Handhaving van de AI Act in België

Wat is de handhaving van de AI Act in België?

De AI Act is een Europese verordening, maar wie bij jou aanklopt, is een Belgische dienst. Elke lidstaat moet een markttoezichtautoriteit aanduiden die AI-systemen controleert, klachten behandelt en boetes oplegt, en daarnaast een aanmeldende autoriteit die de keuringsinstanties voor hoog-risico systemen erkent. België heeft gezegd welke regulator die taak krijgt. Op 4 september 2026 is de wet die die regulator zijn bevoegdheid geeft nog altijd niet gestemd. Je verplichtingen uit de verordening gelden dus volledig, terwijl de dienst die ze moet controleren juridisch nog niet bestaat.

De handhaving zit op twee verdiepingen. Het AI Office van de Europese Commissie houdt zelf toezicht op de grote modelaanbieders. Al de rest, de chatbot op je website, de screeningtool in je HR-pakket, de camera-analyse in je winkel, valt onder nationale diensten. Als je ooit met een toezichthouder te maken krijgt, is het bijna zeker die Belgische verdieping.

De Europese verdieping: het AI Office, de AI Board en de Commissie

Het AI Office is een dienst binnen de Commissie met ruim honderd medewerkers. Het houdt op eigen houtje toezicht op de aanbieders van AI-modellen voor algemene doeleinden, dus OpenAI, Google, Anthropic, Mistral en co. Artikel 101 laat de Commissie die aanbieders rechtstreeks beboeten, tot 15 miljoen euro of 3 procent van de wereldwijde omzet, het hoogste van de twee, zonder omweg langs een nationale dienst. De Digital Omnibus van juli 2026 heeft dat terrein vergroot: het AI Office houdt nu ook exclusief toezicht op bepaalde AI-systemen die diezelfde aanbieders bovenop hun eigen modellen bouwen, en op AI-systemen binnen zeer grote onlineplatformen en zoekmachines. Het kan daar dwangsommen aan toevoegen zolang een inbreuk blijft duren.

Voor een Belgische kmo is de betekenis eenvoudig. Zit het probleem in het model zelf, in ChatGPT, Gemini of Claude, dan is dat een dossier van het AI Office en ben jij niet degene die onderzocht wordt. Zit het probleem in wat jouw bedrijf rond zo'n model bouwde of kocht, dan is het nationaal.

De AI Board telt één vertegenwoordiger per lidstaat, met het AI Office als secretariaat. Zijn taak is ervoor te zorgen dat 27 nationale diensten de verordening op dezelfde manier lezen, en daar bestaat een vaste subgroep over markttoezicht voor.

De richtsnoeren van de Commissie wegen zwaarder dan hun naam doet vermoeden. De richtsnoeren over verboden praktijken, over de definitie van een AI-systeem en de praktijkcode voor de labels uit artikel 50 zijn de meetlat waar een Belgische inspecteur mee zal werken. De Commissie heeft ook de AI Act Service Desk, een portaal met een compliance checker en een contactformulier waar het AI Office vragen van bedrijven beantwoordt.

De Belgische verdieping: wie aangeduid is, en wat vandaag wettelijk vastligt

Het federale regeerakkoord van 31 januari 2025 schuift het BIPT, de regulator voor telecom en post, naar voren als centrale AI Act-autoriteit. In het model dat de regering beschrijft, coördineert het BIPT, levert het technische AI-expertise aan de sectorregulatoren en is het het centrale aanspreekpunt tussen die diensten. De FOD Economie coördineert de implementatie en schrijft de wet. Minister Clarinval antwoordde in december 2025 op een parlementaire vraag dat er geen nieuwe markttoezichtautoriteiten komen: de bestaande sectorregulatoren houden hun domein en krijgen er AI bij.

Een deel van die verdeling volgt uit de verordening zelf. Artikel 74 maakt de financiële toezichthouder tot markttoezichtautoriteit voor hoog-risico AI bij banken en verzekeraars, in België dus de FSMA en de Nationale Bank. Voor de toepassingen uit bijlage III bij politie, migratie en justitie moet de lidstaat ofwel de gegevensbeschermingsautoriteit ofwel een andere dienst aanduiden. Welke keuze België daar maakt, is niet bevestigd.

Wat wel gebeurd is: de FOD Economie heeft de lijst uit artikel 77 gepubliceerd, de Belgische instanties die grondrechten beschermen en bij de markttoezichtautoriteit documentatie of een technische test van een hoog-risico systeem kunnen opvragen. Die lijst telt om en bij de dertig namen op federaal, gewestelijk en gemeenschapsniveau, van de Gegevensbeschermingsautoriteit, Unia en Myria tot de arbeidsinspectie, het Centrum voor Cybersecurity België en de Vlaamse Toezichtcommissie.

