AI-geletterdheid is het verschil tussen beleid en boete.

Vraag eens rond bij je eigen collega’s: wie gebruikt AI? En voor welke taken? Maken ze producties, gebruiken ze bedrijfsgegevens  
Niet om "even iets te maken" maar voor documenten dat een klant of een collega te zien krijgt? Misschien wel met data erin. 

Vanaf augustus gaan tien Nederlandse markttoezichthouders Artikel 4 (AI-geletterdheid) en Artikel 5 (verboden praktijken) van de AI Act handhaven. Boetes lopen op tot miljoenen euros of 7% van de jaaromzet. “Ergens is in 2026” is nu. 

Waarom de AI Act er is 

De EU AI Act is in 2024 aangenomen omdat AI inmiddels overal in de samenleving zit, terwijl er nauwelijks regels waren over hoe je die systemen verantwoord inzet. Brussel wil drie dingen tegelijk oplossen: voorkomen dat mensen schade ondervinden van ondoorzichtige of discriminerende AI-besluiten, zorgen dat organisaties weten wat ze gebruiken en waarom, en de Europese markt één duidelijk speelveld geven in plaats van 27 nationale interpretaties.  

 De wet werkt risicogestuurd: hoe groter de impact van een toepassing op mensen, hoe zwaarder de eisen. Onaanvaardbare toepassingen zoals social scoring of manipulatieve systemen worden verboden. Voor de rest geldt: weet wat je inzet, leg het uit, en zorg dat je mensen ermee om kunnen gaan. Dat laatste is precies waar Artikel 4 over gaat, en waar de meeste organisaties nu tegenaan lopen. 

Verbieden is óók een keuze, maar geen slimme 

Geen AI gebruiken is op de korte termijn rustgevend. Maar onhoudbaar. Verbieden betekent dat mensen het onzichtbaar, of zelfs stiekem, tóch blijven gebruiken. De technologie is overall, je kunt er niet meer omheen. Strategisch zwak, omdat je concurrenten die er wél verstandig mee leren werken hun operationele kosten volgens recent onderzoek met 20 tot 30% verlagen. Dat verschil haal je over twee jaar niet meer in. 

Het alternatief is saaier maar werkbaar: AI niet als gereedschap maar als bedrijfsproces inrichten. Beleid. Training. Een lijst van toegestane tools. Basale logging. Periodieke evaluatie. 

Vergelijk het zo: niemand zou een nieuwe collega op dag één zonder uitleg toegang geven tot het CRM, de financiële administratie en het klantarchief. Waarom doen we dat dan wel met AI? 

Er is overigens een hardere ondergrens: de AI Act benoemt in artikel 5 acht praktijken die verboden zijn. Manipulatie of misleiding die gedrag verstoort. Het uitbuiten van kwetsbaarheden door leeftijd, beperking of sociaaleconomische situatie. Social scoring dat tot onevenredige nadelige behandeling leidt. Voorspellen van crimineel gedrag puur op basis van profilering of persoonlijkheidskenmerken. Het ongericht scrapen van gezichtsbeelden van internet of CCTV om herkenningsdatabases te bouwen. Emotieherkenning op de werkvloer en in het onderwijs. Biometrische categorisering naar ras, politieke opvatting, religie of seksuele geaardheid. En real-time biometrische identificatie in de openbare ruimte voor opsporing, op smalle uitzonderingen na. 

Dit zijn geen risicocategorieën die je met beleid kunt afdekken. Het loont om het lijstje eens langs je use-cases te leggen, zeker rond HR-tools die stemming of betrokkenheid meten, en rond camerasystemen. 

Geen taak maar een strategie 

Mij valt op dat veel MT’s de AI Act zien als een to-do item: “stuur even door naar Legal of de privacy-officer.” Begrijpelijk, maar er zit meer achter. 

De AVG ging over data die je hebt. De AI Act gaat over keuzes die je maakt. Welke processen automatiseer je. Welke beslissingen laat je door een model nemen. Hoe leg je dat aan klanten, medewerkers en toezichthouders uit. Dat zijn geen technische of juridische vragen. Dat zijn bestuursvragen. 

Een systeembeheerder kan inrichten dát er gelogd wordt. Een jurist kan toetsen óf de wettekst gevolgd is. Maar de keuze welk werk je door AI laat doen, daar moet iemand met verantwoordelijkheid antwoord op geven.  

Als jij als directeur, manager of afdelingshoofd vandaag niet kunt uitleggen waar AI in jouw organisatie wordt ingezet en waarom. Dan ben jij het risico. 

Wat verandert er voor je werknemers 

Voor je werknemers verandert er meer dan ze nu doorhebben. Ze worden verantwoordelijk gehouden voor het kunnen uitleggen van hun werk, óók het deel dat AI heeft gedaan. En ze hebben recht op duidelijkheid: welke tools mogen ze gebruiken, voor welk werk, en wat moeten ze melden als het misgaat. 

Zonder dat kader heb je geen AI-strategie. Je hebt ook zoiets als een ongeluk in slow-motion. 

Drie vragen voor de zomer 

Voor jou als ondernemer zijn er drie vragen die je vandaag al moet kunnen beantwoorden: 

1. Welke AI-tools worden er in mijn organisatie gebruikt?  

2. Wie heeft uitgelegd gekregen hoe ze ermee om horen te gaan? 

3. Wat doen we als er morgen iets misgaat? 

 De AI Act dwingt geen verandering af. Hij dwingt je alleen om eerder te beginnen dan je had gepland. Dat is ook precies wat ik in mijn rol als CISO iedere keer zie als er ergens een serieus probleem ontstaat. Niet omdat er iets onverwachts gebeurde maar omdat iets dat ooit in een la lag is doorgegroeid en nu niet meer past. 

De AI Act staat op artificialintelligenceact.eu. Het toezicht in Nederland is verdeeld. De AP en de RDI vervullen de coördinerende rol. Voor een datalek of privacy-incident dat samenhangt met AI loopt de melding zoals altijd via de AP. 

Helpen waar wij vinden dat het kan 

Binnen CBYTE richten we ons op AI die routinewerk versnelt zoals samenvattingen en analyses. Zo houden we de beslissingen over mensen, geld en veiligheid bewust bij een mens. Niet omdat de wet dat eist, maar omdat het de enige manier is om straks te kunnen uitleggen waarom wij doen wat we doen. 

Wil je dat concreet maken? Stel jezelf een paar praktische vragen. Op welke plek laat je AI meebeslissen: bij hele gevoelige beslissingen over mensen liever niet? Bij praktische routinevragen juist wél? Blijf wendbaar, zodat mensen niet om jouw en je beleid heen gaan werken.