Wat betekent de EU AI Act voor jouw mobiele app?
De AI Act (voluit: Verordening (EU) 2024/1689) is de eerste uitgebreide wetgeving ter wereld die specifiek over AI gaat. Voor apps met AI-functionaliteit betekent dit dat er, afhankelijk van wat die functionaliteit precies doet, concrete verplichtingen gelden of gaan gelden. En de tijdlijn is de afgelopen maanden veranderd: de zwaarste verplichtingen zijn uitgesteld, terwijl andere regels intussen al gewoon van kracht zijn.
Dit artikel zet uiteen wat de wet inhoudt, welke regels vandaag al gelden, welke zijn opgeschoven, en wat dat concreet kan betekenen voor jouw app.
Vooraf een duidelijk voorbehoud: dit artikel legt het raamwerk van de AI Act uit zoals dat momenteel geldt. Het is geen juridisch advies. Voor een definitieve classificatie van jouw specifieke app raden we aan een jurist of compliance-specialist te raadplegen.
Wat is de EU AI Act in het kort?
De AI Act is een Europese verordening die AI-systemen indeelt op basis van het risico dat ze vormen voor mensen en de samenleving. Hoe groter het risico, hoe zwaarder de verplichtingen. De wet maakt daarnaast onderscheid tussen de partij die een AI-systeem ontwikkelt (de "provider") en de partij die het inzet (de "deployer"), met voor beiden andere verantwoordelijkheden.
De verordening is sinds augustus 2024 in werking, maar wordt gefaseerd van toepassing. Dat gefaseerde karakter is precies waar het de afgelopen maanden spannend werd.
De actuele tijdlijn: wat geldt al, en wat is uitgesteld
Dit is het deel waar veel samenvattingen van de AI Act inmiddels achterhaald zijn. Begin 2026 leek 2 augustus 2026 de grote datum te worden waarop ook de verplichtingen voor hoog-risico AI zouden ingaan. Via de zogeheten Digital Omnibus on AI (Verordening (EU) 2026/1744, gepubliceerd 24 juli 2026 en van kracht sinds 27 juli 2026) is die deadline echter verschoven. Zo ziet de tijdlijn er nu uit:
- 2 februari 2025: de definities, de verboden praktijken en de verplichting om AI-geletterdheid bij personeel te stimuleren zijn ingegaan.
- 2 augustus 2025: de regels voor general purpose AI-modellen en de sanctieregels zijn ingegaan.
- 2 augustus 2026: de transparantieverplichtingen (artikel 50) zijn ingegaan, denk aan de plicht om AI-gebruik richting gebruikers herkenbaar te maken. Deze datum is inmiddels gepasseerd en de regels gelden dus al.
- 2 december 2027: de verplichtingen voor hoog-risico AI-systemen uit bijlage III (waaronder biometrie, werving en selectie, en bepaalde gezondheidstoepassingen) gaan in. Dit was oorspronkelijk 2 augustus 2026.
- 2 augustus 2028: de verplichtingen voor hoog-risico AI die is ingebouwd als veiligheidscomponent in gereguleerde producten (bijlage I) gaan in. Dit was oorspronkelijk 2 augustus 2027.
Belangrijk om te benadrukken: dit is uitstel, geen afstel. De inhoudelijke eisen aan hoog-risico AI blijven grotendeels ongewijzigd, organisaties krijgen alleen meer tijd om ze goed in te richten. Voor apps die mogelijk in de hoog-risico categorie vallen, is het dus nog steeds verstandig om nu al te beginnen met risicobeheer, documentatie en menselijk toezicht, ook al is de harde deadline verschoven.
De risicocategorieën van de AI Act
Los van de tijdlijn blijft de indeling in risicocategorieën het uitgangspunt van de wet.
Onaanvaardbaar risico (verboden sinds februari 2025)
Acht praktijken zijn simpelweg verboden. Voor mobiele apps relevant: het ongericht scrapen van internet of camerabeelden om gezichtsherkenningsdatabases op te bouwen of uit te breiden, emotieherkenning op de werkvloer of in onderwijsinstellingen, biometrische categorisering om beschermde kenmerken af te leiden, en realtime biometrische identificatie op afstand door wetshandhaving in publiek toegankelijke ruimtes.
