De AI-verordening geldt niet voor een hele sector of alleen voor grote bedrijven. Ze geldt voor wie een bepaalde rol vervult ten opzichte van een AI-systeem: bouwt u het, brengt u het op de markt, of gebruikt u het binnen uw eigen organisatie. Een installatiebedrijf met tien man personeel kan er net zo goed onder vallen als een multinational, zodra er een AI-systeem wordt ingezet dat binnen de reikwijdte van de verordening valt.
Voor de meeste MKB-bedrijven speelt de vraag niet omdat ze zelf AI ontwikkelen, maar omdat ze software gebruiken waar een AI-functie in verwerkt zit: een cv-selectietool, een chatbot op de website, een planningssysteem dat automatisch roosters voorstelt. In die situatie bent u meestal niet de aanbieder van het AI-systeem, maar de zogeheten gebruiksverantwoordelijke. Dat is een lichtere rol dan die van de partij die het systeem heeft ontwikkeld, maar niet vrijblijvend: de verordening onderscheidt daarbij verschillende risicocategorieën, en welke categorie van toepassing is, bepaalt welke verplichtingen bij die rol horen.
Rol bepaalt de verplichting, niet de sector
De verordening werkt met een risicogebaseerde indeling. Sommige toepassingen worden als onaanvaardbaar risico beschouwd en zijn verboden, andere als hoog risico met bijbehorende verplichtingen, en veel toepassingen vallen buiten die zwaardere categorieën. Een chatbot die klantvragen beantwoordt, valt in de praktijk vaak in een andere categorie dan een systeem dat meebeslist over wie wordt aangenomen of ontslagen. Die laatste categorie, personeelsselectie en -beoordeling, wordt in de verordening genoemd als voorbeeld van een toepassing die extra aandacht vraagt, precies omdat de uitkomst directe gevolgen heeft voor individuele mensen.
Dat betekent dat twee bedrijven in dezelfde branche verschillend geraakt kunnen worden. Een kantoororganisatie die alleen een planningstool gebruikt, zit in een ander vakje dan een organisatie die AI inzet bij de werving en selectie van personeel. De vraag is dus niet "doe ik aan AI", maar "welk type AI-systeem gebruik ik, en in welke rol".
Voorbeelden uit de praktijk van een MKB-bedrijf
Een HR-manager die een sollicitatietool met AI-functionaliteit aanschaft, wordt daarmee gebruiksverantwoordelijke van dat systeem. De leverancier van de tool is meestal de aanbieder en draagt een ander deel van de verplichtingen, maar dat ontslaat de gebruiker niet automatisch van alle verantwoordelijkheid. Een kantoormanager die een tekstgenerator gebruikt om vacatureteksten te schrijven, zit doorgaans in een lichtere categorie dan wanneer die generator ook meebeslist over wie wordt uitgenodigd voor een gesprek.
Een directeur van een installatiebedrijf die AI-gestuurde planningssoftware gebruikt om monteurs in te delen, valt weer in een ander plaatje dan wanneer diezelfde software ook wordt gebruikt om functioneringsbeoordelingen te onderbouwen. De techniek kan identiek zijn; de toepassing en het effect op mensen bepalen de indeling. Dat is precies waarom een algemene uitspraak als "dit geldt niet voor kleine bedrijven" niet klopt: de omvang van het bedrijf speelt in de verordening zelf geen rol bij het bepalen van de risicocategorie.
Wat als u alleen een kant-en-klare tool gebruikt
Veel bedrijven kopen software in en passen er niets aan aan. Ook dan kan de verordening van toepassing zijn, zij het meestal met een lichtere set aan verplichtingen dan voor de partij die het systeem heeft ontwikkeld. De praktische vraag die daarbij past, is niet alleen juridisch: welke informatie geeft uw leverancier over de aard van het systeem, en is die informatie voldoende om zelf te kunnen beoordelen in welke categorie u terechtkomt. de begrippen en categorieën rustig doornemen geeft daarvoor een startpunt, zonder dat u meteen een jurist nodig heeft.
Dit raakt ook het gesprek dat u als inkopende partij met een softwareleverancier voert: niet alleen over prijs en functionaliteit, maar ook over wat het systeem precies doet met de gegevens van uw medewerkers of klanten, en of de leverancier zelf al met de indeling heeft gewerkt. Wie dat gesprek pas voert nadat het systeem al in gebruik is, mist het moment waarop dit het makkelijkst te regelen is.
Waar u dit voor uw eigen situatie kunt nagaan
Omdat de indeling afhangt van het specifieke systeem en de specifieke toepassing binnen uw organisatie, is een algemeen antwoord altijd een startpunt, geen eindpunt. Voor de eigen situatie is het raadzaam om de officiële tekst te raadplegen of de bevoegde toezichthouder te benaderen; een platform als het onze kan u wel helpen om snel te zien welke vragen relevant zijn. Met een paar vragen die direct een indicatie geven krijgt u zonder verplichting een eerste beeld van waar uw situatie mogelijk staat.
Bent u benieuwd hoe wij aan onze informatie komen en waarom we bewust geen stellige uitspraken doen over individuele gevallen? Dat leggen we uit op de pagina over hoe onze informatie tot stand komt. En loopt u tegen een vraag aan die hier niet wordt beantwoord, kijk dan bij de verzameling veelgestelde vragen of doe de gratis quick-scan om te zien welke onderwerpen voor uw bedrijf relevant zijn.