wet: wat nou van toepassing is en wat uitgestel word

Die EU-KI-wet, Regulasie (EU) 2024/1689, is in fases van toepassing sedert dit op 1 Augustus 2024 in werking getree het: die verbod, die reëls vir algemene KI-modelle en die deursigtigheidspligte vir kletsbotte en KI-gegenereerde inhoud is reeds van toepassing. Die strengste regime, vir hoërisiko-KI, is deur die KI-Omnibus uitgestel tot 2 Desember 2027 vir die stelsels wat in Aanhangsel III gelys word en tot 2 Augustus 2028 vir KI in gereguleerde produkte.

Die KI Omnibus, Regulasie (EU) 2026/1744, is in Julie 2026 in die Amptelike Tydskrif gepubliseer en is nou van krag. Die uitgestelde datums is dus vaste reg, nie 'n beplanningsaanname nie. Hieronder verduidelik ons ​​wat die KI-wet vereis, wie dit bind, wat vandag van toepassing is en hoe u kan voorberei.

Wat is die EU KI-wet?

Die KI-wet is 'n risikogebaseerde EU-regulasie: hoe hoër die risiko wat 'n KI-stelsel inhou, hoe swaarder die verpligtinge. Dit is direk in Nederland van toepassing, sonder die behoefte aan Nederlandse implementeringswetgewing vir die kernreëls.

Die doel is tweeledig. Die Wet beskerm gesondheid, veiligheid en fundamentele regte, en dit gee besighede regsekerheid sodat betroubare KI ontwikkel en oor die interne mark gebruik kan word.

Die Wet definieer 'n KI-stelsel breedweg, in lyn met die OESO-benadering. Dit is 'n masjiengebaseerde stelsel wat met 'n mate van outonomie werk, kan aanpas nadat dit ontplooi is en, uit die insette wat dit ontvang, aflei hoe om uitsette te genereer soos voorspellings, inhoud, aanbevelings of besluite wat fisiese of virtuele omgewings kan beïnvloed. Hierdie breë definisie omvat moderne masjienleermodelle, insluitend generatiewe en algemene KI. Eenvoudige reëlgebaseerde sagteware wat slegs instruksies volg wat deur mense geskryf is, val gewoonlik daarbuite.

Is die KI-wet op u organisasie van toepassing?

Waarskynlik, as jy KI-stelsels in 'n professionele konteks in die EU ontwikkel, verkoop of gebruik. Die Wet bereik ook maatskappye buite die EU wanneer hul stelsel op die EU-mark geplaas word of die uitset daarvan in die EU gebruik word.

'n Amerikaanse of Britse maatskappy wat Europese kliënte bedien, kan dus binne die bestek val. Die Wet onderskei verskeie rolle, elk met sy eie pligte:

• Verskaffers ontwikkel 'n KI-stelsel of 'n algemene KI-model en plaas dit op die mark of neem dit in gebruik onder hul eie naam of handelsmerk. Hulle dra die swaarste verpligtinge.
• Ontplooiers gebruik 'n KI-stelsel onder hul gesag in 'n professionele konteks, byvoorbeeld 'n werkgewer wat 'n KI-instrument gebruik om werksaansoekers te keur. Suiwer persoonlike, nie-professionele gebruik val buite hierdie pligte.
• Invoerders en verspreiders bring 'n derdeparty-stelsel op die EU-mark of maak dit verder af in die voorsieningsketting beskikbaar, en moet seker maak dat die verskaffer sy verpligtinge nagekom het.
• Produkvervaardigers en, in sommige gevalle, gemagtigde verteenwoordigers van nie-EU-verskaffers kan verskafferverpligtinge aanneem.

Jou rol kan verander. 'n Ontplooier wat 'n hoërisiko-stelsel wesenlik wysig, of dit onder sy eie naam bemark, word 'n verskaffer en neem die strenger pligte oor. Gaan dit na voordat jy 'n stelsel wat van 'n verskaffer gekoop is, aanpas.

Hoe klassifiseer die KI-wet risiko?

Die Wet werk met vier vlakke van risiko: verbode praktyke, hoë risiko, beperkte risiko met deursigtigheidspligte en minimale risiko. Die vlak hang af van die doel waarvoor jy die stelsel gebruik, nie van die tegnologie daaragter nie.

