Menselijk toezicht (AI Act)

Wat is menselijk toezicht onder de AI Act?

Menselijk toezicht betekent dat een mens kan volgen wat een hoog-risico AI-systeem doet, genoeg begrijpt om het resultaat te beoordelen, en het opzij kan schuiven of stilleggen. In de Europese AI Act zijn dat twee regels, in twee artikels, en ze vallen op twee verschillende bedrijven.

Artikel 14 zegt tegen de aanbieder, het bedrijf dat het systeem bouwt en onder eigen naam op de markt brengt, dat het zo gebouwd moet zijn dat toezicht mogelijk is. Artikel 26 zegt tegen de gebruiksverantwoordelijke, het bedrijf dat het systeem onder eigen verantwoordelijkheid inzet, dat het dat toezicht moet organiseren en uitvoeren. De meeste Belgische kmo's bouwen nooit een hoog-risico systeem. Ze kopen er een, en dan zijn ze de gebruiksverantwoordelijke. Artikel 26 is dus het artikel dat bij hen op tafel komt.

Human-in-the-loop en een stopknop zijn ontwerppatronen, en dus keuzes. Artikel 14 en 26 zijn een wettelijke plicht met een boete eraan vast. De GDPR had in artikel 22 al iets gelijkaardigs: het recht om niet onderworpen te worden aan een beslissing die uitsluitend op geautomatiseerde verwerking berust. Dat is een recht dat iemand moet inroepen. De plicht uit de AI Act geldt of er nu ooit iemand klaagt of niet.

Wat artikel 14 aan de aanbieder vraagt

Artikel 14, lid 1 zegt dat een hoog-risico systeem zo ontworpen en ontwikkeld moet zijn, met passende instrumenten voor de interactie tussen mens en machine, dat natuurlijke personen er doeltreffend toezicht op kunnen houden zolang het in gebruik is. Het woord dat het werk doet, is doeltreffend. Een scherm dat een score toont en verder niets, staat enkel in naam onder toezicht.

Lid 3 zegt dat de maatregelen moeten passen bij het risico, de mate van autonomie en de gebruikscontext, en dat ze in twee vormen komen: ingebouwd door de aanbieder, of door de aanbieder vastgelegd zodat de gebruiksverantwoordelijke ze toepast. Artikel 13, lid 3, punt d verplicht de aanbieder vervolgens om die maatregelen in de gebruiksaanwijzing te beschrijven. Staat er in de documentatie van een hoog-risico systeem dat je gekocht hebt niets over toezicht, dan zit het gat bij de aanbieder, en is dat een schriftelijke vraag waard.

Lid 4 is de concrete lijst. Wie het toezicht doet, moet in staat zijn om:

• De capaciteiten en de beperkingen van het systeem te begrijpen, en de werking op te volgen.

• Alert te blijven op automation bias, de neiging om zomaar aan te nemen wat het systeem uitspuwt. Het artikel benoemt dat apart voor systemen die mensen informatie of aanbevelingen geven om op te handelen.

• De output correct te interpreteren, met de instrumenten en methodes die daarvoor bestaan.

• Te beslissen om het systeem in een bepaald geval niet te gebruiken, of de output te negeren, te overrulen of terug te draaien.

• In te grijpen of het systeem te onderbreken via een stopknop of een gelijkaardige procedure, zodat het in een veilige toestand tot stilstand komt. Een veilige toestand, niet gewoon uit; de term agent kill switch gaat daarop in.

Lid 5 voegt een aparte regel toe voor biometrische identificatie op afstand: geen actie of beslissing op basis van een identificatie tenzij minstens twee natuurlijke personen met de nodige bekwaamheid, opleiding en bevoegdheid die apart hebben geverifieerd en bevestigd. Vier ogen, letterlijk in de verordening, met een uitzondering voor rechtshandhaving, migratie, grenstoezicht en asiel waar Unierecht of nationaal recht dat onevenredig vindt.

