Nederland kiest bij de uitvoering van de Europese AI Act niet voor één centrale AI-autoriteit, maar verdeelt de taken over tien bestaande markttoezichthouders. Dat benut bestaande kennis, maar maakt de uitvoering ook afhankelijk van goede samenwerking, duidelijke regels en voldoende capaciteit. In haar toets op de wetgeving waarschuwt de Rijksinspectie Digitale Infrastructuur (RDI) dat onduidelijke Europese regels, versnipperde financiering en personeelstekorten de uitvoering kwetsbaar maken. Zonder extra capaciteit kan volgens de inspectie zelfs het bestaande toezicht ‘verwateren’.
Binnen de voorgestelde structuur krijgen de Autoriteit Persoonsgegevens (AP) en de RDI belangrijke coördinerende rollen. Zij moeten onder meer samenwerken met toezichthouders als de AFM, DNB, de Inspectie Gezondheidszorg en Jeugd (IGJ) en de Nederlandse Arbeidsinspectie. Het uitgangspunt is dat het toezicht zoveel mogelijk aansluit bij het bestaande sector- en producttoezicht.
Dat model past bij de dagelijkse praktijk, maar verplaatst de druk naar de samenwerking achter de schermen: wie zorgt ervoor dat verschillende toezichthouders dezelfde Europese regels op een vergelijkbare manier uitleggen?
Een belangrijk knelpunt zit in de Europese regels zelf. Het is nog niet altijd duidelijk wanneer een AI-systeem als veiligheidscomponent geldt of wanneer een toepassing onder de strengere regels voor hoogrisico-AI valt.
Die uitleg bepaalt rechtstreeks hoeveel werk er op toezichthouders afkomt. Bij een ruime interpretatie kunnen aanzienlijk meer apparaten en softwaretoepassingen binnen het hoogrisicoregime vallen. Zolang die grenzen niet volledig duidelijk zijn, is het voor inspecties moeilijk om goed in te schatten hoeveel mensen en expertise zij nodig hebben.
Ook voor bedrijven levert dat onzekerheid op. Zij moeten kunnen bepalen welke verplichtingen op hun AI-systemen van toepassing zijn en welke toezichthouder daarvoor verantwoordelijk is.
De afhankelijkheid tussen organisaties wordt het duidelijkst zichtbaar bij de geplande AI-sandbox.
Wat is een AI-sandbox?
Een regulatory sandbox is een begeleide omgeving waarin ontwikkelaars van AI-systemen tijdens de ontwikkelfase samen met toezichthouders kunnen onderzoeken hoe zij aan de AI Act moeten voldoen. Zo kunnen juridische en technische vragen worden opgelost voordat een systeem op de markt wordt gebracht.
Nederland wil één gezamenlijke, multisectorale sandbox opzetten waaraan de relevante toezichthouders kunnen bijdragen. Dat is belangrijk omdat AI-systemen vaak meerdere toezichtsdomeinen tegelijk raken.
Juist daar ontstaat een organisatorisch risico. De financiering van de betrokken toezichthouders loopt via verschillende ministeries. Als een toezichthouder onvoldoende capaciteit beschikbaar heeft, kan die instantie niet altijd goed deelnemen aan een sandboxtraject.
Volgens de RDI kan dat ertoe leiden dat een hele productsector of een volledig domein niet aan de sandbox kan deelnemen.
De RDI verwacht bovendien dat de formele sandbox maar een beperkt deel van alle vragen kan opvangen. Veel organisaties zullen wel behoefte hebben aan duidelijkheid, maar niet voldoen aan de voorwaarden om aan een formeel sandboxtraject deel te nemen.
Daarom willen AP en RDI ook via een centraal AI-contactpunt vragen kunnen beantwoorden. Denk bijvoorbeeld aan vragen als: valt een toepassing onder de definitie van een AI-systeem, of is sprake van hoogrisico-AI?
Zo’n centraal contactpunt moet voorkomen dat iedere toezichthouder dezelfde basisvragen afzonderlijk gaat beantwoorden. Tegelijk vraagt ook dat om duidelijke werkafspraken en voldoende capaciteit.
AI is bovendien geen losse toezichtstaak die eenvoudig naast het bestaande werk kan worden gelegd. Een inspecteur die nu bijvoorbeeld apparatuur controleert, krijgt er onder de AI Act extra eisen en risico’s bij. Inspecties worden daardoor uitgebreider en kunnen meer tijd kosten.
De RDI waarschuwt dat zonder extra mensen en middelen het bestaande toezicht kan ‘verwateren’. Toezichthouders moeten tegelijkertijd nieuwe AI-kennis opbouwen, meer incidenten en klachten kunnen behandelen en hun bestaande wettelijke taken blijven uitvoeren.
Daarmee wordt capaciteit een directe voorwaarde voor de kwaliteit van het nieuwe AI-toezicht.
De waarschuwing van de RDI maakt duidelijk dat de uitvoering van de AI Act niet alleen staat of valt met de inhoud van de Europese regels, maar ook met de manier waarop Nederland het toezicht organiseert.
Het verdelen van taken over bestaande toezichthouders benut bestaande kennis, maar maakt organisaties ook afhankelijker van goede onderlinge afstemming. Verschillen in budget, personele capaciteit of uitleg van de regels kunnen daardoor gevolgen hebben die verder gaan dan één toezichthouder.
De kernvraag bij de Nederlandse aanpak is daarom niet alleen wie welke AI-toepassing controleert, maar vooral of de overheid de samenwerking, financiering en kennisdeling tussen alle betrokken toezichthouders voldoende op orde krijgt.
