EU-Commissie kan vanaf 2 augustus modeltoegang eisen bij AI-labs

De Europese Commissie begint op 2 augustus met het handhaven van de AI-verordening en kan vanaf die dag documentatie opvragen bij aanbieders van AI-modellen, die modellen evalueren en toegang ertoe afdwingen.

Voor een Nederlandse organisatie die AI inkoopt of doorverkoopt is dat iets anders dan een vinkje erbij. De verplichtingen voor algemene AI-modellen staan al sinds augustus 2025 in de wet, maar het AI Office had geen instrument om naleving te controleren. Dat instrument is er nu, en het wijst naar je leverancier: de Commissie kan een aanbieder verplichten maatregelen te nemen en in het uiterste geval de publieke beschikbaarheid van een model laten beperken. Het model waarop jouw product draait, kan dus onderdeel worden van een handhavingsdossier.

Wat het AI Office vanaf zondag mag

Het AI Office is de toezichtseenheid van de Commissie die de regels handhaaft voor aanbieders van algemene AI-modellen (in de wet: GPAI) en voor AI-systemen die in zeer grote onlineplatforms zijn ingebouwd. Nationale toezichthouders doen de rest, de Europese Toezichthouder voor gegevensbescherming doet de EU-instellingen zelf. De bevoegdheden vallen uiteen in vier instrumenten.

• Informatieverzoeken. Het AI Office kan aanbieders om informatie vragen om naleving te toetsen, informeel of bij formeel besluit van de Commissie. Bij een besluit kan ook uitblijven of onvolledig antwoorden beboet worden.
• Modelevaluaties en toegangsverzoeken. Het AI Office, of onafhankelijke experts die het aanwijst, kan aanbieders verplichten toegang tot hun model te geven om er evaluaties op uit te voeren.
• Maatregelen eisen. Het kan een aanbieder opdragen maatregelen te nemen, tot en met het beperken van de publieke beschikbaarheid van een model.
• Interviews en inspecties. Bij AI-systemen kan het AI Office iedereen met relevante informatie horen, mits die daarmee instemt, en inspecties uitvoeren op de locatie van de aanbieder.

De boetes lopen op met de ernst. Verboden AI-praktijken staan bovenaan met maximaal 35 miljoen euro of 7 procent van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor overtreding van de verplichtingen rond algemene AI-modellen geldt maximaal 15 miljoen euro of 3 procent. Wie een informatieverzoek over een AI-systeem niet, onvolledig of misleidend beantwoordt, riskeert tot 7,5 miljoen euro of 1 procent.

Er is nu ook een loket voor doorbouwers

De handhaving loopt niet alleen van Brussel naar de labs. Het AI Office heeft drie kanalen open staan: een klachtenloket voor vermeende overtredingen, een klokkenluidersloket voor mensen die beroepsmatig met een aanbieder te maken hebben, en een apart klachtenkanaal voor downstream-aanbieders.

Dat laatste is voor Nederlandse softwarebedrijven het meest bruikbare punt. Bouw je een AI-systeem op een model van iemand anders en krijg je de documentatie niet die de artikelen 53 tot en met 55 voorschrijven, dan kun je daarover vanaf nu klagen bij de toezichthouder in plaats van bij je accountmanager. Dat verandert de onderhandelingspositie van een integrator die vandaag nog afhankelijk is van wat een modelaanbieder vrijwillig deelt.

Op dezelfde dag gaan de transparantieregels in. Chatbots moeten melden dat je met AI praat, deepfakes moeten gelabeld zijn en AI-content krijgt een machineleesbaar merkteken. Meer dan 180 organisaties tekenden inmiddels de gedragscode die daarbij hoort, en hoe die markeringsplicht eruitziet, met labels als 'Fully AI-generated' en een drempel van 200 tokens voor tekst, legde de Commissie op 20 juli definitief vast.

De eenheid die dit moet doen is klein

Hier zit de zwakke plek. De eenheid binnen het AI Office die de zwaarste modellen moet beoordelen telt 36 mensen, schrijft The Next Web. De EU breidt het AI Office uit met 38 extra mensen die AI-bedrijven gaan monitoren, van kleine aanbieders tot OpenAI en DeepSeek, meldt persbureau AP. Dat is de bezetting die tegenover de complete frontier-industrie komt te staan.

Vijf Europarlementariërs, onder wie Brando Benifei en Sergey Lagodinsky, waarschuwden de Commissie op 18 mei al dat de personele groei van het AI Office niet in verhouding staat tot de omvang en complexiteit van de taken. Het AI Office en zijn externe evaluatoren kregen de afgelopen maanden bovendien moeizaam toegang tot sommige topmodellen. Precies daarom is de toegangsbevoegdheid die nu ingaat de kern van het verhaal, en niet de boete.

De timing is geen toeval. Anthropic maakte vorige week bekend dat zijn modellen tijdens tests bij drie andere organisaties inbraken, kort nadat OpenAI had gemeld dat twee van zijn modellen uit een testomgeving ontsnapten en bij Hugging Face binnendrongen. Benifei, de AI-rapporteur van het Parlement, vatte het probleem samen: een autonome agent compromitteerde de productiesystemen van een ander bedrijf, en Brussel hoorde het uit een blogpost van dat bedrijf zelf.

In Nederland is het toezicht nog in aanbouw

Wat Brussel doet voor modellen, doen nationale toezichthouders voor de rest van de AI-systemen. Nederland kiest daarvoor een hybride model met tien markttoezichthouders, waarbij de Autoriteit Persoonsgegevens verboden AI-praktijken, de transparantieverplichtingen en een groot deel van de hoog-risico-toepassingen krijgt, de RDI centraal contactpunt wordt, en AFM en DNB het financiële domein houden.

Dat stelsel staat nog niet in de wet. De uitvoeringswet AI-verordening ging pas op 20 april 2026 in internetconsultatie en de toezichtcapaciteit wordt volgens de AP de komende periode opgebouwd. De Europese bevoegdheden gaan zondag in, het Nederlandse loket is nog niet af.

Waar dit heen wijst

De kalender vertelt de rest. De verboden op AI-gegenereerd naaktbeeld zonder toestemming en op beeldmateriaal van kindermisbruik gelden vanaf 2 december 2026. De zware eisen voor hoog-risico-systemen uit bijlage III schuiven naar 2 december 2027, en voor AI die in producten is ingebouwd naar 2 augustus 2028. Dat uitstel geeft je bedrijf lucht, maar de zorgplicht van een bestuurder om toezicht op AI in te richten loopt via artikel 2:9 BW gewoon door.

Wat er zondag verandert is dus niet in de eerste plaats wat jij moet doen. Het is wat de Commissie mag doen bij de partij waar jouw AI vandaan komt. Twee jaar lang was de AI-verordening een tekst met verplichtingen en zonder handen; vanaf 2 augustus kan een toezichthouder een model opvragen, laten onderzoeken en in het uiterste geval van de markt halen. Dat maakt de vraag welke modellen onder je product liggen, en hoe snel je ze zou kunnen vervangen, een operationele vraag in plaats van een juridische.