Verbode praktyke

Sommige gebruike word heeltemal verbied kragtens Artikel 5, en daardie verbod geld sedert 2 Februarie 2025. Dit sluit in manipulerende of misleidende tegnieke wat gedrag wesenlik verdraai en beduidende skade veroorsaak, en die uitbuiting van kwesbaarhede wat verband hou met ouderdom, gestremdheid of sosio-ekonomiese situasie. Ook verbied is sosiale telling, ongeteikende skraap van gesigbeelde om herkenningsdatabasisse te bou, emosieherkenning in die werkplek en in die onderwys (behalwe vir mediese of veiligheidsredes), en biometriese kategorisering wat sensitiewe eienskappe soos godsdiens of seksuele oriëntasie aflei.

Intydse afstandbiometriese identifikasie in openbare ruimtes vir wetstoepassing is verbode, onderhewig aan noue uitsonderings met voorsorgmaatreëls. Die KI-Omnibus voeg 'n nuwe verbod by op KI-stelsels wat materiaal van seksuele misbruik van kinders of nie-toestemmende intieme beelde van identifiseerbare mense genereer.

Hoë risiko

Hoërisiko-stelsels word toegelaat, maar streng gereguleer. Daar is twee groepe. Aanhangsel I dek KI wat 'n veiligheidskomponent is van, of self 'n produk is wat reeds deur EU-produkwetgewing gereguleer word, soos mediese toestelle, masjinerie, hysbakke en speelgoed. Aanhangsel III lys losstaande gebruike in sensitiewe gebiede: biometrie, kritieke infrastruktuur, onderwys, indiensneming en werkersbestuur, toegang tot noodsaaklike openbare en private dienste soos krediet en versekering, wetstoepassing, migrasie en grensbeheer, en die administrasie van geregtigheid en demokratiese prosesse.

'n Stelsel wat in Aanhangsel III gelys word, is nie hoërisiko as dit slegs 'n nou prosedurele of voorbereidende taak verrig en nie die uitkoms van 'n besluit wesenlik beïnvloed nie. Daardie uitsondering word streng gestel, en 'n verskaffer wat daarop staatmaak, moet sy assessering dokumenteer.

Beperkte risiko: deursigtigheid

Sommige stelsels is nie hoërisiko nie, maar kan mense mislei. Hulle dra deursigtigheidspligte kragtens Artikel 50. Mense moet ingelig word wanneer hulle met 'n kletsbot interaksie het, KI-gegenereerde of gemanipuleerde inhoud moet bekend gemaak en gemerk word, en mense moet ingelig word wanneer hulle blootgestel word aan toegelate emosieherkenning of biometriese kategorisering.

Minimale risiko

Meeste KI, soos strooiposfilters, aanbevelingsenjins en KI in videospeletjies, val in hierdie kategorie. Die Wet plaas geen spesifieke verpligtinge hier nie, alhoewel vrywillige gedragskodes aangemoedig word, en die algemene KI-geletterdheidsplig in Artikel 4 geld steeds.

Wanneer is die verpligtinge van toepassing?

Die Wet geld in fases. Die verbod, die KI-geletterdheidsplig, die reëls vir algemene KI en die deursigtigheidspligte geld reeds; die hoërisiko-reëls volg in Desember 2027 en Augustus 2028.

Twee praktiese punte volg. Eerstens, die deursigtigheidspligte is nie 'n toekomstige bekommernis nie: hulle geld sedert 2 Augustus 2026. Slegs verskaffers van generatiewe KI-stelsels wat reeds voor daardie datum op die mark was, het tot 2 Desember 2026 om aan die masjienleesbare merkvereiste te voldoen. Stelsels wat vanaf 2 Augustus 2026 op die mark geplaas word, het geen grasietydperk nie.

Tweedens, die ekstra tyd vir hoërisiko-KI is 'n uitstel, nie 'n vrystelling nie. Die substantiewe verpligtinge het nie verander nie, en die bou van 'n tegniese lêer, 'n risikobestuurstelsel en menslike toesig neem maande. Dit maak sin om nou te begin.

Wat moet verskaffers, ontplooiers en invoerders doen?

