AI-regelgeving: welke veranderingen vinden begin augustus plaats?.

Hoewel de Europese regelgeving inzake kunstmatige intelligentie (AI) op 1 augustus 2024 van kracht is geworden, bevinden we ons in een cruciale fase van de implementatie ervan.

Een nuttig overzicht van de tijdlijn voor de toepassing van de bepalingen van de verordening, waarbij rekening wordt gehouden met de recente wijzigingen in het kader van de "Digitale Omnibus", is te vinden op de website van de Europese Commissie.

• De algemene bepalingen van de verordening (definities en cultuur van AI) en het verbod op AI-systemen die onaanvaardbare risico's met zich meebrengen, zijn van kracht sinds 2 februari 2025.
• Sinds 2 augustus zijn de meeste bepalingen van kracht: transparantieregels en maatregelen ter ondersteuning van innovatie zijn nu van toepassing, en er kan toezicht worden gehouden op de implementatie met betrekking tot algemene AI-modellen, verboden, transparantieregels en AI-cultuur. Het AI-bureau van de Europese Commissie is hiervoor verantwoordelijk, in samenwerking met de nationale autoriteiten.
• Vanaf 2 december worden AI-systemen die zonder toestemming seksuele "deepfakes" en kinderpornografie genereren, gereguleerd. Vanaf eind 2027 en medio 2028 zullen AI-systemen met een hoog risico, opgenomen in respectievelijk bijlage III (gevoelige gebieden zoals werkgelegenheid en politie) en bijlage I (producten zoals medische hulpmiddelen), onder regelgeving vallen.

Meer specifiek vereisen de nieuwe transparantieregels van artikel 50 sinds deze zomer dat bepaalde AI-systemen, zoals chatbots, gebruikers informeren wanneer ze met de AI interageren en wanneer de inhoud door de AI is gegenereerd of gewijzigd.

Daarnaast moeten aanbieders van content die met behulp van AI is bewerkt of gegenereerd, als zodanig worden geïdentificeerd.

Deze inhoud moet ook machineleesbare markeringen bevatten om gemakkelijker te kunnen worden gedetecteerd.

Er zijn bepaalde uitzonderingen opgenomen in de strafrechtelijke context, evenals voor teksten waarvan de inhoud door een mens wordt bepaald, en er bestaan aanpassingen voor artistieke creaties.

De commissie stelde ook drie pictogrammen voor om content te identificeren die geheel of gedeeltelijk met behulp van AI is gegenereerd.

Om bedrijven te helpen aan deze verplichtingen te voldoen, heeft de Europese Commissie op 20 juli richtlijnen gepubliceerd waarin wordt verduidelijkt wie onder deze regels valt en welke informatie openbaar moet worden gemaakt.

Een "gedragscode voor transparantie van door AI gegenereerde content", die al door meer dan 180 organisaties, waaronder OpenAI en Google, is ondertekend, moet bedrijven helpen aan te tonen dat ze voldoen aan de regelgeving.

Wie is in Frankrijk verantwoordelijk voor de implementatie en het toezicht op de naleving van de regelgeving?

Het toezicht is verdeeld over diverse instanties, onder leiding van de DGE en de DGCCRF, die toezicht houden op de algemene verplichtingen inzake informatievoorziening en traceerbaarheid.

• De CNIL speelt een centrale rol in AI-systemen die persoonsgegevens verwerken, waaronder gevoelige gegevens en biometrische gegevens. De autoriteit biedt praktische handleidingen en een zelfbeoordelingstool om bedrijven te helpen controleren of ze voldoen aan de wettelijke vereisten, en geeft advies aan het mkb en zeer kleine ondernemingen.
• ARCOM grijpt in bij digitale en audiovisuele content, waaronder "deepfakes".
• ANSSI zal ingrijpen op het gebied van cyberbeveiliging.
• Het HAS zal geschikt zijn voor AI-systemen die in de medische sector worden gebruikt.

Deze samenloop van verantwoordelijkheden, die onvermijdelijk tot overlappingen zal leiden, vereist een betere samenwerking tussen de betrokken partijen. De DGCCRF fungeert als centraal aanspreekpunt op operationeel niveau.

De risico's bij een overtreding kunnen aanzienlijk zijn.

De sancties variëren afhankelijk van het risiconiveau: tot 35 miljoen euro of 71 TP4T van de wereldwijde omzet voor verboden AI, 15 miljoen euro of 31 TP4T voor niet-conforme AI met een hoog risico en 7,5 miljoen euro of 11 TP4T voor gebrek aan transparantie.

