AI doet alsof het een persoon is. AI doet alsof het een relatie met je heeft. Dat is niet zo. En het gaat om sociaal vertrouwen. Op dezelfde manier vertrouw je je telefoon, je zoekmachine, je e-mailprovider. Het is een hulpmiddel en, zoals al die dingen, een behoorlijk onbetrouwbaar hulpmiddel. Toch? Je telefoon, je e-mailprovider, je socialmediaplatform. Ze bespioneren je allemaal, toch? Ze handelen allemaal tegen je beste belang in. Mijn zorg is dat AI hetzelfde zal zijn, dat AI in de kern wordt gecontroleerd door grote, winstgedreven bedrijven.
Bruce Schneier, Security Technologist
Belangrijkste bepalingen van de EU AI Act
De kernelementen van de EU AI Act zijn:
1. Risicogebaseerde classificatie
AI-systemen vallen in het algemeen onder vier hoofd-rubicaties in de EU AI Act:
- Onaanvaardbaar risico
- Hoog risico
- Beperkt risico
- Minimaal/geen risico.
Volgens het rapport van de Europese Commissie over de AI Act worden deze categorieën ingedeeld op basis van twee hoofdcriteria:
- De gevoeligheid van de betrokken gegevens
- De specifieke AI-usecase of toepassing
De vereisten verschillen per risicocategorie, waarbij het grootste deel van de tekst in de verordening betrekking heeft op hoogrisico-AI-systemen.
2. Vereisten voor hoogrisico-AI-systemen
Voor de hoogrisicocategorie stelt de EU AI Act eisen waaraan organisaties moeten voldoen om deze systemen binnen de EU-markt te mogen inzetten.
Deze omvatten:
- Een risicobeheersysteem voor de gehele levenscyclus van het systeem.
- Het opzetten van data governance-programma's om te waarborgen dat trainings-, validatie- en testdatsets relevant en voldoende representatief zijn. Het werk moet naar beste kunnen worden uitgevoerd om vrij te zijn van fouten en volledig te zijn volgens het beoogde doel.
- Technische documentatie vastleggen om bij beoordelingen de naleving aan de autoriteiten te kunnen aantonen.
- Het systeem zo ontwerpen dat automatisch gebeurtenissen worden vastgelegd die relevant zijn voor het identificeren van risico's op nationaal niveau en substantiële wijzigingen voor de administratie. Dit moet gedurende de gehele levenscyclus van het systeem gebeuren.
- Instructies voor gebruik verstrekken aan downstream-deployers om naleving mogelijk te maken.
- Ontwerpen zodat deployers menselijk toezicht kunnen implementeren.
- Ontwerpen om passende niveaus van nauwkeurigheid, robuustheid en cyberbeveiliging te bereiken.
- Een kwaliteitsmanagementsysteem voor naleving opzetten.
Deze zijn gespecificeerd onder Naleving van de vereisten (Art. 8–17).
Vereisten voor hoogrisico-AI-systemen - Gemaakt met Napkin.ai
Daarnaast verplicht de verordening organisaties ervoor te zorgen dat hun personeel en anderen die betrokken zijn bij de ontwikkeling of het gebruik van AI-systemen over voldoende AI-geletterdheid beschikken. Dit omvat begrip van de technologie, de toepassingen en de potentiële risico's.
Bedrijven zijn verantwoordelijk voor het bieden van passende training om ervoor te zorgen dat AI-systemen verantwoord en ethisch worden behandeld, in lijn met de specifieke contexten waarin ze worden gebruikt. Later in dit artikel bekijken we hoe DataCamp for Business je organisatie kan helpen om het niveau van AI-geletterdheid te verhogen.
3. Verboden AI-praktijken
De EU AI Act verbiedt expliciet bepaalde praktijken die als onaanvaardbaar worden beschouwd en extreme risico's voor individuen of de samenleving opleveren. Deze omvatten:
- AI-systemen die kwetsbaarheden van specifieke groepen uitbuiten (bijv. kinderen, personen met een handicap)
- Sociale scoring op basis van AI-analyse van gedrag
- Gebruik van subliminale technieken om gedrag te manipuleren
Deze praktijken zijn gespecificeerd onder Verboden praktijken (Art. 5).
Risicocategorieën onder de EU AI Act
De EU AI Act categoriseert AI-systemen in vier risiconiveaus—onaanvaardbaar risico, hoog risico, beperkt risico en minimaal of geen risico. Elke categorie kent eigen vereisten en regelgevende maatregelen. In het algemeen geldt: hoe hoger het risico, hoe zwaarder de verplichtingen.