Verskaffers van hoërisiko-stelsels dra die hooflas en moet ooreenstemming bewys voordat die stelsel die mark bereik. Ontplooiers moet die stelsel behoorlik gebruik, dit toesig hou en die mense wat geraak word, inlig.

Verskaffers van hoërisiko-stelsels moet 'n risikobestuurstelsel opstel wat die hele lewensiklus dek, databeheer toepas op opleidings-, validerings- en toetsdata, en tegniese dokumentasie opstel en onderhou. Hulle moet die stelsel ontwerp vir outomatiese logging, duidelike instruksies vir gebruik gee, effektiewe menslike toesig moontlik maak en toepaslike akkuraatheid, robuustheid en kuberveiligheid bereik. Voordat die stelsel op die mark geplaas word, voer hulle die ooreenstemmingsbeoordeling uit, stel 'n EU-verklaring van ooreenstemming op, heg die CE-merk aan en registreer die stelsel in die EU-databasis. Daarna monitor hulle die stelsel op die mark en rapporteer ernstige voorvalle.

Ontplooiers van hoërisiko-stelsels moet die stelsel gebruik in ooreenstemming met die verskaffer se instruksies, menslike toesig aan bevoegde personeel toewys, seker maak dat die invoerdata relevant is, die werking monitor en die logboeke hou. Waar nodig, moet hulle die mense wat geraak word, inlig. Openbare liggame en sekere private ontplooiers, byvoorbeeld in kredietgradering en versekeringsprysbepaling, moet 'n impakstudie van fundamentele regte uitvoer. Werkgewers moet werkers en hul verteenwoordigers inlig voordat hulle 'n hoërisiko-stelsel in die werkplek in gebruik neem.

Invoerders en verspreiders moet seker maak dat die verskaffer die ooreenstemmingsbeoordeling, die dokumentasie en die CE-merk voltooi het voordat hulle 'n stelsel beskikbaar stel. Indien hulle glo dat 'n stelsel nie voldoen nie, mag hulle dit nie verskaf nie en moet hulle die verskaffer en, waar relevant, die owerhede in kennis stel.

Die KI-geletterdheidsplig in Artikel 4 is van toepassing op alle verskaffers en ontplooiers. Die KI-Omnibus het die bewoording versag: organisasies moet nou maatreëls tref om 'n voldoende vlak van KI-geletterdheid onder hul personeel te ondersteun. Die verwagting dat mense wat met KI werk, verstaan ​​wat dit doen en waar dit verkeerd kan gaan, bly bestaan.

Watter tegniese vereistes is van toepassing op hoërisiko-KI?

'n Verskaffer moet sewe dinge kan aantoon: risikobestuur, datakwaliteit, tegniese dokumentasie, logging, deursigtigheid, menslike toesig, en akkuraatheid, robuustheid en kuberveiligheid. Saam vorm hulle die bewyse vir die ooreenstemmingsbeoordeling.

Risikobestuur moet 'n gedokumenteerde en herhaalde proses wees, nie 'n eenmalige oefening nie. Die data wat gebruik word, moet geskik wees vir die beoogde doel, met aandag aan vooroordeel en verteenwoordigendheid. Die tegniese dokumentasie moet gedetailleerd genoeg wees vir 'n owerheid om voldoening te beoordeel. Gebeure moet outomaties aangeteken word sodat die stelsel se werking nagespoor kan word.

Die gebruiksaanwysings moet die ontplooier in staat stel om die stelsel korrek te verstaan ​​en te gebruik. Menslike toesig moet in die stelsel ontwerp word sodat 'n persoon die uitset kan verstaan, ingryp en die stelsel kan stop. Laastens moet die verskaffer 'n toepaslike vlak van akkuraatheid, robuustheid en kuberveiligheid demonstreer. In die praktyk is dit die materiaal wat 'n reguleerder eerste sal vra om te sien.

Wat geld vir algemene KI-modelle?

Verskaffers van algemene KI (GPAI) modelle het sedert 2 Augustus 2025 hul eie verpligtinge. Modelle met sistemiese risiko staar bykomende pligte in die gesig.

