EU AI Act praktisch voor operations: wat u nu regelt, en wat later komt

Risico bepaalt de regels

De EU AI Act (Verordening 2024/1689) reguleert AI op basis van risico. Hoe hoger het risico van een toepassing, hoe zwaarder de eisen. Een handvol praktijken is verboden. Voor de meeste operationele toepassingen, zoals vraagvoorspelling, routeoptimalisatie of predictive maintenance, gaat het vooral om transparantie, menselijk toezicht en aantoonbaarheid. Belangrijk: het is geen alles-of-niets-verhaal. U hoeft niet te stoppen met AI, u moet het beheerst inzetten.

Wat al gold, wat sinds augustus 2026 geldt, en wat pas in 2027 komt

Sinds 2 februari 2025 is artikel 4 van kracht: organisaties die AI gebruiken moeten zorgen voor voldoende AI-geletterdheid bij hun medewerkers, passend bij hun organisatie en AI-gebruik, en aantoonbaar. Wat u wilt kunnen tonen is simpel: wie is getraind, waarin en wanneer. Een team dat 'wel iets met ChatGPT doet' zonder afspraken en zonder vastlegging, voldoet niet. Wat er precies wel en niet hoeft onder artikel 4 leest u in ons artikel over de AI-geletterdheidsplicht.

Sinds 2 augustus 2026 is de verordening grotendeels van toepassing. Voor operations betekent dat vooral één concrete nieuwe verplichting: communiceert een AI-systeem met mensen, dan moet dat kenbaar zijn (artikel 50). De zware eisen voor hoog-risicosystemen zijn met het omnibus-pakket verschoven naar 2 december 2027 (bijlage III) en 2 augustus 2028 (AI in gereguleerde producten), dus daar heeft u meer tijd voor dan eerder gedacht. De Autoriteit Persoonsgegevens en de RDI zijn de beoogde Nederlandse toezichthouders, al is de Uitvoeringswet nog niet in werking. Het omnibus-pakket verzacht de formulering van de geletterdheidsplicht, maar de kern blijft staan; wat er precies is gewijzigd, staat in ons artikel over de vereenvoudiging van de AI Act. Organisaties die het nu regelen, hoeven straks niets te repareren.

De praktische checklist voor operations

U hoeft hier geen juridische afdeling voor op te tuigen. Vier stappen brengen u ver:

• Inventariseer waar AI al wordt gebruikt. Dat is vaak meer dan u denkt: ChatGPT in e-mails, een planningstool met AI eronder, een leverancier die AI in een dienst heeft verwerkt. Zonder dit overzicht weet u niet wat u beheerst.
• Classificeer het risico per toepassing. De meeste operationele toepassingen zijn laag risico. Sommige, zoals AI rond personeel of veiligheid, vragen meer aandacht. Weet welke in welke categorie valt.
• Regel de AI-geletterdheid, passend bij de rol. Een planner die met AI-routes werkt heeft andere kennis nodig dan HR. Train gericht en leg vast wie wat heeft gehad.
• Houd menselijk toezicht en een audit-trail aan. Op kritieke stappen beslist en tekent de mens. Een spoor van wat AI voorstelde en wie bevestigde, maakt het verschil tijdens een controle of audit.

Niet op slot, wel beheerst

De grootste denkfout is dat de EU AI Act een rem is. In de praktijk dwingt de wet vooral tot wat goede operations toch al willen: weten waar AI zit, weten wie het gebruikt en kunnen laten zien dat het beheerst gebeurt. Dat is geen rapport voor de la, maar werkafspraken die uw operatie betrouwbaarder maken.

Hoe u verstandig begint

Begin met een korte inventarisatie en één concreet proces. Regel de AI-geletterdheid voor het team dat ermee werkt en leg het vast. Pak vervolgens één toepassing waar AI iets oplevert, met menselijk toezicht en een audit-trail vanaf dag één. Zo voldoet u aan artikel 4 en houdt u tegelijk iets werkends over, in plaats van een compliance-oefening die niemand gebruikt.