Voor het mkb en zeer kleine bedrijven zijn de boetes gemaximeerd op het laagste bedrag van de absolute drempel en het percentage van de omzet.

De regelgeving is op een gemoduleerde manier van toepassing op elk AI-systeem dat door een organisatie wordt gebruikt, en niet op de organisatie als geheel.

Het is daarom raadzaam om alle gebruikte systemen (inclusief AI van derden en uitbesteding) in kaart te brengen en hun risiconiveau te beoordelen om de naleving hierop aan te passen.

In Frankrijk

Frankrijk is het eerste Europese land dat een wet heeft aangenomen die de toegang tot sociale netwerken voor minderjarigen onder de 15 jaar verbiedt.

De compromistekst die het parlement op 21 juli heeft aangenomen, legt de verplichting bij dienstverleners om een betrouwbaar leeftijdsverificatiesysteem te implementeren, zonder een specifiek mechanisme op te leggen.

Vanaf 1 september 2026 kunnen minderjarigen onder de vijftien jaar geen nieuwe accounts meer aanmaken op deze platforms.

Voor bestaande accounts gaat het verbod in na een periode van vier maanden, oftewel op 1 januari 2027. ARCOM is verantwoordelijk voor de naleving van dit verbod.

Merk op dat de tekst vragen oproept over proportionaliteit, omdat alle gebruikers van sociale netwerken hun leeftijd moeten bewijzen. De effectiviteit van het mechanisme wordt in twijfel getrokken door tegenstanders die wijzen op de wisselende resultaten die Australië op dit gebied heeft behaald.

De Grondwetgevende Raad is door twee groepen parlementsleden verzocht de tekst te herzien. Daarnaast is de Europese Commissie van plan dit najaar een voorstel over dit onderwerp te presenteren, waarbij prioriteit wordt gegeven aan leeftijdsverificatiemechanismen die de anonimiteit waarborgen.

Vanaf 11 augustus en krachtens een decreet van 23 juli is telefonische werving in principe verboden voor bedrijven in alle sectoren, behalve in uitzonderlijke omstandigheden, in tegenstelling tot het Bloctel-systeem waarvoor een actieve opt-out vereist is.

• Wanneer het telefoongesprek betrekking heeft op een contract dat met het bedrijf is gesloten om bijvoorbeeld aanvullende producten of diensten aan te bieden, of een aanbod dat gericht is op het verbeteren van de geleverde service of de prestaties daarvan.
• Wanneer het betreffende bedrijf vooraf toestemming heeft gekregen om voor marketingdoeleinden te worden benaderd, moet deze toestemming "vrijwillig", "geïnformeerd" en "door middel van een duidelijke bevestigende handeling" zijn gegeven.

Niet-naleving kan leiden tot boetes van maximaal 375.000 euro voor rechtspersonen, evenals tot de nietigheid van contracten die zijn gesloten na onregelmatige werving.

Afgelopen april nam de CNIL een streng standpunt in met betrekking tot trackingpixels in e-mails en gaf bedrijven drie maanden de tijd om te voldoen aan de wettelijke bepalingen ter bescherming van elektronische communicatie.

Sindsdien zijn er talloze berichten in ieders mailbox beland met het verzoek om toestemming te geven voor het bijhouden van het moment waarop e-mails worden geopend. Op 22 juli publiceerde de CNIL (Franse Autoriteit voor Gegevensbescherming) een reeks vragen en antwoorden om de voorwaarden voor de implementatie van haar aanbeveling te verduidelijken.

De CNIL en het CIANum (AI and Digital Council) hebben gezamenlijk nagedacht over de vraagstukken die AI met zich meebrengt voor de bescherming van persoonsgegevens en hebben een verkennende nota gepubliceerd.

Dit werk sluit aan op de discussies die de CNIL over dit onderwerp heeft gevoerd met haar internationale tegenpartijen, met name in het kader van de G7 van gegevensbeschermingsautoriteiten.

Het document wijst op een schaalverandering in het gebruik van AI, dat steeds gangbaarder wordt, en roept vragen op over verantwoordelijkheid en verlies van controle over persoonsgegevens. Hoewel het huidige wettelijke kader van toepassing is op deze systemen, benadrukt de CNIL de uitdaging om de implementatiemethoden aan te passen.