Ingevolge Artikels 53 tot 55 moet alle GPAI-verskaffers tegniese dokumentasie onderhou, 'n voldoende gedetailleerde opsomming van die inhoud wat vir opleiding gebruik word, publiseer, 'n beleid hê om aan EU-kopieregwetgewing te voldoen en inligting te gee aan die maatskappye wat op die model voortbou. Verskaffers van modelle met sistemiese risiko moet ook hul modelle evalueer, insluitend teenstrydige toetsing, sistemiese risiko's assesseer en verminder, ernstige voorvalle opspoor en rapporteer, en sterk kuberveiligheid verseker. Die nakoming van die amptelike Algemene Doel KI-gedragskode is 'n erkende manier om voldoening te toon. Die KI-kantoor van die Europese Kommissie hou direk toesig oor hierdie verskaffers.

Watter deursigtigheidspligte geld nou?

Sedert 2 Augustus 2026 vereis Artikel 50 dat mense weet wanneer hulle met KI te doen het. Dit geld vir kletsbotte, KI-gegenereerde inhoud en diepnamaaksels, en vir emosieherkenning en biometriese kategorisering.

Verskaffers van kletsbotte en gespreksagente moet duidelik maak dat die gebruiker met 'n masjien interaksie het, tensy dit voor die hand liggend is. Verskaffers van stelsels wat sintetiese klank, beelde, video of teks genereer, moet die uitvoer in 'n masjienleesbare formaat merk sodat dit as kunsmatig opgespoor kan word. Ontplooiers wat diep vervalsings publiseer, moet openbaar maak dat die inhoud kunsmatig gegenereer of gemanipuleer is, en ontplooiers wat KI-gegenereerde teks oor sake van openbare belang publiseer, moet dit openbaar maak tensy 'n persoon dit hersien het en redaksionele verantwoordelikheid dra. Ontplooiers van toegelate emosieherkenning of biometriese kategorisering moet die mense wat daaraan blootgestel is, inlig.

Indien jy reeds generatiewe KI-funksies aanbied, beskou 2 Desember 2026 as 'n harde sperdatum vir die merk van uitsette van stelsels wat voor 2 Augustus 2026 op die mark was.

Wat is die boetes ingevolge die KI-wet?

Ingevolge Artikel 99 kan boetes tot 35 miljoen euro of 7% van die wêreldwye jaarlikse omset vir verbode praktyke beloop. Vir klein en mediumgrootte ondernemings geld die laagste van die twee bedrae.

• Verbode praktyke (Artikel 5): tot 35 miljoen euro of 7% van die wêreldwye jaarlikse omset, wat ook al die hoogste is.
• Oortredings van die meeste ander verpligtinge, insluitend die hoërisikovereistes en die deursigtigheidspligte: tot 15 miljoen euro of 3% van die wêreldwye jaarlikse omset.
• Verskaffing van verkeerde, onvolledige of misleidende inligting aan aangemelde liggame of owerhede: tot 7.5 miljoen euro of 1% van die wêreldwye jaarlikse omset.

Vir KMO's en nuwe ondernemings word die boete beperk tot die laagste van die vaste bedrag en die persentasie. Die KI Omnibus brei 'n aantal van hierdie verligtings uit na klein middelkapitalisasiemaatskappye. Boetes is nie die enigste instrument nie: marktoesigowerhede kan korrektiewe stappe vereis, die beskikbaarstelling van 'n stelsel beperk of verbied, en die onttrekking of herroeping daarvan gelas.

Hoe hou die KI-wet verband met die GDPR en die Kuberbeveiligingswet?

Die KI-wet kom bo-op bestaande wetgewing. Indien u KI-stelsel persoonlike data verwerk, is die AVG ten volle van toepassing, en indien u noodsaaklike of belangrike dienste lewer, is die Nederlandse kuberveiligheidswetgewing ook van toepassing.

Ingevolge die AVG benodig jy 'n wettige basis, jy moet doelbeperking en die regte van die betrokke persoon respekteer, en jy moet dikwels 'n impakstudie op databeskerming (DPIA) uitvoer. Die impakstudie op fundamentele regte onder die KI-wet en die DPIA oorvleuel, daarom is dit doeltreffend om hulle saam uit te voer.

