De vier risiconiveaus van de EU AI Act: dit is wat ze betekenen

AI is niet meer weg te denken in de bouw- en infrasector. Een tool die documenten samenvat, een systeem dat planningen optimaliseert of een assistent die offertes helpt schrijven; de mogelijkheden zijn eindeloos. Maar weet je ook welke spelregels daarvoor gelden? De EU AI Act verdeelt alle AI-toepassingen in vier risiconiveaus, elk met eigen verplichtingen. Weten waar jouw tools onder vallen is niet alleen een juridische kwestie; het is de basis voor verantwoorde inzet.

De vier niveaus die elke organisatie moet kennen

De EU AI Act werkt met een risicogebaseerde aanpak. Hoe groter de potentiële impact van een AI-toepassing op mensen, hoe strenger de eisen. Hieronder lees je wat elk niveau betekent, ook voor organisaties in de bouwsector.

Verboden

Sommige AI-toepassingen zijn simpelweg niet toegestaan. De gemene deler: ze tasten fundamentele rechten aan of ondermijnen de rechtsstaat. Denk aan:

• systemen die mensen een score geven op basis van gedrag of persoonlijke kenmerken.
• AI die voorspelt of iemand in de toekomst een strafbaar feit zal plegen.

Deze zijn verboden, omdat ze bepalen welke kansen of behandeling iemand krijgt. Dit is een directe aantasting van gelijkheid en menselijke waardigheid. Ook emotieherkenning van medewerkers via gezichtsherkenning valt hieronder. De combinatie van privacyschending en gevaar voor manipulatie maakt dit onaanvaardbaar. Tot slot is het indelen van mensen in categorieën zoals etniciteit of politieke overtuiging op basis van fysieke kenmerken verboden, omdat dit per definitie discriminerend is. Gebruik je dit soort systemen, bewust of onbewust via een leverancier, dan is stoppen de enige optie.

Hoog risico

Toepassingen die directe invloed hebben op mensen of kritieke processen vallen in de hoogrisicocategorie. In de bouwsector gaat het bijvoorbeeld om AI voor:

• Infrastructuurbeheer
• Personeels- en werkgelegenheidsprocessen
• Aanbestedingsondersteuning 
• Operationele planning

Deze beslissingen hebben directe gevolgen voor mensen en organisaties.

De eisen zijn stevig. Je hebt robuuste, representatieve en bias‑vrije datasets nodig. Daarnaast moet je kunnen aantonen hoe het systeem werkt: technische documentatie is verplicht, net als een risicomanagementproces waarin risico’s worden geïdentificeerd, vastgelegd en actief beheerst gedurende de hele levenscyclus.

Menselijk toezicht is een van de belangrijkste voorwaarden. Bij hoogrisico-AI moet er altijd iemand kunnen ingrijpen, bijsturen of een beslissing corrigeren. Het systeem ondersteunt; het neemt nooit volledig over. Voor ingebruikname is bovendien een conformiteitsbeoordeling en CE-markering verplicht. Tot slot moeten medewerkers die met deze systemen werken aantoonbaar AI-geletterd zijn, omdat verantwoord gebruik begint bij begrijpen wat een systeem wel en niet doet.

Beperkt risico

Dit niveau omvat AI-systemen die interactie hebben met mensen of content genereren. Denk aan ChatGPT, een klantenservicechatbot, virtuele assistenten of AI-functionaliteit in CRM-systemen. De belangrijkste eis is transparantie. Eindgebruikers moeten weten dat ze met AI te maken hebben. AI mag geen indruk wekken menselijk te zijn. Daarnaast geldt de AVG volledig en is basis AI-geletterdheid van personeel een vereiste.

Minimaal risico

Spamfilters, aanbevelingsalgoritmes zoals die van Netflix of Spotify en veel standaardautomatisering vallen in deze categorie. Er gelden geen extra verplichtingen vanuit de AI Act, al blijft andere wetgeving (zoals de AVG) uiteraard van toepassing.

Van inventarisatie naar actie

Weten in welk niveau jouw tools vallen, is stap één. De AI Act vraagt vervolgens om een gestructureerde aanpak in vier stappen:

1. Bepalen: breng in kaart welke systemen je gebruikt of ontwikkelt en bepaal per tool de risicocategorie.
2. Vaststellen: prioriteer op basis van risico, stel doelstellingen vast en werk aan een gedeelde visie.
3. Implementeren: neem de juiste maatregelen, train medewerkers in AI-geletterdheid en organiseer governance en verantwoordelijkheid.
4. Beoordelen: evalueer periodiek, analyseer risico’s opnieuw en leg bevindingen vast in rapportages.

Deze cyclus is geen eenmalige exercitie. AI-toepassingen ontwikkelen zich snel. Wat vandaag beperkt risico heeft, kan morgen door nieuwe functionaliteit in een andere categorie vallen.

Compliance als fundament, niet als drempel

Het risiconiveau van je AI bepaalt wat er van je wordt verwacht. Maar het bepaalt ook hoe je een AI-traject opbouwt: welke documentatie nodig is, hoe je toezicht organiseert en welk kennisniveau je van medewerkers vraagt. Weten wat de wet vraagt is één ding, de organisatie erop inrichten is een tweede.

Wil je weten waar jouw organisatie staat? Neem gerust contact met ons op.

Neem contact op