Wat de Digital Omnibus voor jou verandert: AI Act (1/4)

In deze korte updatereeks vertellen we meer over de mogelijke veranderingen voor de marketingsector voor de volgende onderwerpen:

• AI (AI Act)
• Cookies (e-Privacy Richtlijn)
• Privacy (AVG)
• Data-toegang (Data Act/Data Governance Act)

AI (AI Act)

De wijzigingen veranderen de inhoud van de AI Act niet. Het gaat vooral over de praktische uitvoering, zoals de planning, het toezicht en de hulpmiddelen die daarbij nodig zijn. Hieronder kort uitgelicht wat voor de marketingsector belangrijk is als het voorstel wordt aangenomen:

1. Grondslag voor AI-training: gerechtvaardigd belang

Een belangrijke wijziging is dat gerechtvaardigd belang expliciet kan worden gebruikt als grondslag om persoonsgegevens te verwerken voor AI-training, testen en valideren.

Hiermee wordt bevestigd dat niet alle AI-ontwikkeling afhankelijk hoeft te zijn van toestemming of contractuele noodzaak. Dit betekent meer ruimte om gegevens te gebruiken om modellen te verbeteren of nieuwe marketing-algoritmes te ontwikkelen, mits de verwerking noodzakelijk is en volledig aan de AVG-waarborgen voldoet.

Klik hier om te lezen over het gebruik van gerechtvaardigd belang als juridische grondslag.

De inzet van gerechtvaardigd belang betekent niet dat alle beperkingen verdwijnen. Organisaties moeten nog steeds aantonen dat hun belang zwaarder weegt dan de privacy-impact voor betrokkenen. Dit betekent dus dat het volgende vereist is:

• Transparantie over het gebruik van persoonsgegevens bij AI-training
• Dataminimalisatie en het gebruik van privacy-verhogende technieken
• Recht van bezwaar voor betrokkenen
• Beperking van de dataset tot wat noodzakelijk is, zonder grootschalige monitoring
• Extra waarborgen wanneer AI-training dient om bias te verminderen of veiligheid te vergroten

Meer kans op slagen? De belangenafweging valt sneller in het voordeel van de organisatie uit wanneer de verwerking duidelijk bijdraagt aan maatschappelijk nut, bijvoorbeeld door diensten toegankelijker of veiliger te maken.

2. Bijzondere persoonsgegevens gebruiken voor bias-opsporing

Een van de voorstellen zou ervoor zorgen dat alle AI-systemen in beperkte mate bijzondere persoonsgegevens mogen verwerken om bias op te sporen en te corrigeren. Bijvoorbeeld dus voor segmentatie of look-alike modellen. De versoepeling moet organisaties helpen eerlijkere modellen te ontwikkelen, maar privacywaarborgen blijven heel belangrijk.

3. AI-geletterdheid: verplichting wordt een verwachting!

Dit zou geen harde verplichting voor bedrijven meer zijn, maar wel een verplichting voor lidstaten en de Europese Commissie om bedrijven aan te moedigen om AI-geletterdheid voldoende te bevorderen. Van Nederland zal dus verwacht worden bedrijven aan te moedigen, te ondersteunen en te faciliteren, via door bedrijven aangeboden opleidingsmogelijkheden en het verstrekken van informatiemateriaal. Als dit doorgaat, betekent het dus dat we gaan van een verplichting naar een verwachting. Bedrijven kunnen vrijwillig investeren in AI-geletterdheid, aangezien dit nog steeds strategisch handig is, noodzakelijk is voor verantwoord AI-gebruik en risico’s verkleint, bijvoorbeeld datalekken of ongewenste uitkomsten en effecten van AI-gebruik op de klant. Let op: voor gebruikers van hoog-risico AI blijven bepaalde trainingsverplichtingen wel bestaan.

4. Uitstel op watermarkering en vermelden van AI

Voor aanbieders van Gen AI-systemen op de markt vóór 2 augustus 2026 is een uitstel van zes maanden voor de verplichte watermarkering- en labelverplichtingen voorgesteld. De reden: technische standaarden zijn nog niet gereed. De EU werkt nu aan een Code of Practice waarin precies wordt uitgelegd hoe transparantie over AI-gegenereerde content moet worden ingericht. Dit zal meer duidelijkheid scheppen. Tot nu toe hebben we al wat conclusies getrokken over het vermelden van AI door gebruikers van Gen AI, te lezen in dit artikel.

5. Experimenteren: AI regulatory sandboxes

Mogelijk komen er ruimere mogelijkheden voor testen in de praktijk, waaronder bredere inzet van AI-sandboxes en de komst van een EU-brede sandbox vanaf 2028 om grensoverschrijdende experimenten mogelijk te maken.

Wat nog meer interessant is:

• Een flexibelere startdatum voor hoog-risico AI-verplichtingen. Die gaan pas gelden zodra er genoeg Europese normen, richtlijnen en andere support tools beschikbaar zijn. Er zijn wel vaste uiterste datums: Annex III-systemen moeten uiterlijk december 2027 voldoen en Annex I-systemen uiterlijk augustus 2028.
• AI-systemen die in een hoog-risicodomein worden gebruikt maar zelf niet als hoog-risicovol worden gezien, hoeven straks niet meer verplicht te worden geregistreerd. Dit scheelt extra administratie.
• Minder zware eisen voor technische documentatie en mildere behandeling bij sancties voor middelgrote ondernemingen.
• Centraler toezicht via het AI Office, vooral voor systemen die gebouwd zijn op GPAI-modellen of draaien binnen zeer grote online platforms en zoekmachines.

Allisha Hosli

Legal Counsel