AI Act-handhaving begint met informatieverzoeken aan ruim dertig AI-aanbieders

De Europese Commissie heeft ruim dertig bedrijven in de AI-sector een formeel informatieverzoek onder de AI Act gestuurd. Het is de eerste handhavingsstap onder de verordening, en de vragen gaan vooral over veiligheid en de naleving van het auteursrecht. Voor organisaties die AI-tools inkopen heeft dat een direct gevolg: de toezichthouder beoordeelt aanbieders op concrete documentatie, en dat is ook de maatstaf waarmee je een leverancier kunt beoordelen. Een algemene verklaring dat een product "AI Act compliant" is, zegt daarover weinig.

Wat de Commissie heeft gedaan

De bevoegdheden van de Commissie tegenover aanbieders van AI-modellen voor algemene doeleinden gelden sinds 2 augustus 2026. Een AI-model voor algemene doeleinden (in het Engels: general-purpose AI model) is het onderliggende taalmodel waarop tools als ChatGPT, Claude en veel juridische toepassingen draaien. Advocatenkantoor Matheson beschrijft dat het AI Office op 29 augustus 2026 de eerste formele verzoeken om informatie verstuurde.

Op 1 september maakte de Commissie bekend dat het inmiddels om meer dan dertig bedrijven gaat, meldde persbureau AFP. De Commissie maakte niet bekend welke bedrijven de verzoeken kregen. Woordvoerder Thomas Regnier gaf aan dat de vragenlijsten vooral over veiligheid en auteursrecht gaan. Het verzoek is een voorbereidende stap: het kan uitmonden in een formeel onderzoek, maar dat hoeft niet. In een AFP-achtergrondstuk van 6 oktober staat het aantal nog steeds op ruim dertig, met onderwerpen die lopen van auteursrecht tot cybersecurity en veiligheid.

De grondslag is artikel 91 van de AI Act. Daarmee kan de Commissie de documentatie opvragen die aanbieders verplicht bijhouden, plus alle aanvullende informatie die nodig is om naleving te beoordelen. Het verzoek moet de grondslag, het doel en een termijn noemen, en wijzen op de boetes die volgen als een aanbieder onjuiste, onvolledige of misleidende informatie verstrekt.

Welke documentatie aanbieders van AI-modellen moeten kunnen tonen

Wie wil begrijpen waar de Commissie naar kijkt, kan de verplichtingen naast de onderwerpen van de verzoeken leggen. Volgens artikel 53 AI Act houdt een aanbieder technische documentatie bij over het model, inclusief het trainings- en testproces en de evaluatieresultaten. Hij voert een beleid om het auteursrecht na te leven, waaronder het respecteren van een opt-out van rechthebbenden voor tekst- en datamining. Hij publiceert een samenvatting van de inhoud waarmee het model is getraind. En hij verstrekt informatie aan partijen die het model in hun eigen product verwerken.

Voor de zwaarste modellen, die met systeemrisico, komen daar volgens artikel 55 verplichtingen bij: modelevaluaties met gerichte aanvalstests, het beoordelen en beperken van systeemrisico's, het melden van ernstige incidenten aan het AI Office en een passend niveau van cybersecurity. De onderwerpen die de Commissie noemt, auteursrecht en veiligheid, sluiten precies op deze bepalingen aan.

Blijkt uit de antwoorden dat een aanbieder tekortschiet, dan kan de Commissie op grond van artikel 93 maatregelen verlangen. In het uiterste geval gaat het om het beperken van de beschikbaarheid, het uit de handel nemen of het terugroepen van het model.