Doctolib kondigde begin juli in een e-mail aan zijn 60 miljoen gebruikers aan dat het vanaf augustus, tenzij zij bezwaar maakten, een deel van hun gezondheidsgegevens zou gebruiken om zijn kunstmatige intelligentietools te trainen en te verbeteren, als onderdeel van onderzoeksprojecten in samenwerking met Inria, Inserm en Université Paris Cité.

Het bedrijf verklaart dat de betreffende gegevens gepseudonimiseerd zijn en dat het gebruik ervan onderworpen is aan de regels van de CNIL.

Dit onderzoeksproject heeft een aantal reacties uitgelokt, waaronder die van de Liga voor de Rechten van de Mens. In een persbericht van 16 juli bekritiseerde de Liga de standaardregistratie van gebruikers voor het onderzoeksproject en het feit dat het wordt uitgevoerd door een particulier bedrijf (waarvan de gegevens worden opgeslagen door een bedrijf dat onder de Amerikaanse wetgeving valt) in plaats van door een overheidsinstantie.

In Europa

Europese instellingen en organen

Het Europees Parlement heeft op 9 juli gestemd over de verlenging van de regeling "Chat Control 1.0", waarmee digitale bedrijven vrijwillig en zonder verplichting privéberichten kunnen analyseren.

Deze "tijdelijke afwijking" van de regels met betrekking tot privacy en elektronische communicatie, bedoeld om online seksueel misbruik van kinderen op te sporen, blijft van kracht tot 3 april 2028.

Deze tekst, die in maart door het parlement was verworpen, werd opnieuw op de agenda geplaatst tijdens een tweede lezing, waarbij voor de afwijzing van het voorstel een absolute meerderheid van alle leden vereist is.

Ondertussen onderhandelen wetgevers over een bijgewerkt kader, "Chat Control 2.0", dat toegang zou kunnen verschaffen tot de inhoud van versleutelde communicatie. Dit project wordt door meer dan 800 cybersecurity-onderzoekers beschouwd als een bedreiging voor de versleuteling en vertrouwelijkheid van communicatie.

Op 7 juli presenteerde de Europese Commissie een actieplan inzake cyberbeveiliging en kunstmatige intelligentie, gericht op "het bevorderen van veilig en verantwoord gebruik van AI en het versterken van de cyberbeveiliging van Europa".

Het actieplan vormt een aanvulling op het bestaande EU-rechtskader inzake AI en cyberbeveiliging, waaronder de AI-verordening, de verordening inzake cyberweerbaarheid, de NIS2-richtlijn, de verordening inzake digitale operationele weerbaarheid (DORA) en de verordening inzake cybersolidariteit.

Op 23 juli publiceerde de Europese Commissie twee besluiten waarin werd vastgesteld dat Google de Verordening inzake digitale markten (DMA) had overtreden door zijn eigen diensten te bevoordelen in Google Search en door bedrijven beperkingen op te leggen om te voorkomen dat ze Google Play-gebruikers naar andere, vaak goedkopere, aankoopkanalen zouden leiden. Google kreeg respectievelijk een boete van € 460 miljoen en € 430 miljoen opgelegd.

Op 8 juli publiceerde het Europees Comité voor gegevensbescherming (EDPB) nieuwe richtlijnen die de toepassing van de AVG op twee belangrijke kwesties moeten verduidelijken:

• Gegevensanonimisering
• Webscraping in de context van generatieve AI.

Wat betreft anonimisering, stelt de commissie dat gegevens pas als werkelijk anoniem kunnen worden beschouwd als er geen redelijke mogelijkheid tot heridentificatie bestaat, met name op basis van drie criteria: de afwezigheid van isolatie, koppeling en deductie.

De richtlijnen houden met name rekening met het arrest van het Hof van Justitie van de Europese Unie in zaak C-413/23 P, EDPB tegen SRB van 4 september 2025.

Wat webscraping betreft, wijst het Europees Comité voor gegevensbescherming (EDPB) erop dat het automatisch verzamelen van persoonsgegevens voor het trainen van AI-modellen nog steeds onder de AVG valt, met name de vereisten inzake rechtsgrondslag, transparantie en doelbinding.

Deze twee conceptrichtlijnen staan tot 30 oktober 2026 open voor publieke raadpleging. Daarnaast zijn de blockchainrichtlijnen in hun definitieve versie vastgesteld.

