EU AI Act in Werking - Maar Wie Kan Echt Bewijzen Dat Ze Eraan Voldoen?

Het nieuws is bekend, de EU AI Act is officieel in werking getreden. Dit betekent dat Nederlandse overheden en Zorg en Beroepsopleidingen (ZBO's) die AI-systemen gebruiken of ontwikkelen, nu moeten aantonen dat ze aan de strenge eisen van de regeling voldoen. Echter, er blijkt een ernstig probleem: niemand kan echt bewijzen dat zij aan Artikelen 9-15 van de AI Act voldoen.

Dit artikel laat zien wat dit in de praktijk betekent en waarom het zo'n grote kloof is tussen wat er vereist wordt en wat daadwerkelijk gedaan wordt. Het is geen aankondiging van een crisis, maar wel een roep om actie.

Waar ligt het probleem precies?

De EU AI Act stelt duidelijke eisen op inzake risicomanagement (Artikel 9), transparantie (Artikel 10), menselijk overzicht en toezicht (Artikel 11) en logging (Artikel 13). Dit is geen kleinigheid. Het betekent dat AI-systemen niet alleen moeten functioneren, maar ook volledig verantwoordelijk gemaakt moeten worden.

Echter, een nieuw onderzoek bevestigt empirisch wat we al lang hebben geweten: de vertaling van deze eisen in praktische requirements lukt niet. De kloof tussen regelgeving en de mogelijkheden om te bewijzen dat je aan die regels voldoet, is groot.

Empirische bevestiging

Een recent paper op arXiv onderzocht hoe deze vertaalslag in de praktijk werkt. Het resultaat was duidelijk: bijna niemand kan aantonen dat zij aan Artikelen 9-15 voldoen, hoewel dit verplicht is.

Wat hier interessant is, is niet alleen het feit dat er een kloof bestaat, maar ook hoe die kloof ontstaan is. De redenen zijn meervoudig:

1. Complexiteit van AI-systemen: AI is complex en dynamisch, wat maakt dat het moeilijk is om vast te leggen welke specificaties volledig voldoen aan de eisen.
2. Ontbrekende stappen in processen: Er zijn niet altijd duidelijke stappen gegeven hoe je van een regel naar een verifieerbare requirement komt.

Concreet voorbeelden

Stel, we kijken naar risicomanagement (Artikel 9). Wat moet dit precies inhouden? In de praktijk is het moeilijk om duidelijke criteria te stellen. Bijvoorbeeld:

risico: hoge
beschrijving: "Het AI-systeem kan leiden tot onjuiste medische diagnose bij patiënten."
mitigatie: "Een menselijk expert moet de beslissing altijd bevestigen voordat ze worden uitgevoerd in een productieomgeving."

Dit is echter slechts één aspect. Transparantie (Artikel 10) vereist dat gebruikers van het systeem op de hoogte zijn van hoe en waarom beslissingen worden genomen.

transparantie: "Gebruikers moeten een log kunnen raadplegen om te zien welke factoren het AI-systeem heeft gebruikt voor een bepaalde beslissing."

Elk van deze punten moet niet alleen duidelijk gedefinieerd, maar ook verifieerbaar zijn. Dit is waar de hiat begint.

Nederlandse relevante regelgeving

Deze kloof heeft directe implicaties voor Nederland en haar regelgevende framework. De AI Act vloeit over in NIS2 (Nationale Cyber Security Strategie) en BIO2 (Beleid Informatiebeveiliging Overheid), die ook bepalen hoe AI-systemen moeten worden gemanaged.

Een concrete koppeling is te zien bij AVG, waar transparantie en toezicht net zo belangrijk zijn. De EU AI Act brengt dit op een volgend niveau door specifieke eisen voor AI-systemen te stellen.

Wat nu?

Deze situatie roept direct de vraag op wat we kunnen doen om deze kloof te overbruggen. Het is niet voldoende om alleen wetgeving te hebben; er moet een manier zijn om het effectieve gebruik ervan te bewijzen en te controleren.

Een eerste stap is dus om duidelijke criteria vast te leggen voor elke van de vereiste eisen in de AI Act. Dit betekent dat we niet alleen moeten weten wat nodig is, maar ook hoe we kunnen bewijzen dat deze criteria zijn voldaan.