Nieuwe overheidsgidsen voor zelfstandigen om hun gebruik van AI aan te passen aan de Europese regelgeving

De regering heeft zojuist een verzameling gidsen en checklists ter beschikking gesteld van het MKB, bedoeld om hun werk te vergemakkelijken aanpassing aan de Europese Verordening Kunstmatige Intelligentie (ESTUARIUM). Dit is het eerste regelgevingskader op gemeenschapsniveau dat het gebruik van AI classificeert op basis van het digitale risico dat het met zich meebrengt voor de veiligheid, de gezondheid of de grondrechten.

Deze documentatie is specifiek verspreid via de staatssecretaris voor Digitalisering en het Spaanse Agentschap voor toezicht op de kunstmatige intelligentie (AESIA), en is afkomstig van de ontwikkeling van het Spaanse proefproject van het zogenaamde zandbak AI-regelgeving. Dat wil zeggen: een initiatief dat zoekt wettelijke verplichtingen vertalen naar concrete aspecten voor professionals.

1. Wat is de Europese Verordening Kunstmatige Intelligentie en waarom is dit van belang voor het MKB?
2. Overheidsgidsen voor het gebruik van AI in bedrijven
3. Hoe kan worden geëvalueerd of het gebruik van AI als “hoog risico” kan worden beschouwd?
4. Aanbevelingen voor naleving van regelgeving

Wat is de Europese Verordening Kunstmatige Intelligentie en waarom is dit van belang voor het MKB?

De RIA maakt in zijn tekst onderscheid tussen verboden gebruik van AI, gebruik waarvoor strengere verplichtingen gelden (zogenaamde ‘systemen met een hoog risico’, dit is wanneer ze automatische beslissingen nemen die aanzienlijke gevolgen kunnen hebben voor mensen, hun rechten of hun toegang tot diensten) en andere toepassingen met lichtere eisen.

Het belangrijkste aspect is dat het voor systemen met een “hoog risico” specifieke vereisten oplegt, zoals risicobeheer, transparantie, het bijhouden van gegevens en, in bepaalde gevallen, het uitvoeren van een voorafgaande conformiteitsbeoordeling. Aan de andere kant definieert de regelgeving een reeks criteria die bedrijven daarbij helpen Bepaal welke systemen in deze categorieën passen.

De relevantie van dit regelgevingskader houdt rechtstreeks verband met de toenemende implementatie van AI in het zakenleven van ons land. Niet voor niets, aldus de Enquête over het gebruik van ICT en elektronische handel Volgens het INE maakt ruim 20% van de bedrijven met tien of meer werknemers in 2025 al gebruik van op AI gebaseerde tools.

Hoewel het adoptievolume aanzienlijk varieert afhankelijk van de grootte van het bedrijf (met veel hogere niveaus in grote organisaties vergeleken met micro-ondernemingen), benadrukt dit cijfer de noodzaak om proportionele maatregelen te treffen die zijn aangepast aan elke realiteit. In het bijzonder wordt de noodzaak ervan benadrukt MKB-bedrijven beginnen zo snel mogelijk met het organiseren en documenteren van hun systemen om toekomstige problemen te voorkomen.

Overheidsgidsen voor het gebruik van AI in bedrijven

De gidsen gepubliceerd op de AESIA-website Het zijn praktische handleidingen die alles bestrijken, van de identificatie van risicovolle systemen tot incidentbeheer en technische transparantievereisten.

Deze documenten zijn opgesteld op basis van de werkzaamheden die in het bovengenoemde zijn uitgevoerd zandbak regelgeving, een gecontroleerde omgeving waarin het MKB, toezichthouders en andere actoren technologieën hebben getest met toezicht en reële marktomstandigheden. Het doel is niets anders dan innovatie te combineren met rechtszekerheid en extractie lessen die van toepassing zijn op het gehele productieve weefsel.

In die zin bestaat het essentiële startpunt voor elk bedrijf uit Identificeer en documenteer uw AI-systemenzodat beoordeeld kan worden of een specifiek instrument in die categorie “hoog risico” kan passen en welke verplichtingen daarop van toepassing zijn.