Wat niet gebeurd is: de aanwijzingswet. De Europese deadline was 2 augustus 2025. Eind juli 2026 meldde VRT NWS dat België nog altijd geen officieel aangestelde toezichthouder had. Etienne Mignolet van de FOD Economie bevestigde dat de lezing van een juridisch vacuüm klopt en dat de rechten uit de verordening sinds 2 augustus 2026 enkel via de rechtbank afdwingbaar zijn. De FAQ van de FOD Economie zelf, laatst bijgewerkt op 3 september 2026, omschrijft de Belgische governance nog altijd als lopend werk. Wie toezicht houdt op AI in onderwijs en arbeidsbemiddeling, allebei gewestelijke bevoegdheden, hangt af van een akkoord tussen het federale niveau en de gewesten dat er evenmin al was.

Niet bevestigd op het moment van schrijven: de tekst van het wetsontwerp, de datum waarop het naar het parlement gaat, en of het BIPT formeel het centrale aanspreekpunt uit artikel 70 wordt of enkel de technische coördinator.

Hoe een onderzoek verloopt

Het begin: een klacht onder artikel 85

Artikel 85 geeft elke natuurlijke of rechtspersoon die meent dat de verordening geschonden is, het recht om een klacht in te dienen bij de markttoezichtautoriteit. Die moet de klacht meenemen in haar toezicht en behandelen volgens haar eigen procedures. Ook een concurrent kan dat. Een sollicitant die vermoedt dat je video-interviewtool emoties scoort, een klant die geen antwoord kreeg op "praat ik met een bot", een concurrent die vindt dat je AI-gegenereerde productfoto's geen label dragen: alle drie hebben ze een ingang.

Zolang de Belgische wet er niet is, bestaat er geen loket om die klacht naar te sturen. Wat vandaag wel bestaat: de rechtbank, de Gegevensbeschermingsautoriteit zodra er persoonsgegevens in het spel zijn, en de sectorregulator die AI al in zijn takenpakket heeft. De verplichtingen gelden hoe dan ook.

De controle zelf

Artikel 74 hangt de AI Act aan de algemene Europese verordening over markttoezicht, dezelfde gereedschapskist die voor speelgoed en machines dient. Die verordening laat de dienst documenten en data opvragen, onaangekondigd ter plaatse controleren, bedrijfsruimtes betreden, onder een schuilnaam producten aankopen om ze te testen en onlinecontent laten verwijderen. De AI Act voegt daar toe: op vraag volledige toegang tot de technische documentatie van de aanbieder en tot de trainings-, validatie- en testdata. Ook broncode kan opgevraagd worden, maar alleen met een gemotiveerd verzoek en nadat andere manieren van controle uitgeput zijn.

Voor een gebruiksverantwoordelijke zijn de vragen bescheidener en gaan ze vooral over papier: de gebruiksaanwijzing van je leverancier, wie het toezicht op het systeem doet, de logs die het systeem aanmaakt (voor hoog-risico systemen vraagt de AI Act dat je ze minstens zes maanden bijhoudt), de melding die je gebruikers te zien krijgen, en de registratie van het systeem in de Europese databank die artikel 71 publiek doorzoekbaar maakt. Vindt de dienst iets dat niet klopt, dan kan ze op basis van artikel 79 corrigerende maatregelen opleggen binnen 15 werkdagen, of het systeem van de markt laten halen of terugroepen. Dreigt het probleem de grens over te gaan, dan moet ze de Commissie en de andere lidstaten verwittigen. Ernstige incidenten lopen in de andere richting: een aanbieder meldt ze aan de markttoezichtautoriteit van het land waar ze gebeurd zijn, in de regel binnen 15 dagen, en een gebruiksverantwoordelijke die er een opmerkt, verwittigt de aanbieder en de toezichthouder, en legt het systeem stil zodra het een risico lijkt te vormen.

Hoe een boete berekend wordt, en de kmo-regel

Artikel 99 zet drie plafonds. Verboden praktijken: 35 miljoen euro of 7 procent van de wereldwijde jaaromzet. Inbreuken op de plichten van aanbieders, gebruiksverantwoordelijken, importeurs en distributeurs, en op de transparantieplichten: 15 miljoen euro of 3 procent. Foute of onvolledige informatie geven aan een toezichthouder: 7,5 miljoen euro of 1 procent. Voor grote bedrijven is het hoogste van de twee cijfers het plafond. Voor kmo's en start-ups draait de verordening dat om: het laagste van de twee geldt.