Wat artikel 26 aan jou als gebruiksverantwoordelijke vraagt

Artikel 26 is een lijst plichten voor het bedrijf dat het systeem inzet. Vijf daarvan raken het toezicht rechtstreeks.

Gebruik het zoals de handleiding zegt. Lid 1 vraagt technische en organisatorische maatregelen zodat je het systeem gebruikt volgens de gebruiksaanwijzing. Die lezen is de stap die het vaakst overgeslagen wordt.

Wijs het toezicht toe aan mensen met naam. Lid 2 zegt dat je het menselijk toezicht opdraagt aan natuurlijke personen met de nodige bekwaamheid, opleiding en bevoegdheid, en met de nodige ondersteuning. Bekwaamheid: de persoon kent het vakgebied. Opleiding: je hebt er effectief in voorzien. Bevoegdheid: hij mag het systeem overrulen zonder eerst toestemming te vragen. Ondersteuning: tijd, en een collega om iets aan te vragen.

Volg op, en leg stil als er iets scheef zit. Lid 5: je volgt de werking op aan de hand van de gebruiksaanwijzing. Heb je reden om aan te nemen dat het gebruik een risico inhoudt, dan verwittig je zonder onnodige vertraging de aanbieder of de distributeur en de markttoezichtautoriteit, en schort je het gebruik op.

Hou de logs minstens zes maanden bij. Lid 6 gaat over de logs die het systeem automatisch aanmaakt, voor zover die onder jouw controle staan, gedurende een periode die past bij het doel en in elk geval minstens zes maanden. De FOD Economie herhaalt die zes maanden in haar uitleg voor Belgische bedrijven.

Zeg het tegen de mensen die het aangaat. Lid 7: voor je een hoog-risico systeem op de werkvloer in gebruik neemt, verwittig je de werknemersvertegenwoordigers en de betrokken werknemers. Lid 11: mensen over wie het systeem een beslissing neemt of mee bepaalt, moeten weten dat ze eraan onderworpen zijn.

Lid 3 geeft je ademruimte: je organiseert zelf je middelen om de toezichtsmaatregelen van de aanbieder toe te passen, zonder voorgeschreven functietitel of procedure. Een bedrijf van zestig mensen dat een cv-screeningtool koopt, kan het toezicht bij de HR-verantwoordelijke leggen met een vervanger bij naam, op papier, en is dan in orde.

Artikel 14 tegenover artikel 26

Wat de twee uit elkaar houdt: wie toezicht mogelijk moet maken, tegenover wie het effectief moet doen.

Artikel 14 gaat over kunnen. De aanbieder moet een systeem bouwen dat een mens kan volgen, interpreteren en stilleggen, en moet in de gebruiksaanwijzing zeggen hoe. Zit er geen manier in om een output te overrulen, dan voldoet de aanbieder niet aan artikel 14, en geen enkele procedure die jij schrijft, repareert dat van buitenaf.

Artikel 26 gaat over doen. Jij wijst de mensen aan, geeft hen bekwaamheid, opleiding, bevoegdheid en ondersteuning, zet het systeem in volgens de gebruiksaanwijzing, volgt het op, schort het op wanneer nodig en houdt de logs bij. Een systeem kopen dat elk vakje van artikel 14 aankruist, neemt geen enkele regel van artikel 26 weg.

Net in de kloof tussen die twee gaan bedrijven de mist in. Een tool kan in orde zijn in het rek en toch draaien zonder dat iemand meekijkt. Dat is een fout van de gebruiksverantwoordelijke, beboet onder artikel 99, lid 4: tot 15 miljoen euro of 3 procent van de wereldwijde omzet, het hoogste van de twee, en voor kmo's het laagste.

Wat toezicht meer maakt dan een handtekening

Bekwaamheid, opleiding, bevoegdheid en ondersteuning komen in een gewone werkweek neer op vier vragen, en als er eentje faalt, is het toezicht een stempel.

