KI-Verordnung in Duitsland: plichten, termijnen en toezicht
Wat de EU AI-verordening (KI-Verordnung) van bedrijven in Duitsland eist: risiconiveaus, toepassingsdata, boetes en de toezichthouder.
Aanbieders, gebruiksverantwoordelijken, importeurs en distributeurs van AI-systemen in de EU moeten Verordening (EU) 2024/1689 naleven, in Duitsland KI-Verordnung genoemd. De meeste verboden praktijken gelden sinds 2 februari 2025. Hoogrisicoplichten gelden vanaf 2 december 2027 (bijlage III) en vanaf 2 augustus 2028 (bijlage I).
De verordening geldt voor systemen die in de EU in de handel worden gebracht of in gebruik worden gesteld. Artikel 2 noemt uitzonderingen. In Duitsland is de Bundesnetzagentur (federaal netwerkagentschap) in principe de markttoezichtautoriteit (§ 2(1) KI-MIG). Boetes voor verboden praktijken bedragen maximaal 35 miljoen EUR of 7 % van de wereldwijde jaaromzet, als dat bedrag hoger is (artikel 99(3)). Volgende stap: deel elk AI-systeem in naar risiconiveau.
Belangrijke data
- Inwerkingtreding
- 1 augustus 2024
- Verboden praktijken gelden (artikel 5)
- 2 februari 2025; verboden op bepaalde intieme en schadelijke inhoud: 2 december 2026
- Plichten voor AI-modellen voor algemene doeleinden (hoofdstuk V)
- 2 augustus 2025; eerder in de handel gebrachte modellen: 2 augustus 2027
- Transparantieplichten (artikel 50)
- 2 augustus 2026
- Hoogrisicoplichten (hoofdstuk III, afdelingen 1 tot en met 3)
- 2 december 2027 (bijlage III); 2 augustus 2028 (bijlage I)
Wat voor welk systeem geldt (onze indeling van de regels van de verordening)
Verboden praktijken (artikel 5)
Voorbeelden zijn schadelijke manipulatie, social scoring, het ongericht scrapen van gezichtsafbeeldingen en het afleiden van emoties op het werk en in het onderwijs, behalve om medische of veiligheidsredenen. De meeste verboden gelden sinds 2 februari 2025.
Hoogrisico-AI-systemen (artikel 6)
Gebieden uit bijlage III zoals werkgelegenheid, onderwijs, kredietscoring en rechtshandhaving. Ook systemen die een veiligheidscomponent zijn van een product, of zelf een product zijn, onder wetgeving uit bijlage I dat een conformiteitsbeoordeling door een derde vereist. Aanbieders voldoen aan de artikelen 9 tot en met 15 en artikel 16; gebruiksverantwoordelijken aan artikel 26. Voor wetgeving uit bijlage I, afdeling B, gelden alleen de artikelen 6(1), 60a en 102 tot en met 112.
Transparantieplichten (artikel 50)
Chatbots zeggen dat mensen met AI communiceren, tenzij dat duidelijk is. Aanbieders markeren synthetische inhoud in een machineleesbaar formaat, en gebruiksverantwoordelijken maken deepfakes bekend en informeren personen die worden blootgesteld aan emotieherkenning of biometrische categorisering. Artikel 50 kent uitzonderingen, bijvoorbeeld voor systemen die bij wet zijn toegestaan om strafbare feiten op te sporen of te vervolgen.
AI-modellen voor algemene doeleinden (artikelen 51 tot en met 55)
Aanbieders documenteren het model, voeren een auteursrechtbeleid in en publiceren een samenvatting van de trainingsinhoud. Aanbieders van vrije en opensourcemodellen zijn vrijgesteld van de documentatieplichten, tenzij het model een systeemrisico heeft (artikel 53(2)). Modellen met systeemrisico hebben meer plichten.
Alle andere AI-systemen
Behalve AI-geletterdheid (artikel 4) en transparantieplichten waar artikel 50 geldt, stelt de verordening er geen specifieke eisen aan. Gedragscodes zijn vrijwillig (artikel 95).
Drie verdiepende gidsen: hoogrisicosystemen, checklist en vereisten per rol
KI-Verordnung: hoogrisico-AI-systemen
Welke AI-systemen hoogrisico zijn, aan welke eisen aanbieders voldoen en wie in Duitsland toezicht houdt.
KI-Verordnung: checklist voor aanbieders en gebruiksverantwoordelijken
Checklist van plichten in de volgorde van hun toepassingsdata, van verboden praktijken tot hoogrisicoverplichtingen.