Op 31 juli 2026 stuurde het Europees Comité voor gegevensbescherming (EDPB) ook een brief naar de Europese Commissie met het verzoek te onderzoeken of de uitspraak van het Amerikaanse Hooggerechtshof in de zaak Trump tegen Slaughter waarschijnlijk gevolgen zou hebben voor de geldigheid van het EU-VS-kader voor gegevensbescherming.

Het Hof van Justitie van de Europese Unie (CJEU) heeft op 16 juli geoordeeld dat professionele e-mails communicaties vormen die beschermd worden door de artikelen 7 en 8 van het Handvest van de grondrechten van de Europese Unie, maar dat ze door een mededingingsautoriteit in het kader van een onderzoek in beslag kunnen worden genomen zonder voorafgaande rechterlijke toestemming, mits er een strikt wettelijk kader en adequate waarborgen tegen misbruik en willekeur aanwezig zijn (Gezamenlijke zaken C-258/23 tot en met C-260/23).

In haar uitspraak van 14 juli (C 474/24 – NADA Oostenrijk en anderen) oordeelde zij dat de publicatie van de namen van professionele atleten die de antidopingregels hadden overtreden, rechtmatig kon zijn.

De instantie die verantwoordelijk is voor de publicatie moet echter in staat zijn de tegenstrijdige belangen af te wegen om het proportionaliteitsbeginsel te respecteren. Er werd tevens erkend dat een klacht als preventieve maatregel kan worden ingediend.

Het Hof van Justitie van de EU heeft uiteindelijk in een arrest van 9 juli (C-199/24 ND tegen Legal Newsdesk Sweden AB) geoordeeld dat de publicatie van informatie over strafrechtelijke veroordelingen in openbaar toegankelijke databases geen journalistieke activiteit vormt en niet in aanmerking komt voor een uitzondering op grond van de AVG op grond van nationale wetgeving ter omzetting van artikel 85(2).

Nieuws uit de lidstaten van de Europese Unie.

In Oostenrijk heeft de Hoge Administratieve Rechtbank na zeven jaar procederen de boete van 13 miljoen euro die aan de Oostenrijkse posterijen was opgelegd, bekrachtigd.

Het bedrijf had gegevens verzameld over de politieke voorkeuren van meer dan twee miljoen mensen en had deze informatie verkocht aan derden voor direct marketingdoeleinden.

Hoewel het bedrijf te goeder trouw argumenteerde en zich beriep op de adviezen van consultants die zijn werkwijzen hadden bevestigd, verwierp het Hooggerechtshof deze argumenten en stelde dat "geen handelen of kennis van de bestuursorganen vereist is om een rechtspersoon te sanctioneren". Het Hof oordeelde verder dat "onverdedigbare" juridische adviezen niet als verzachtende omstandigheid, noch als vrijpleitende factor, mogen worden beschouwd.

Op 14 juli heeft het Europees Comité voor gegevensbescherming (EDPB) een besluit uitgevaardigd waarin de Belgische Autoriteit voor Gegevensbescherming (APD) wordt opgedragen de klacht van de ngo Noyb te behandelen, een klacht die de APD eerder als niet-ontvankelijk had beschouwd. In een bindend besluit heeft het Comité onderzocht of de klacht moest worden afgewezen wegens misbruik van rechten en bevestigd dat het machtigen van een non-profitorganisatie of -vereniging om namens een klager een klacht in te dienen, in overeenstemming is met de AVG.

De Spaanse Autoriteit voor Gegevensbescherming (APD) heeft een genomics- en biotechnologiebedrijf een boete van 2,4 miljoen euro opgelegd omdat het bedrijf genetische en gezondheidsgegevens niet adequaat beschermde en een datalek met persoonsgegevens pas na de gestelde termijn van 72 uur bij de autoriteit meldde.

De APD heeft Vodafone ook een boete van € 1.050.000 opgelegd wegens onvoldoende gegevensbeschermingsmaatregelen.

De Italiaanse Autoriteit voor Gegevensbescherming (APD) heeft een energieleverancier een boete van 5,8 miljoen euro opgelegd wegens het niet openbaar maken van kredietratings of het niet uitleggen hoe deze waren berekend, het illegaal delen van schuldgegevens binnen de groep, het tien jaar lang bewaren van kredietgegevens zonder voldoende rechtvaardiging en het hergebruiken ervan voor onverenigbare doeleinden.

