De Europese AI Act legt makers van risicovolle AI-systemen veel verplichtingen op, maar zegt weinig over de uitvoering. Sinds 14 oktober ligt er voor één onderdeel een officieel antwoord: de norm EN 18286 voor kwaliteitsmanagement is als eerste geharmoniseerde norm onder de wet in het Publicatieblad van de EU verschenen. Het Laatste AI Nieuws zette op een rij wat dat wel en niet betekent.

Bestaande norm, nieuwe status

De tekst van de norm lag er al. De Europese normalisatie-instituten CEN en CENELEC publiceerden EN 18286 in juli, en het Nederlandse NEN nam hem eind juli over. Wat nu verandert, is de juridische waarde. Met een uitvoeringsbesluit van 12 oktober heeft de Europese Commissie de norm officieel erkend. Daardoor geldt een zogenoemd vermoeden van conformiteit: een bedrijf dat de norm volgt, wordt geacht te voldoen aan de eisen die de norm afdekt. Tot 14 oktober kon niemand zich daarop beroepen.

Waar de norm over gaat

EN 18286 hoort bij artikel 17 van de AI Act. Dat artikel verplicht aanbieders van hoog-risico-AI om een vastgelegd kwaliteitssysteem te hebben. Denk aan afspraken over:

  • hoe een systeem wordt ontworpen en getest;
  • hoe met trainings- en testdata wordt omgegaan;
  • hoe risico's worden beheerst;
  • hoe ernstige incidenten worden gemeld;
  • hoe een systeem wordt gevolgd nadat het op de markt is.

Volgens de Europese Commissie volgt de norm de levensloop van een AI-systeem en is hij zo opgezet dat bedrijven hem kunnen inpassen in kwaliteitssystemen die ze al hebben, zoals ISO 9001 of de AI-managementnorm ISO/IEC 42001.

Drie misverstanden

De norm is geen keurmerk voor een AI-model. Hij beoordeelt het kwaliteitssysteem van de maker, niet hoe goed of eerlijk een systeem presteert. Hij is ook niet verplicht: een bedrijf mag een eigen route kiezen, maar moet dan zelf aantonen dat het aan artikel 17 voldoet. En wie al een certificaat voor ISO/IEC 42001 heeft, is daarmee niet automatisch klaar. Die internationale norm geeft onder de AI Act geen vermoeden van conformiteit, al bevat EN 18286 wel een vergelijkingstabel.

Nog negen normen te gaan

De Commissie vroeg om normen voor tien onderwerpen, waaronder ook risicobeheer, datakwaliteit, menselijk toezicht, nauwkeurigheid, robuustheid en cyberveiligheid. Voor de overige negen is nog geen datum genoemd. Het ontbreken van die normen was een van de redenen waarom de EU de strengste regels voor hoog-risico-AI eerder dit jaar uitstelde: naar 2 december 2027 voor losse systemen en naar 2 augustus 2028 voor AI die in producten zit.

Wie merkt hier iets van?

In de eerste plaats Nederlandse en Europese bedrijven die AI bouwen voor toepassingen die de wet als risicovol ziet, zoals het selecteren van sollicitanten, het beoordelen van kredietaanvragen of het beoordelen van leerlingen. Voor hen is er nu een concreet houvast om zich voor te bereiden, en een gedeelde maatstaf waaraan toezichthouders straks kunnen toetsen. Voor jou als burger verandert er voorlopig niets. De echte bescherming hangt af van de normen die nog moeten komen: kwaliteitsmanagement regelt het papierwerk rond een systeem, niet of het systeem zelf eerlijk en nauwkeurig werkt.

Ook buiten de techsector bereiden beroepsgroepen zich voor op de AI-verordening. Zo kunnen notarissen sinds kort een gratis AI-basistraining volgen waarin de wet een vast onderdeel is.