Die Wet op Kuberveiligheid (Cyberbeveiligingswet), wat die EU NIS2-richtlijn implementeer, is sedert 15 Augustus 2026 in Nederland van toepassing. Dit voeg pligte by oor risikobestuur en voorvalrapportering vir noodsaaklike en belangrike entiteite, wat die KI-wet se vereistes oor robuustheid en sekuriteit versterk. Behandel hierdie stelsels as een voldoeningsprogram eerder as drie afsonderlike projekte: dit bespaar moeite en vermy teenstrydige beheermaatreëls.

Wie handhaaf die KI-wet in Nederland?

Algemene KI-modelle word deur die KI-kantoor in Brussel toesig gehou; alles anders word deur nasionale marktoesigowerhede afgedwing. In Nederland is die wet wat daardie owerhede aanwys steeds onderhewig aan die wetgewende proses.

Op EU-vlak hou die KI-kantoor binne die Europese Kommissie direk toesig oor algemene KI-modelle en ontwikkel riglyne en praktykkodes. Dit werk saam met die Europese Raad vir Kunsmatige Intelligensie, waarin die lidstate verteenwoordig is, en met 'n onafhanklike wetenskaplike paneel. Die KI-omnibus het die KI-kantoor se bevoegdhede uitgebrei na KI-stelsels gebaseer op 'n verskaffer se eie GPAI-model en na KI wat in baie groot aanlynplatforms en soekenjins geïntegreer is. Aangemelde liggame voer ooreenstemmingsbeoordelings van derde partye uit waar die Wet dit vereis.

Die KI-Wet is direk van toepassing, dus is besighede reeds gebonde aan die dele wat van toepassing is. Die Nederlandse wet wat die toesighouers en hul bevoegdhede aanwys, het egter nog nie in werking getree nie, en die finale toewysing kan nog verander. Die model wat tot dusver voorgestel is, is 'n hibriede een. Bestaande sektorreguleerders word marktoesigowerhede in hul eie velde, dus val gesondheidsorg-KI onder die gesondheidsorginspektoraat en KI in die werkplek onder die arbeidsinspektoraat. Die Nederlandse Databeskermingsowerheid (Autoriteit Persoonsgegevens, AP) en die Nederlandse Owerheid vir Digitale Infrastruktuur (Rijksinspectie Digitale Infrastructuur, RDI) het koördinerende rolle, met die AP wat as die oorblywende toesighouer optree vir hoërisiko-stelsels wat geen duidelike sektorreguleerder het nie.

Vir besighede is die praktiese vraag dus nie net of 'n stelsel hoërisiko is nie, maar ook watter reguleerder daarna sal kyk.

Watter wanopvattings moet jy vermy?

Vyf misverstande kom in byna elke eerste gesprek oor die KI-wet na vore. Elkeen van hulle lei daartoe dat organisasies moeite op die verkeerde plek bestee.

Die eerste is dat die Wet KI in die algemeen verbied of lisensieer. Dit doen nie een van die twee nie. Wat die swaar regime veroorsaak, is die doel wat die stelsel dien, nie die tegnologie daaragter nie.

Die tweede is dat 'n menslike handtekening die hoërisiko-etiket verwyder. Dit doen nie. Die uitsondering vir nou prosedurele of voorbereidende take word streng gestel. 'n Instrument wat werksaansoekers rangskik of lêers vir nadere hersiening kies, beïnvloed die besluit selfs al teken 'n persoon af. 'n Rubberstempel is nie menslike toesig nie en haal nie 'n stelsel uit Aanhangsel III nie.

Die derde is dat slegs ontwikkelaars gereguleer word. Ontplooiersverpligtinge is werklik en afdwingbaar teen die organisasie wat die stelsel gebruik. Verskeie daarvan, soos om werkers en hul verteenwoordigers in te lig, bevoegde toesig toe te ken en logboeke te hou, kan nie aan die verskaffer oorgedra word nie.

Die vierde is dat alles wat reeds in gebruik is, vrygestel is. Ingevolge Artikel 111 word hoërisiko-stelsels wat op die mark geplaas word voordat die hoërisiko-reëls van toepassing is, in beginsel slegs gevang as hul ontwerp daarna aansienlik verander. Daardie uitsondering is enger as wat dit klink: opdaterings, heropleiding en nuwe gebruike is presies die soort verandering wat 'n stelsel weer binne die bestek bring. Stelsels wat deur openbare owerhede gebruik word, moet ongeag teen 2 Augustus 2030 voldoen. As u van plan is om op die oorgangsreël staat te maak, dokumenteer die huidige konfigurasie nou.