De Italiaanse Autoriteit voor Gegevensbescherming heeft Lusha Systems Inc., een Amerikaanse databroker die via haar platform tegen betaling "verrijkte" informatie over personen aanbiedt, zoals hun beroepssituatie, e-mailadressen en telefoonnummers, een boete van 2 miljoen euro opgelegd.

Lusha verzamelt deze gegevens uit verschillende bronnen (gegevensextractie van sociale netwerken, aankoop van gegevens van andere databrokers, enz.) en stelt ze beschikbaar aan haar klanten voor commerciële doeleinden of ter bestrijding van fraude.

Het bedrijf voert ook updates uit waarbij het gedrag van de betrokken personen online wordt gemonitord, wat onder de AVG valt. De Italiaanse Autoriteit voor Gegevensbescherming (APD) heeft de verwerking van gegevens van personen die zich in Italië bevinden verboden en de verwijdering ervan bevolen.

De APD heeft ook de telecomaanbieder TIM gesanctioneerd voor talrijke overtredingen van de regelgeving met betrekking tot privacy en telemarketing.

Verschillende callcenters, die als onderaannemers optraden, voerden promotionele telefoongesprekken namens het bedrijf, waarbij ze gebruik maakten van nummers die niet tot het officiële verkoopnetwerk behoorden, om op illegale wijze klantgegevens te verzamelen.

De autoriteit wijst erop dat het naleven van een gedragscode de verantwoordelijke partij niet ontslaat van de verplichting om de activiteiten van zijn onderaannemers te controleren en te verifiëren of de gegevensbeschermingsmaatregelen in de gehele telemarketingketen effectief worden toegepast.

Internationaal

In Canada is op 15 juni een wetsvoorstel ingediend dat de bevoegdheden van de DPA (Data Protection Authority) om toezicht te houden op de particuliere sector wil afschaffen en een centraal orgaan wil creëren dat verantwoordelijk is voor de regulering van online schadelijke inhoud, sociale netwerken, AI-gebaseerde chatbots en privacybescherming in de particuliere sector.

In de Verenigde Staten is sectie 702 van de Foreign Intelligence Surveillance Act (FISA) in juni verlopen.

Sinds 2008 stond deze bepaling Amerikaanse inlichtingendiensten toe om zonder gerechtelijk bevel communicatie van buitenlandse staatsburgers buiten de Verenigde Staten te onderscheppen.

Al enkele jaren stelde een groeiend aantal parlementariërs de verlenging van artikel 702 afhankelijk van een mandaatvereiste. Uiteindelijk kregen ze de benodigde stemmen om hun standpunt kenbaar te maken.

De machtigingen van het Foreign Intelligence Surveillance Court (FISC) die in maart zijn verlengd voor het programma van artikel 702 blijven echter van kracht en "blijven ongewijzigd van toepassing, in ieder geval tot 17 maart 2027", aldus parlementslid Jamie Raskin.

Sommige bedrijven hebben in besloten kring gewaarschuwd dat ze zullen stoppen met samenwerken zodra de wet afloopt, uit angst voor juridische aansprakelijkheid bij afwezigheid van een bestaande wet die de eisen van de overheid ondersteunt.

Inlichtingendiensten en telecommunicatiebedrijven staan daardoor voor de onzekerheid welke gegevensverzamelingsactiviteiten wettelijk gezien nog mogen worden voortgezet.

Ook in de Verenigde Staten is de minnelijke schikking die met het bedrijf 23andMe is bereikt na de cyberaanval van 2023, die ongeveer 6,4 miljoen klanten trof, definitief goedgekeurd door een Amerikaanse rechtbank.

De Amerikaanse slachtoffers van wie de genetische gegevens zijn gelekt, hebben echter nog geen compensatie ontvangen vanwege het faillissement van het bedrijf.

Het compensatiefonds bedraagt 46,75 miljoen dollar, maar de meeste begunstigden zullen slechts een beperkte vergoeding ontvangen. De hoogste bedragen zijn gereserveerd voor slachtoffers die aanzienlijke schade kunnen aantonen.

De "Verklaring van Rome voor een vrede zonder wapens en gebaseerd op ontwapening in het tijdperk van kunstmatige intelligentie, kernwapens en autonome wapens, nieuwe digitale protocollen en opkomende patronen van digitale ontwikkeling" werd op donderdag 16 juli ondertekend op de Capitolijnse heuvel in Rome, waarmee de Wereldvergadering van Nobelprijswinnaars over kunstmatige intelligentie en kernoorlogvoering werd afgesloten.