Toezicht in de testfase blijft een open rechtsvraag

De verzoeken volgen op een zomer met incidenten waarbij geavanceerde modellen, onder meer agents van OpenAI, ongewenste acties uitvoerden tijdens tests. Dat roept de vraag op hoe ver het toezicht reikt vóórdat een model op de markt komt. Daarover zijn de Commissie en een deel van het Europees Parlement het oneens, blijkt uit het AFP-stuk. Vier Europarlementariërs, onder wie AI Act-onderhandelaar Brando Benifei, stellen dat de regels niet gelden voor onderzoek, testen en ontwikkeling. Woordvoerder Regnier stelt daartegenover dat de verordening vanaf de testfase handhaafbaar is als een aanbieder de controle verliest en dat gevolgen heeft voor de interne markt.

De wettekst maakt die discussie begrijpelijk. Artikel 2, lid 8 sluit onderzoek, testen en ontwikkeling uit zolang een model of systeem nog niet op de markt is gebracht, met uitzondering van testen in reële omstandigheden. Tegelijk verplicht artikel 55, lid 1, onder b, aanbieders van modellen met systeemrisico om ook risico's te beoordelen die uit de ontwikkeling van het model voortkomen.

Onze lezing bij TIL: het standpunt van de Commissie staat het sterkst bij aanbieders die al een model met systeemrisico op de Europese markt hebben en een nieuwe versie testen. Voor een volledig nieuw model dat alleen in een afgeschermde testomgeving draait, ligt een beroep op artikel 2, lid 8, meer voor de hand. Er is nog geen rechtspraak en geen richtsnoer van de Commissie dat deze vraag beslecht. In onze eerdere blog over de AI Liability Act bespraken we de aansprakelijkheidskant van hetzelfde gat.

Waarom je op het toezicht alleen niet kunt bouwen

De handhaving is begonnen, maar de capaciteit is beperkt. Het AI Office heeft volgens AFP ongeveer 125 medewerkers, en Benifei en onderzoeker Harshvardhan Pandit van Trinity College Dublin vinden dat te weinig voor de risico's. Een anonieme EU-functionaris erkende tegenover AFP dat Brussel mogelijk aarzelt om de volledige bevoegdheden tegen Amerikaanse bedrijven in te zetten, gezien de Europese afhankelijkheid van Amerikaanse technologie.

Wij trekken daaruit de conclusie dat het bestaan van toezicht geen vervanging is voor je eigen leveranciersbeoordeling. De Commissie laat wel zien welke stukken ertoe doen. Dat kun je overnemen.

Aandachtspunten bij de beoordeling van AI-leveranciers

De informatieverzoeken zijn gericht aan aanbieders van modellen. De meeste organisaties zijn gebruiker van een tool en vallen er dus niet rechtstreeks onder. Het effect is indirect, en dat werkt door in inkoop en contracten.

Vraag eerst welk model onder een tool draait. Een juridische toepassing van een gespecialiseerde leverancier gebruikt vaak een model van een grote aanbieder. Die leverancier heeft op grond van artikel 53 recht op informatie over de mogelijkheden en beperkingen van dat model. Vraag hem wat hij heeft ontvangen en hoe hij dat in zijn eigen product verwerkt.

Vraag daarnaast naar de openbare samenvatting van de trainingsdata en naar het auteursrechtbeleid van de modelaanbieder. Die stukken moeten er zijn. Een leverancier die ze niet kan aanwijzen, heeft zijn eigen keten niet in beeld.

Leg in het contract vast dat de leverancier je informeert als de onderliggende modelaanbieder een maatregel van de Commissie krijgt die de dienst raakt, zoals een beperking of terugroeping. Koppel daaraan een exitregeling en afspraken over continuïteit, zodat je niet afhankelijk bent van één model dat van de Europese markt kan verdwijnen.

Houd de afspraken over vertrouwelijkheid apart van dit spoor. Of een leverancier jouw invoer gebruikt om modellen te trainen en waar die invoer wordt verwerkt, regel je in de verwerkersovereenkomst. De AI Act-documentatie van de modelaanbieder beantwoordt die vraag niet, en voor organisaties met een beroepsgeheim blijft het een zelfstandig breekpunt.