Hoog risico (verplichtingen ingaand in 2027 en 2028)
Toepassingen die een serieus risico vormen voor gezondheid, veiligheid of grondrechten. Denk aan AI in veiligheidscomponenten van producten, AI voor werving en selectie, of AI-systemen voor biometrische identificatie, emotieherkenning en biometrische categorisering die niet onder de verboden categorie vallen. Voor deze systemen gaan strikte verplichtingen gelden voordat ze op de markt mogen: een risicobeoordeling, hoogwaardige trainingsdata om discriminerende uitkomsten te voorkomen, logging voor traceerbaarheid, uitgebreide documentatie, menselijk toezicht, en een bepaald niveau van robuustheid, cybersecurity en nauwkeurigheid.
Transparantierisico (verplicht sinds 2 augustus 2026)
Hier gaat het om de plicht om mensen te laten weten dat ze met AI te maken hebben. Gebruikers van een chatbot moeten weten dat ze met een machine praten. AI-gegenereerde content moet herkenbaar zijn, en bepaalde content (zoals deepfakes of AI-gegenereerde teksten over onderwerpen van publiek belang) moet duidelijk gelabeld worden. Van de vier categorieën is dit voor de meeste "gewone" apps met een AI-functie op dit moment de meest directe, want deze regels gelden al.
Minimaal of geen risico
De meeste AI-systemen die nu in de EU gebruikt worden vallen hieronder, zoals AI in videogames of spamfilters. Hiervoor gelden geen aanvullende wettelijke verplichtingen, al worden vrijwillige gedragscodes gestimuleerd.
Wat betekent dit voor een medische app?
AI-veiligheidscomponenten in producten worden expliciet genoemd als voorbeeld van hoog risico (de AI Act noemt zelf AI-toepassingen in robotgeassisteerde chirurgie). Voor medische apps specifiek speelt er een extra laag: deze vallen vaak ook onder de Medical Device Regulation (MDR), een aparte EU-wet voor medische hulpmiddelen. Hoe de AI Act en de MDR precies op elkaar inwerken voor een specifieke app, en hoe het uitstel van de hoog-risicoverplichtingen daarin doorwerkt, is iets wat we niet uit een algemene uitleg kunnen afleiden. Bouw je een medische app met AI-functionaliteit, dan is dit een van de eerste dingen die we samen met een specialist zouden uitzoeken.
Wat betekent dit voor gezichtsherkenning in een app?
Dit hangt sterk af van wat de functie precies doet. De verboden categorie richt zich op specifieke toepassingen: het opbouwen van gezichtsherkenningsdatabases door ongericht data te verzamelen, en realtime biometrische identificatie door wetshandhaving in publieke ruimtes. Een simpele functie als "ontgrendel je telefoon met je gezicht" is een andere toepassing dan deze verboden praktijken, maar valt mogelijk wel onder de bredere categorie AI-systemen voor biometrische identificatie die als hoog risico wordt genoemd, met een verplichtingsdatum in 2027 of 2028. Ook hier geldt: de exacte classificatie hangt af van hoe de functie precies werkt en wordt ingezet, en dat vraagt een specifieke beoordeling per app.
Wie is er verantwoordelijk: provider of deployer?
De AI Act maakt onderscheid tussen de partij die een AI-systeem ontwikkelt ("provider") en de partij die het inzet ("deployer"), met voor beiden andere verplichtingen. Voor een klant die een app laat bouwen betekent dit dat verantwoordelijkheden verdeeld kunnen zijn tussen het ontwikkelbureau en de klant zelf, afhankelijk van wie welke rol vervult. Ook dit is iets wat per project concreet ingevuld moet worden.
Wat dit voor jou betekent
Het uitstel van de hoog-risicoverplichtingen is geen reden om compliance voor je uit te schuiven. Een paar praktische aandachtspunten:
- Heeft je app een chatbot, AI-gegenereerde content of andere AI-functie die gebruikers direct raakt? Dan gelden de transparantieregels nu al.
- Vermoed je dat je app in de buurt komt van een hoog-risico toepassing (biometrie, werving en selectie, gezondheid)? Begin dan nu met risicobeheer en documentatie, ook al ligt de harde deadline in 2027 of 2028. Zo bouw je het in plaats van het er later met tijdsdruk bij te plakken.
- Ontwikkel je voor een klant? Bespreek vroeg in het traject wie welke rol vervult (provider of deployer), zodat verantwoordelijkheden helder zijn voordat de app live gaat.
We denken hier vanaf het begin over mee, zodat compliance geen losse stap achteraf wordt maar onderdeel is van hoe de app wordt opgezet.
Twijfel je waar jouw AI-functie onder valt?
Neem contact met ons op, of begin gewoon met een kop koffie, dan denken we mee.
Lees verder
Alle artikelen