Die vyfde is dat die KI-wet bestaande wetgewing vervang. Dit sit bo-op dit. Databeskerming, gelyke behandelingswetgewing, verbruikerswetgewing, sektorregulering, arbeidswetgewing en die regte van die ondernemingsraad (ondernemingsraad) bly ten volle van toepassing. In Nederland is dit gewoonlik een van daardie, nie die KI-wet self nie, wat die eerste konkrete klagte oplewer. Ingevolge Artikel 27(1)(l) van die Wet op Ondernemingsrade (Wet op de ondernemingsraden) vereis die instelling van 'n stelsel vir die monitering van personeel byvoorbeeld die ondernemingsraad se toestemming.

Hoe berei jy jou voor vir die KI-wet?

Begin met 'n inventaris van die KI wat jy verskaf of gebruik, en bepaal per stelsel die risikovlak en jou rol. Hanteer dan eers verbode gebruike en deursigtigheid, want daardie reëls geld reeds.

• Lys elke KI-stelsel wat jy verskaf of gebruik, insluitend KI wat in derdeparty-sagteware ingebou is.
• Klassifiseer elke stelsel: verbode, hoë risiko, deursigtigheidsplig of minimale risiko.
• Bepaal jou rol vir elke stelsel: verskaffer, ontplooier, invoerder of verspreider.
• Stop enige gebruik wat onder die Artikel 5-verbod val.
• Pas die deursigtigheidsmaatreëls toe vir kletsbotte, diepvalse en KI-gegenereerde inhoud, en beplan die nasien van uitsette voor 2 Desember 2026.
• Vir hoërisiko-stelsels, bou die tegniese lêer, risikobestuur en menslike toesig voor Desember 2027.
• Gaan die GPAI-verpligtinge na indien u algemene doelmodelle ontwikkel of wesenlik wysig.
• Neem maatreëls om KI-geletterdheid onder die betrokke personeel te ondersteun.
• Rig jou DPIA's, impakassesserings van fundamentele regte en sekuriteitsmaatreëls in lyn met die GDPR en die Kuberbeveiligingswet.
• Ken eienaarskap, dokumentasie en monitering toe, en hou jou rekords gereed vir 'n oudit.

Betrek die ondernemingsraad vroegtydig indien KI werknemers raak. Die toestemming daarvan mag vereis word, en 'n laat versoek om toestemming kan die bekendstelling van 'n stelsel met maande vertraag.

In opsomming

• Die EU-KI-wet (Verordening (EU) 2024/1689) is sedert 1 Augustus 2024 van krag en is in fases van toepassing.
• Die verbod, KI-geletterdheid, GPAI-reëls en deursigtigheidspligte geld reeds; die nasien van uitsette van ouer generatiewe stelsels moet teen 2 Desember 2026 voltooi wees.
• Die KI Omnibus (Verordening (EU) 2026/1744) het die hoërisiko-reëls uitgestel tot 2 Desember 2027 (Aanhangsel III) en 2 Augustus 2028 (Aanhangsel I).
• Boetes styg tot 35 miljoen euro of 7% van die wêreldwye omset; vir KMO's geld die laer bedrag.
• Die KI-wet kom bo-op die AVG, die Kuberbeveiligingswet en arbeidswetgewing; beplan nakoming as een program.

Algemene vrae

Die tegnologie- en privaatheidsadvokate by Law & More help verskaffers en ontplooiers om hul stelsels te klassifiseer, verbode of nie-voldoenende gebruike aan te pas, aan die deursigtigheidspligte te voldoen en voor te berei vir die hoërisiko-reëls, in lyn met die AVG. Jy kan die volledige teks van die lees KI-wet op EUR-Lex, En ons indeks van Nederlandse IT- en privaatheidsreggidse lys alles wat ons oor hierdie onderwerp geskryf het. Is jy nie seker waar jy staan ​​nie? Vertel ons van jou situasie. Ons sal jou binne een werksdag van jou opsies laat weet.

Hoe Law & More kan jou hiermee help, word op ons verduidelik IT-prokureur bladsy.