Deployer of provider? Waarom het verschil je miljoenen kan kosten

Veel organisaties denken dat de EU AI Act niet voor hen geldt. "Wij bouwen geen AI, wij gebruiken het alleen." Dat klopt — maar het maakt je niet minder verantwoordelijk. In de terminologie van de AI Act ben je dan een "deployer", en dat brengt zijn eigen verplichtingen met zich mee. Verplichtingen waar forse boetes aan hangen als je ze negeert.

Provider vs. deployer: het verschil

De EU AI Act onderscheidt twee hoofdrollen:

Het onderscheid klinkt helder, maar in de praktijk is het dat niet altijd.

Waarom vrijwel elke organisatie een deployer is

Gebruik je Microsoft 365 met Copilot? Dan ben je deployer. Hebben je medewerkers toegang tot ChatGPT of Gemini? Deployer. Staat er een chatbot op je website? Deployer. Gebruikt je HR-afdeling een tool die cv's screent of rangschikt? Deployer — en dan ook nog van een hoogrisico-systeem.

De drempel is laag. Zodra je een AI-systeem inzet in je organisatie — ook als het door een ander is gemaakt — val je onder de deployerverplichtingen van de AI Act.

En let op: dit geldt ook voor ongeautoriseerd gebruik. Als een medewerker de gratis versie van ChatGPT gebruikt om een klantmail te beantwoorden, maakt dat jouw organisatie tot deployer — ook als je er niet van wist. En bij de gratis versie worden ingevoerde gegevens mogelijk gebruikt om het model te trainen. Dat is niet alleen een deployer-kwestie, dat is ook een datalek.

De verplichtingen van een deployer

Deployers hebben minder verplichtingen dan providers, maar het zijn er meer dan de meeste organisaties denken:

Wanneer word je onbedoeld een provider?

Hier wordt het echt gevaarlijk. De AI Act bepaalt dat je van deployer naar provider verschuift als je een bestaand AI-systeem substantieel aanpast. Concreet:

Onderzoek wijst uit dat zo'n 40% van MKB-bedrijven die met AI werken, onbewust de provider-grens overschrijdt. Vaak door finetuning of door een AI-tool in te zetten voor een ander doel dan bedoeld.

De boetes

De EU AI Act kent een gelaagd boetesysteem:

Ter vergelijking: de GDPR kent maximaal 20 miljoen euro of 4%. De AI Act gaat daar dus ruim overheen.

Maar minstens zo belangrijk als de hoogte van de boete is de verwijtbaarheid. Toezichthouders kijken niet alleen naar wat er is misgegaan, maar naar wat je hebt gedaan om het te voorkomen. Het ontbreken van AI-geletterdheidstraining is daarbij "laaghangend fruit" — het is een verplichting die eenvoudig te vervullen is, en juist daarom extra verwijtbaar als je het niet hebt gedaan.

Wat je nu moet doen

Tot slot

De EU AI Act is niet geschreven om innovatie te remmen. Het is geschreven om ervoor te zorgen dat AI veilig en verantwoord wordt ingezet. Als deployer hoef je niet in paniek te raken — maar je moet wel weten wat je rol is, wat je verplichtingen zijn, en waar de grens ligt.

Het verschil tussen een organisatie die dit begrijpt en een die dat niet doet, kan letterlijk miljoenen kosten.