KI-Verordnung: vereisten per rol
Wat aanbieders, gebruiksverantwoordelijken, importeurs en distributeurs moeten doen, inclusief documentatie, risicobeheer en transparantieplichten.
Meer bronnen: hub over de AI-verordening en risicoclassificatie
De gids voor ontwikkelaars over de EU AI-verordening
Legt de verordening artikel voor artikel uit: termijnen, verboden praktijken, hoogrisicoplichten, AI-modellen voor algemeen gebruik en boetes, plus gidsen per sector.
AI-risicoclassificatie onder de EU AI-verordening
Laat zien hoe u het risiconiveau van uw AI-systeem bepaalt: een beslisboom, de gebieden van bijlage III, de productroute van bijlage I en de documentatie van bijlage IV.
Boetes: drie niveaus in artikel 99
Tot 35 miljoen EUR of 7 % van de wereldwijde jaaromzet
Het hoogste bedrag geldt. Voor verboden praktijken uit artikel 5 (artikel 99(3)).
Tot 15 miljoen EUR of 3 % van de wereldwijde jaaromzet
Het hoogste bedrag geldt. Voor schending van de verplichtingen van aanbieders, gemachtigden, importeurs, distributeurs en gebruiksverantwoordelijken en van artikel 50 (artikel 99(4)). De Commissie kan aanbieders van AI-modellen voor algemene doeleinden boetes tot dezelfde bedragen opleggen (artikel 101).
Tot 7,5 miljoen EUR of 1 % van de wereldwijde jaaromzet
Het hoogste bedrag geldt. Voor onjuiste, onvolledige of misleidende informatie aan aangemelde instanties of autoriteiten (artikel 99(5)).
In Duitsland regelt de KI-MIG de boetes (§ 1).
Uitzonderingen, oudere systemen en maxima voor boetes
De verordening is niet van toepassing op AI-systemen die uitsluitend voor militaire doeleinden, defensie of nationale veiligheid worden gebruikt (artikel 2(3)). Ze is niet van toepassing op AI-systemen die specifiek en uitsluitend voor wetenschappelijk onderzoek en wetenschappelijke ontwikkeling zijn ontwikkeld en in gebruik gesteld (artikel 2(6)), noch op onderzoek, testen of ontwikkeling vóór het in de handel brengen of in gebruik stellen, behalve testen onder reële omstandigheden (artikel 2(8)). Systemen onder vrije en opensourcelicenties zijn uitgezonderd, tenzij ze als hoogrisicosystemen in de handel worden gebracht of in gebruik worden gesteld of onder artikel 5 of 50 vallen (artikel 2(12)). Natuurlijke personen die een systeem in een zuiver persoonlijke niet-beroepsmatige activiteit gebruiken, zijn niet als gebruiksverantwoordelijke gebonden (artikel 2(10)). Voor hoogrisicosystemen die verband houden met producten onder wetgeving uit bijlage I, afdeling B, zoals motorvoertuigen, luchtvaart, spoorwegen, scheepsuitrusting, landbouwvoertuigen en machines, gelden alleen artikel 6(1), artikel 60a en de artikelen 102 tot en met 112. De artikelen 57 tot en met 59 gelden alleen voor zover die wetgeving de vereisten overneemt (artikel 2(2)).
Hoogrisicosystemen die vóór de toepassingsdatum in de handel zijn gebracht of in gebruik zijn gesteld, vallen er pas onder na ingrijpende ontwerpwijzigingen. In elk geval moeten aanbieders en gebruiksverantwoordelijken van hoogrisico-AI-systemen die bedoeld zijn om door overheidsinstanties te worden gebruikt, uiterlijk 2 augustus 2030 de nodige stappen ondernemen om te voldoen (artikel 111(2)).
Voor mkb-bedrijven geldt per boete het laagste percentage of bedrag als maximum (artikel 99(6)). Voor kleine midcapondernemingen (artikel 3, punt 14b) geldt hetzelfde maximum voor boetes uit artikel 99, leden 4 en 5 (artikel 99(6a)). De categorie van 15 miljoen EUR omvat ook de verplichtingen van aanbieders en marktdeelnemers uit artikel 25, leden 2 en 4 (artikel 99(4), punt da)).
Scanara bereidt bewijs voor vanuit uw repositories
Scanara leest uw gekoppelde GitHub-repositories en voert regelgebaseerde scans uit op gangbare AI- en machine-learningpatronen. Niet-standaardcode kan het missen. Daarnaast genereert het conceptdocumentatie op basis van sjablonen en uw antwoorden in de beoordelingen, als bewijs voor uw compliancewerk. De indeling bepaalt u zelf.