Tijd. Wie 300 kredietbeslissingen per dag te zien krijgt met veertig seconden per dossier, oefent geen oordeel uit, wat het procesdocument ook zegt. Ofwel gaat het volume naar beneden, ofwel wordt het een steekproef met duidelijke regels, ofwel noem je het systeem niet langer onder menselijk toezicht.

Informatie. Een score alleen valt niet te controleren. Wie nakijkt, moet zien welke invoer die score bepaald heeft en waar het systeem zwak in is, en dat is wat artikel 13 aan de aanbieder oplegt.

Bevoegdheid. De persoon moet de output op eigen oordeel opzij kunnen schuiven. Moet elke afwijking eerst een niveau hoger passeren, dan houden de afwijkingen vanzelf op.

Gevolgen. Als overrulen een afhandeltijd vertraagt die gemeten wordt, of als één keer verkeerd overrulen je zuur opbreekt terwijl meegaan met het systeem dat nooit doet, dan gaan mensen mee met het systeem. Dat is automation bias die via het bonussysteem binnenkomt, niet via de psychologie.

De helft rond opleiding sluit aan bij artikel 4, de plicht rond AI-geletterdheid, die al geldt sinds februari 2025 en door geen enkel uitstel verschoven is. De digital omnibus verzachtte ze: je moet geen voldoende niveau van AI-geletterdheid meer garanderen, enkel maatregelen nemen die de ontwikkeling ervan ondersteunen. Iemand aanwijzen voor het toezicht zonder enige opleiding blijft evengoed moeilijk te verdedigen onder artikel 26, lid 2.

Vijf lijnen per hoog-risico systeem, en vanaf wanneer dit geldt

Toezicht dat wel gebeurd is maar geen spoor nalaat, valt moeilijk te onderscheiden van toezicht dat niet gebeurd is. Daar heb je geen beleidsdocument voor nodig: per hoog-risico systeem volstaan vijf gedateerde lijnen in een gedeeld bestand.

1. Wat het is en wat het beslist. Het systeem, de beslissing die het neemt of mee bepaalt, en over wie.

2. Wie het toezicht doet. Een naam en een vervanger, met de datum waarop ze aangewezen zijn. Een rol die op dit moment niemand invult, is een vaststelling.

3. Wat die persoon mag. Een output overrulen, in een bepaald geval weigeren het systeem te gebruiken, en het systeem stilleggen, met de exacte stappen om dat te doen. Leg de gebruiksaanwijzing van de aanbieder naast deze lijn.

4. Waar de logs staan. Systeem of leverancier, wie ze kan exporteren, en hoe lang ze bewaard blijven. Bij een SaaS-tool zitten de logs bij de leverancier, dus zet toegang en export in het contract voor je ze nodig hebt.

5. Wie ingelicht is, en wanneer. Werknemers en hun vertegenwoordigers, van voor het systeem live ging, en de tekst die de mensen over wie de beslissingen gaan te zien krijgen.

Eén cijfer hoort bij lijn drie: hoe vaak de beoordelaar het niet eens was met het systeem. Nul afwijkingen op zes maanden is het sterkste signaal dat het toezicht enkel op papier bestaat.

Over de timing: de hoog-risico verplichtingen, artikel 14 en 26 inbegrepen, zijn verschoven. Verordening (EU) 2026/1744, de digital omnibus rond AI, van kracht sinds 27 juli 2026, duwde losstaande hoog-risico systemen uit bijlage III naar 2 december 2027 en AI die in gereglementeerde producten uit bijlage I zit naar 2 augustus 2028. Geen van beide artikels is herschreven, ze zijn enkel uitgesteld. De plicht rond AI-geletterdheid en de transparantieverplichting uit artikel 50 gelden nu al, en die vijf lijnen zijn precies wat je toch wil hebben liggen de eerste keer dat een kandidaat vraagt waarom hij afgewezen is.