Voordat kmo’s de impact kunnen analyseren of controles kunnen implementeren, moeten zij dit eerst doen een duidelijk en overzichtelijk beeld van welke oplossingen zij gebruiken echt en hoe ze werken. In de praktijk gaat het bij dit werk om het verzamelen en structureren van informatie die vaak versnipperd is: welke tools met AI-componenten in de business worden gebruikt, welke functie ze vervullen, welke data ze verwerken, hoe ze integreren met andere systemen en of er externe leveranciers bij betrokken zijn.

Met andere woorden: het betekent beschrijf voor elk systeem het doel ervande soorten gegevens die worden verwerkt, de resultaten die het genereert, de actieve configuraties en wie de technische en operationele verantwoordelijkheid op zich neemt. Aan de andere kant impliceert het het vastleggen van de onderlinge verbindingen en mogelijke risicopunten.

Deze identificatie- en documentatieoefening is niet louter formeel, maar vormt de basis waarop de risicobeoordeling, de door de RIA vereiste traceerbaarheid en het vermogen om snel reageren op incidenten of toezichtvereisten.

Hoe kan worden geëvalueerd of het gebruik van AI als “hoog risico” kan worden beschouwd?

De regelgeving en handleidingen bieden criteria en voorbeelden die daarbij helpen de beoordeling van een AI-tool bepalen beton of het gebruik dat ervan wordt gemaakt. Systemen die bijvoorbeeld beslissingen over werk, toekenning van uitkeringen, kredietverlening, gezondheidsbeoordeling automatiseren of die werken op basis van biometrische gegevens worden vaak als een hoog risico beschouwd.

Daarnaast stelt de AESIA een inleidende gids beschikbaar zelfdiagnostische hulpmiddelen waarmee de functie van het systeem kan worden vergeleken met de lijsten in de regelgeving om het toepasselijke eisenniveau te bepalen.

Een illustratief geval is dat van een adviesbureau dat een AI-model gebruikt om de financieringsverzoeken van zijn klanten te beoordelen, een gebruik dat van invloed is op economische beslissingen van derden en die daarom als hoog risico kunnen worden aangemerkt.

In dit geval zou het raadzaam zijn om een ​​gedetailleerde risicobeoordeling uit te voeren, de gebruikte gegevensbronnen te documenteren, drempels in te stellen die menselijke beoordeling van het proces activeren en de contractuele clausules met de leverancier te controleren om de verantwoordelijkheden in geval van fouten te verduidelijken.

Aan de andere kant zou hetzelfde bedrijf een andere AI-tool kunnen gebruiken om het schrijven van documenten te automatiseren. In dat geval wel de potentiële impact wordt als gering beschouwdzou het voldoende zijn om kwaliteitscontroles en elementaire traceerbaarheidsmaatregelen in te voeren.

Aanbevelingen voor naleving van regelgeving

Als eerste controle (die een grondige technische analyse niet vervangt, maar een belangrijke eerste stap is), moeten bedrijven de volgende taken overwegen:

• Maak een volledige inventaris van alle oplossingen waarin AI is verwerkt, met details over de aanbieder, de rol die zij vervullen en de soorten gegevens die zij verwerken.
• Identificeer en analyseer mogelijke gevolgen van het systeem, vooral wanneer dat het geval is grondrechten aantastentoegang tot essentiële diensten of relevante economische beslissingen.
• Bereid een risicobeoordelingsdocument waarin de waarschijnlijkheid van storingen of schade en de potentiële impact ervan redelijkerwijs worden ingeschat.
• Onderhoud een bijgewerkte registratie van gegevensverwerkingmet vermelding van de toepasselijke rechtsgrondslagen en de aangenomen beschermingsmaatregelen.

• Wijs een persoon aan verantwoordelijk voor AI-beheersamen met een duidelijke procedure voor het beheren van incidenten, fouten of klachten.
• Onderhouden en beoordelen contracten met leverancierswaarbij bijzondere aandacht wordt besteed aan de clausules met betrekking tot verantwoordelijkheden, veiligheid en continuïteit van de dienstverlening.
• Definiëren controle- en monitoringprocedures waarmee de prestaties van het model kunnen worden gemonitord en afwijkingen of afwijkend gedrag kunnen worden gedetecteerd.