Bron: Introduction to EU AI Act Course, DataCamp
1. Onaanvaardbaar risico
AI-systemen die als onaanvaardbaar risico voor de veiligheid of de rechten van mensen worden aangemerkt, zijn verboden. Voorbeelden zijn AI-toepassingen die menselijk gedrag manipuleren, kwetsbaarheden uitbuiten of sociale scoring door overheden mogelijk maken.
Volgens Artikel 5, Verboden AI-praktijken mogen deze systemen niet op de markt worden gebracht of gebruikt in de Europese Unie.
Hier is een samenvatting van de verboden AI-praktijken:
- Inzet van AI-systemen die menselijk gedrag, beslissingen of meningen manipuleren via subliminale technieken
- Gebruik van AI-systemen om kwetsbaarheden van bepaalde groepen uit te buiten (bijv. kinderen, oudere personen met een handicap)
- Inzet van sociale scoring op basis van AI-analyse van gedrag
- AI-modellen die natuurlijke personen of groepen van personen classificeren
- Het voorspellen van het risico dat een natuurlijke persoon een strafbaar feit pleegt
- Gebruik van AI-systemen die ongerichte scraping van gezichtsbeelden van internet of CCTV-beelden inzetten voor gezichtsherkenning
- Gebruik van AI om emoties van een natuurlijke persoon af te leiden op de werkplek en in onderwijsinstellingen
- Individuele categorisering van natuurlijke personen op basis van hun biometrische gegevens
- Gebruik van 'realtime' biometrische identificatiesystemen op afstand anders dan voor wetshandhavingsdoeleinden
2. Hoog risico
Een hoogrisico-AI-systeem is volgens de Classificatieregels voor hoogrisico-AI-systemen (Art. 6) een systeem dat bedoeld is als veiligheidscomponent van een product en dat een conformiteitsbeoordeling door een derde partij moet ondergaan.
Daarnaast wordt elk AI-systeem, zoals vermeld in Bijlage III, dat tot de volgende usecases behoort, ook als hoogrisico-AI-systeem beschouwd:
- Biometrie
- Kritieke infrastructuur
- Onderwijs
- Werkgelegenheid
- Essentiële diensten
- Wetshandhaving
- Migratie
- Justitie
3. Beperkt risico
AI-systemen die als "beperkt risico" worden geclassificeerd, brengen enige potentiële risico's voor individuen of de samenleving met zich mee, maar worden niet als hoogrisico of onaanvaardbaar beschouwd. Deze systemen vereisen niet de stringente regulatoire controle die voor hoogrisico-AI geldt, maar moeten wel voldoen aan specifieke transparantieverplichtingen.
Voor AI-systemen met beperkt risico vereist de verordening doorgaans dat aanbieders ervoor zorgen dat gebruikers weten dat ze met een AI-systeem interageren. Dit betekent bijvoorbeeld dat chatbots of andere AI-gestuurde interfaces duidelijk moeten aangeven dat de gebruiker met AI communiceert en niet met een mens. Deze maatregel voor transparantie is bedoeld om verwarring te voorkomen en gebruikers te informeren over de aard van de technologie waarmee ze interacteren.
Hoewel AI-systemen met beperkt risico aan deze transparantieverplichtingen zijn onderworpen, hoeven ze niet te voldoen aan de zwaardere nalevingseisen die gelden voor hoogrisicosystemen, zoals uitgebreide documentatie, risicobeheerprocessen of verplichte beoordelingen. Deze categorie is bedoeld om de noodzaak van gebruikersbewustzijn in balans te brengen met het stimuleren van innovatie, door ontwikkelaars en aanbieders niet te belasten met zware regelgeving.
AI-systemen die gebruikmaken van general purpose AI (GPAI), zoals GPT-4, Midjourney en Meta's LLaMA-modellen, worden in deze categorie ook gereguleerd.
Bron: Introduction to EU AI Act Course, DataCamp
Een GPAI-model is een AI-model dat is getraind met een grote hoeveelheid data via grootschalige zelfsupervisie, dat aanzienlijke generaliteit vertoont en een breed scala aan uiteenlopende taken kan uitvoeren met verschillende integraties met downstreamsystemen of -toepassingen.
Ongeacht de usecases van deze GPAI-modellen zijn de regels van de EU AI Act van toepassing.
Dit zijn de vereisten:
- Technische documentatie moet worden vastgelegd.
- Informatie en documentatie moeten aan downstream-aanbieders worden verstrekt.
- Er moet een beleid worden opgesteld om de Auteursrechtrichtlijn te respecteren.
- Er moet een gedetailleerde samenvatting worden geschreven van de inhoud die is gebruikt voor het trainen van het GPAI-model.
