Hieronder een overzicht van de belangrijkste wetten en richtlijnen die van toepassing zijn op AI in de EU en in Nederland.
EU-niveau
Artificial Intelligence Act (Regulation (EU) 2024/1689)
Eerste alomvattende AI-verordening, in werking getreden op 1 augustus 2024. Geleidelijk volledig toepasbaar tot augustus 2027, met een risicogebaseerd kader (verbod op onaanvaardbare risico’s, transparantie- en conformiteitseisen voor hoog-risico-systemen, verplichtingen voor aanbieders van general-purpose AI).
Algemene Verordening Gegevensbescherming (GDPR) (Regulation (EU) 2016/679)
Regelt verwerking van persoonsgegevens binnen EU/EEA en legt grondslag voor alle AI-toepassingen die persoonsgegevens verwerken (rechtmatigheid, minimalisatie, DPIA-verplichting).
NIS2-richtlijn (Directive (EU) 2022/2555)
Geharmoniseerd kader voor cybersecurity van netwerken en IT-systemen in 18 kritieke sectoren. Lidstaten moesten transponeren vóór 17 oktober 2024; in Nederland geïmplementeerd via de Cyberbeveiligingswet.
Cybersecurity Act (Regulation (EU) 2019/881)
EU-breed certificeringskader voor ICT-producten en -diensten (incl. AI-systemen), met Europese schema’s voor conformiteitsbeoordeling.
Digital Services Act (DSA) (Regulation (EU) 2022/2065) & Digital Markets Act (DMA) (Regulation (EU) 2022/1925)
Verplichtingen voor online platforms en gatekeeper-regels die AI-gedreven diensten en reclame beïnvloeden.
Data Governance Act (Regulation (EU) 2022/868) & Data Act (voorstel COM(2022) 68 final)
Spelen in op hergebruik en uitwisseling van data (inclusief IoT- en AI-trainingdata).
Richtlijn Productaansprakelijkheid (85/374/EEC) & voorstel AI Liability Directive (ingetrokken feb 2025)
Basisproductaansprakelijkheid geldt ook voor AI; AI-liability-voorstel voorzag in specifieke regimes voor schade door AI, maar is voorlopig ingetrokken.
ePrivacy-richtlijn (Directive 2002/58/EC)
Beschermt vertrouwelijkheid van elektronische communicatie en metadata. Het beoogde ePrivacy-verordening-voorstel is in februari 2025 ingetrokken, de richtlijn blijft van kracht.
Nationaal (Nederland)
Uitvoeringswet AVG (UAVG)
Implementeert de GDPR in Nederlandse wetgeving; verving de Wet bescherming persoonsgegevens per 25 mei 2018.
Richtlijn Gegevensbescherming bij Rechtshandhaving (RGR)
Europees kader voor politie- en justitie-gegevens, omgezet in onder meer de Wet politiegegevens (Wpg), Wet justitiële en strafvorderlijke gegevens (Wjsg), Politiewet en Wetboek van Strafvordering.
Cyberbeveiligingswet
Transponeert NIS2 in Nederlands recht en vervangt daarmee de Wet beveiliging netwerk- en informatiesystemen.
Wet digitale overheid (Wdo)
Kaderwet voor veilige, betrouwbare digitale dienstverlening van (semi-)overheid (inclusief eID-vereisten conform eIDAS).
Telecommunicatiewet (artikel 11.7a)
Verbiedt online volgen (tracking, profilering) zonder uitdrukkelijke toestemming; relevant voor AI-algoritmes die via cookies of tags gebruikers profileren.
Algoritmische besluitvorming
Algemene wet bestuursrecht (Awb) bevat motiverings- en bezwaarrechten bij geautomatiseerde besluiten; de beoogde “Wet toetsing digitaal handelen overheid” (WTDO) zal dit verder specificeren.
Sectorale regelgeving
Bijvoorbeeld Regulation (EU) 2017/745 (Medische Hulpmiddelenverordening) en machinerichtlijn/-verordening voor AI in apparaten.
Deze wetten en richtlijnen vormen samen het (eu-)juridisch kader waarbinnen AI-systemen ontwikkeld, op de markt gebracht en toegepast moeten worden, met aandacht voor veiligheid, privacy, transparantie en aansprakelijkheid.