Reken het uit voor een bedrijf met 2,5 miljoen euro omzet dat een chatbot laat draaien zonder melding. Dat is categorie twee, dus 3 procent van 2,5 miljoen is 75.000 euro, en dat ligt onder 15 miljoen, dus 75.000 euro is het maximum. Het maximum, niet de boete. Artikel 99 somt op wat de toezichthouder moet afwegen: de aard, de ernst en de duur van de inbreuk, of ze opzettelijk of uit nalatigheid gebeurde, wat je deed om de schade te beperken, hoe je meewerkte, of je al eerder beboet werd en hoe de inbreuk aan het licht kwam. Een bedrijf dat het probleem zelf meldde en het binnen de 15 werkdagen rechtzette, zit aan het andere eind van die schaal dan een bedrijf dat twee brieven negeerde.

Lidstaten beslissen zelf of overheidsdiensten wel beboet kunnen worden, en ze rapporteren elke boete jaarlijks aan de Commissie, dus een Belgische boete komt in een Europees overzicht terecht.

De Gegevensbeschermingsautoriteit tegenover de markttoezichtautoriteit

De twee toezichthouders zullen vaak naar hetzelfde systeem kijken. De duidelijkste manier om ze uit elkaar te houden is de vraag wat elk van hen kan controleren en beboeten.

De Gegevensbeschermingsautoriteit werkt onder de GDPR en komt in beeld zodra er persoonsgegevens in het spel zijn, welke technologie er ook achter zit. Haar Inspectiedienst mag de persoonsgegevens en alle nodige informatie inkijken, lokalen en verwerkingsapparatuur betreden en audits doen. Haar Geschillenkamer kan waarschuwen, berispen, een verwerking laten stopzetten of beperken, en boetes opleggen tot 20 miljoen euro of 4 procent van de wereldwijde omzet, het hoogste van de twee. Een kmo-korting bestaat in de GDPR niet. Ze oordeelt niet over de vraag of je systeem voldoet aan de productregels van de AI Act, en over een AI-systeem zonder persoonsgegevens heeft ze niets te zeggen.

De markttoezichtautoriteit werkt onder de AI Act en kijkt naar het AI-systeem als product: de risicoklasse, de documentatie, de data, het menselijk toezicht, de labels. Ze mag trainingsdata inkijken en, als laatste redmiddel, broncode. Ze kan een systeem laten corrigeren, van de markt halen of terugroepen, en ze beboet volgens de drie categorieën hierboven, met de kmo-regel. Over je rechtsgrond voor de verwerking of je bewaartermijnen heeft zij dan weer niets te zeggen.

Neem een tool die cv's screent. De Gegevensbeschermingsautoriteit kan vragen waarom je kandidaatgegevens op die manier verwerkt en of er een gegevensbeschermingseffectbeoordeling bestaat. De markttoezichtautoriteit kan vragen of het systeem geregistreerd is, wie het toezicht doet en wat de documentatie van de leverancier zegt over het testen op bias. Eén fout kan twee dossiers opleveren, en de AI Act laat de rechtsmiddelen van de GDPR uitdrukkelijk onaangeroerd. De twee diensten horen ook met elkaar te praten: de Gegevensbeschermingsautoriteit staat op de lijst van artikel 77 en kan bij de markttoezichtautoriteit documentatie opvragen of een test van een systeem laten organiseren.

Wat een Belgische kmo klaar moet hebben

Hiervoor heb je geen advocaat op afroep nodig. Je hebt een map nodig die bestaat voor de brief in de bus valt.

• Een aanspreekpunt met een naam. Eén persoon die antwoordt als een toezichthouder, een leverancier of een medewerker een vraag over AI stelt, en die weet waar de map ligt.

• Een AI-inventaris. Elk AI-systeem dat in gebruik is, waarvoor het dient, of je aanbieder of gebruiksverantwoordelijke bent, in welke risicoklasse het valt en welke plichten dat vandaag meebrengt. De compliance checker op de AI Act Service Desk van de Commissie is een redelijke eerste ronde.

• Eén toezichtslijn per systeem. Voor elke regel in de inventaris: wie kijkt naar de output, wat mag die persoon overrulen en wie kan het systeem uitschakelen. Op papier, met een datum.

• Leveranciersdocumentatie in het dossier. De gebruiksaanwijzing, de verklaring van de leverancier over de risicoklasse en over de labels uit artikel 50, en zijn antwoord op de vraag of het systeem iets doet dat op de lijst van artikel 5 staat. Een schriftelijk antwoord, geen telefoontje.

• Logs en meldingen. Waar de logs staan en hoe lang je ze bijhoudt, en een kopie van de melding die gebruikers te zien krijgen.

• De incidentroute. Wie je belt bij de leverancier, hoe je het systeem stillegt en, zodra België zijn toezichthouder heeft, waar de melding naartoe gaat. De aanwijzingswet zal op de AI-pagina's van de FOD Economie verschijnen; tot dan zijn de Gegevensbeschermingsautoriteit en de rechtbank de handhaving waar je effectief mee te maken kan krijgen.