Meer informatie is te vinden in Artikel 53: Verplichtingen voor aanbieders van general-purpose AI-modellen.
Als de GPAI wordt aangemerkt als een general-purpose AI-model met systemisch risico, geldt een ander pakket verplichtingen volgens Artikel 55: Verplichtingen voor aanbieders van general-purpose AI-modellen met systemisch risico.
4. Minimaal risico
De categorie minimaal risico is een ongereguleerde categorie.
Enkele voorbeelden van dergelijke AI-systemen zijn:
- AI-ondersteunde videogames
- Spamfilters
Er is momenteel geen regelgeving voor AI-systemen binnen deze categorie in de EU AI Act.
Algehele impact op de AI-markt
De EU AI Act zal naar verwachting verstrekkende gevolgen hebben voor zowel individuen als organisaties. De verordening zal waarschijnlijk ook verder worden ingevuld door toekomstige EU-regelgeving onder de verordening en richtsnoeren van EU-toezichthouders.
Hier zijn enkele mogelijke effecten van de implementatie van de EU AI Act:
Voor ChatGPT/generatieve AI
Voor bestaande large language models met grote invloed op internetcontent en gebruikersgedrag, zoals OpenAI's ChatGPT, Google's Gemini, Meta's Llama 3.1 en Claude AI, kunnen strengere nalevingsmaatregelen vereist zijn om ethisch gebruik te garanderen. Dit kan leiden tot meer toezicht en beperkingen op hoe deze modellen mogen worden gebruikt, wat hun populariteit en winstgevendheid kan beïnvloeden.
Daarnaast moet OpenAI mogelijk zijn ChatGPT-model aanpassen om te waarborgen dat er geen verboden praktijken zijn zoals beschreven in Artikel 5 van de EU AI Act, mocht het onder een van de verboden usecases vallen.
Voor bedrijven
Deze nieuwe verordening zal ook veranderingen teweegbrengen bij bedrijven buiten dergelijke LLM-modellen.
Bedrijven die hoogrisico-AI-systemen ontwikkelen of gebruiken, moeten voldoen aan strikte eisen en testen ondergaan, wat kan leiden tot hogere nalevingskosten. Bedrijven moeten meer investeren in juridische en technische expertise om naleving te waarborgen. Daardoor aarzelen startups mogelijk om AI-modellen met risicovollere toepassingen te adopteren vanwege de nalevingskosten van AI-commercialisering.
Deze hoge kosten voor het opschalen van een AI-model kunnen leiden tot marktconcentratie bij "big tech"-bedrijven die de sector monopoliseren.
Een ander effect is de bescherming van bedrijfsgeheimen bij bedrijven met AI-modellen als kernproduct. Deze nieuwe verordening dwingt transparantie over de data die is gebruikt om AI-modellen te trainen, wat essentieel is voor de operatie van bedrijven.
Bovendien kunnen deze strikte wetten innovatie en de introductie van nieuwe technologieën op de Europese markt belemmeren. Zo hield Meta zijn nieuwste multimodale AI-model buiten de Europese Unie, wat wijst op mogelijke weerstand tegen innovatie.
Ondanks de uitdagingen biedt de verordening ook kansen voor innovatie. Deze nieuwe en heldere standaarden zorgen voor een gelijk speelveld voor bedrijven om AI-technologieën te ontwikkelen die aan ethische en veiligheidsnormen voldoen.
Organisaties die prioriteit geven aan naleving en ethische AI-praktijken kunnen een concurrentievoordeel behalen, vertrouwen opbouwen bij consumenten en zich positioneren als leiders in ethische AI. Deze differentiatie kan sociaal bewuste consumenten en investeerders aantrekken en zo de merkreputatie en het marktaandeel versterken.
Met deze veranderingen wordt de behoefte aan AI-geletterdheid echter nog groter, zoals we verderop bespreken.
Voor consumenten
Voor consumenten brengt de verordening de meeste voordelen op het gebied van:
- Meer transparantie en uitlegbaarheid van AI-systemen
- Groter vertrouwen in goedgekeurde AI-producten
- Betrouwbare bescherming tegen discriminerende AI-praktijken
- Een kanaal om zorgen te uiten
In de toekomst kunnen consumenten mogelijk naleving van de EU AI Act eisen van bedrijven die hoogrisico-AI-systemen ontwikkelen of gebruiken. Zo kunnen ze hun gegevensprivacy beschermen en ervoor zorgen dat hun persoonlijke informatie niet op onethische wijze wordt gebruikt.
