De vier risiconiveaus van de EU AI Act: wat bedrijven moeten weten

De EU introduceert met de AI Act een wetgevend kader dat bedrijven verplicht hun inzet van kunstmatige intelligentie te beoordelen op risico’s. Voor organisaties die AI inzetten of ontwikkelen, is het essentieel te weten onder welk risiconiveau hun toepassingen vallen.

In totaal zijn er vier risicogroepen rond de inzet van AI, weet Mathias Vermeulen, AI-expert bij Winston Wolfe. “Ten eerste minimaal risico. Die toepassingen mogen vrij gebruikt worden. Dan denk ik aan spamfilters, recommender systems of AI in videogames. Er gelden geen extra verplichtingen, al wordt transparantie wel aangemoedigd. Anders gezegd: voor standaard AI-tools zonder impact op fundamentele rechten geldt geen toezicht, maar ethisch gebruik blijft cruciaal. Net als het documenteren ervan, want klanten en stakeholders hechten steeds meer waarde aan transparantie.”

Duidelijke labeling

De tweede risicogroep is beperkt risico, waarbij de eerste wettelijke vereisten komen kijken. “Het betreft hier systemen die interactie aangaan met mensen, zoals chatbots of AI die deepfakes genereert”, gaat Vermeulen verder. “Gebruikers moeten geïnformeerd worden dat ze met een AI te maken hebben. Want zodra AI zich voordoet als mens, moet de gebruiker dat duidelijk weten. Dat is geen detail, maar een plicht. Voor bedrijven komt dit neer op duidelijke labeling, informatievoorziening en training van personeel die met deze systemen werken.”

Ten derde is er hoog risico, en dan komen we op het domein van strikte eisen en toezicht. “De categorie hoog risico is het meest relevant voor B2B-toepassingen”, duidt Vermeulen. “Dit omvat AI die invloed heeft op iemands leven, zoals systemen voor kredietbeoordeling, personeelsselectie, medische diagnose of kritieke infrastructuur. AI mag hier het besluit nemen, maar de mens moet de controle behouden – dat is de kern van hoogrisico-toepassingen.”

“Het bekendste voorbeeld is hier wellicht Amazon dat CV’s liet scannen door AI, dat echter menselijke vooroordelen overnam”, aldus Isabelle Borremans van VAIA (Vlaamse AI Academie). “Het systeem keek na verloop van tijd niet meer naar vrouwelijke kandidaten en schoof alleen mannen naar voor. Puur omdat er minder vrouwen in de historische database zaten. Voor de verduidelijking: dit kwam naar voor uit de testing, Amazon zegt het systeem nooit gebruikt te hebben.”

Serieuze boetes

Deze AI-toepassingen met hoog risico zijn weliswaar toegestaan, maar onder strenge voorwaarden, ten weten een risicobeoordeling vooraf, data governance en kwaliteitsbeheer, documentatie en traceerbaarheid, en ten slotte menselijk toezicht. “Bedrijven moeten hier hun AI-systemen registreren in een EU-database en ondergaan mogelijk audits”, aldus Vermeulen.

Last but not least zijn er de onaanvaardbare risico’s, en die komen neer op verboden toepassingen. Vermeulen: “Denk aan social scoring zoals in China, of AI die subliminale manipulatie gebruikt. Ook real-time biometrische surveillance in publieke ruimtes valt hieronder, behalve bij specifieke uitzonderingen. Wat de fundamentele rechten bedreigt, is per definitie geen markttoepassing in de EU. Voor ontwikkelaars en aanbieders betekent dit een duidelijke rode lijn. Met serieuze boetes bij overtreding, die kunnen oplopen tot 7 procent van de wereldwijde jaaromzet.”

Manipulatie menselijk gedrag

“In dit domein situeren we de typisch angstaanjagende voorbeelden die in de krant verschijnen”, aldus Isabelle Borremans. “Zoals we dat kennen in China, waar mensen afhankelijk van hun gedrag geen toegang meer krijgen tot vluchten of treinen. Of het voorbeeld van de film Minority Report, waarbij men voorspelt wie crimineel gedrag zal vertonen en die personen ‘preventief’ arresteert. Kortom, het gaat hier om de manipulatie van menselijk gedrag.”

Het is vooral belangrijk dat bedrijven hun verantwoordelijkheid opnemen en kijken welke AI-systemen ze inzetten. “Is er bijvoorbeeld sprake van shadow AI, waarbij departementen of medewerkers AI onder radar inzetten?”, aldus Borremans. “Dan kan je daar best klaarheid over scheppen: is het al dan niet risicovol, en zo ja, in welke mate? Op basis daarvan kan je vervolgens ethische richtlijnen uitschrijven. Wacht daar ook niet te lang mee, zelfs al zijn veel regels uit de EU AI Act nog niet afdwingbaar. En zorg ervoor dat iedereen bijleert over AI: door AI voldoende intelligent te gebruiken, ontmijnen we al veel risico’s.”