Voor EU-lidstaten
EU-lidstaten moeten hun bestaande nationale regelgevende kaders aanpassen aan de nieuwe EU AI Act. De Europese Commissie kan ook specifiekere richtlijnen en aanwijzingen uitvaardigen voor lidstaten om te volgen.
Echter, zoals uiteengezet in een recent Reuters-bericht,
"De versnelde adoptie van AI vorig jaar heeft geholpen om Europa op koers te zetten om zijn Digital Decade-doelen te halen.”—Tanuja Randery, Managing Director bij AWS
Voor landen wereldwijd
De EU AI Act zal waarschijnlijk als mondiale standaard invloed hebben op AI-regulering. Als een van de eerste alomvattende AI-regelgevingskaders schept het een precedent dat andere regio's kunnen volgen. Bedrijven die internationaal actief zijn, moeten deze ontwikkelingen op de voet volgen om concurrerend te blijven.
Wanneer treedt de EU AI Act in werking? Implementatietijdlijn
Hier is een voorlopige tijdlijn voor de implementatie van de EU AI Act:
- 1 augustus 2024: Datum van inwerkingtreding van de AI Act
- 2 februari 2025: Verboden op bepaalde AI-systemen gaan gelden (Hoofdstuk 1 en Hoofdstuk 2). Vanaf dan gaan ook de eisen rond AI-geletterdheid gelden.
- 2 augustus 2025: De volgende regels gaan gelden: Aangemelde instanties (Hoofdstuk III, Afdeling 4), GPAI-modellen (Hoofdstuk V), Governance (Hoofdstuk VII), Vertrouwelijkheid (Artikel 78), Sancties (Artikelen 99 en 100)
- 2 augustus 2026: De rest van de AI Act gaat gelden, met uitzondering van Artikel 6(1).
- 2 augustus 2027: Artikel 6(1) en de overeenkomstige verplichtingen in de verordening gaan gelden.
Kortom, de verordening zal niet volledig zijn geïmplementeerd vóór 2027, waardoor bedrijven en lidstaten de tijd krijgen om zich aan te passen en aan de nieuwe regels te voldoen.
Voor een volledige tijdlijn, bezoek de EU AI Act Implementation Timeline.
EU AI Act: vereisten voor AI-geletterdheid
Naast het reguleren van hoe AI-modellen worden ontwikkeld, legt de EU AI Act ook nadruk op het trainen van personeel in AI-geletterdheid.
Volgens Hoofdstuk I: Algemene bepalingen, Artikel 4: AI-geletterdheid:
"Aanbieders en deployers van AI-systemen nemen maatregelen om, naar beste kunnen, een toereikend niveau van AI-geletterdheid te waarborgen bij hun personeel en andere personen die namens hen betrokken zijn bij de werking en het gebruik van AI-systemen, rekening houdend met hun technische kennis, ervaring, opleiding en training en de context waarin de AI-systemen worden gebruikt, en met inachtneming van de personen of groepen personen op wie de AI-systemen worden toegepast."
Kort gezegd betekent dit dat bedrijven moeten zorgen dat hun medewerkers en andere betrokkenen bij de ontwikkeling of het gebruik van AI-systemen voldoende zijn getraind in het begrijpen van de technologie, de toepassingen en de potentiële risico's.
Dit sluit aan bij wat we zagen in het DataCamp-rapport State of Data & AI Literacy Report 2024. 62% van de door ons ondervraagde leiders vindt AI-geletterdheid belangrijk voor de dagelijkse taken van hun teams. Evenzo noemde 70% van de leiders basiskennis van AI-concepten het belangrijkst voor hun team, waarmee ze het belang onderstrepen dat teams de kernprincipes achter AI-technologieën begrijpen.
Desondanks staan data- en AI-training binnen organisaties nog in de kinderschoenen. 26% van de leiders geeft aan geen enkele vorm van AI-training aan te bieden. Nog eens 26% van de leiders stelt dat AI-training alleen is voorbehouden aan technische rollen, terwijl slechts 18% dergelijke training uitbreidt naar niet-technisch personeel.
Zorgwekkend is dat slechts 25% van de leiders aangeeft dat hun organisatie een uitgebreid, organisatiebreed AI-geletterdheidsprogramma heeft.
Met DataCamp For Business kun je beginnen met het opzetten van een AI-geletterdheidsprogramma dat de noodzakelijke data- en AI-vaardigheden dekt om te zorgen dat je voldoet aan de EU AI Act, of je nu een team van 2 of van 10.000+ traint. Naast het werken met en bouwen van AI-tools kun je een uitgebreid trainingsprogramma creëren dat AI-ethiek, risicobeheer en het inzetten van AI-modellen omvat, te beginnen met ons vaardighedentraject EU AI Act Fundamentals.
