AI-geletterdheid voor compliance, risk en privacy

Wat er op 27 juli 2026 veranderde en hoe zwaar dat weegt

Verordening (EU) 2026/1744 heeft artikel 4 van de AI-verordening vervangen; de wijzigingsverordening trad op 27 juli 2026 in werking. De bepaling vraagt om maatregelen die de ontwikkeling van AI-geletterdheid ondersteunen en zegt er nu bij dat daarmee niet is bedoeld dat een bepaald niveau bij personen wordt gewaarborgd. De richting is dus losser geworden, niet strenger.

Voor de weging in een risicoregister is één ding daarbij bepalend: de AI-verordening noemt artikel 4 niet in de boetecategorieën van artikel 99, lid 3 tot en met 5. Sancties voor deze bepaling worden door de lidstaten vastgesteld. Wie deze bepaling in een register op dezelfde regel zet als de bepalingen die daar wél in staan, overdrijft het gewicht.

Dat maakt de aanleiding voor een check als deze minder dwingend, en precies daarom staat het hier. Wij schrijven het liever zelf op dan dat u het later ergens anders leest.

Sinds wanneer dit geldt, en waarom daarover verwarring bestaat

De hoofdstukken I en II van de AI-verordening zijn volgens artikel 113 van toepassing sinds 2 februari 2025. De bepaling over AI-geletterdheid staat in hoofdstuk I en geldt dus al ruim een jaar; de wijziging van 27 juli 2026 heeft de tekst ervan vervangen, niet het startmoment verzet.

Dat onderscheid komt in gesprekken vaak scheef terug. Wie hoort dat er iets nieuws is, gaat ervan uit dat er nu pas iets van de organisatie wordt gevraagd. Wie hoort dat de tekst losser is geworden, concludeert dat het onderwerp van tafel is. Geen van beide klopt.

Voor uw dossier volgt daaruit één praktische regel: noteer bij elke maatregel de datum waarop u hem hebt vastgesteld en de datum waarop u hem voor het laatst naast de tekst hebt gelegd. Bij een volgende wijziging is dat het enige wat u behoedt voor opnieuw alles uitzoeken.

Het knelpunt is de inventarisatie, niet de opleiding

In vrijwel elk gesprek dat wij hierover voeren, blijkt de eerste vraag onbeantwoordbaar: welke AI-systemen en toepassingen worden hier eigenlijk gebruikt. Bedoeld is het gebruiksniveau, een stap dieper dan de leverancier. Een ingebouwde samenvatfunctie in een bestaand pakket telt mee; een gratis account dat een team zelf heeft aangemaakt ook.

Zonder dat overzicht is elke vervolgvraag speculatief. U kunt geen controlemaatregel beschrijven voor een proces waarvan u niet weet dat het bestaat, en u kunt geen risico wegen dat u niet in beeld hebt. Opleiding inkopen zonder inventarisatie is de volgorde omdraaien: dan traint u mensen op een gebruik dat u niet kent.

De inventarisatie hoeft geen project te zijn. Vraag per team welke drie taken vaakst met AI worden gedaan en met welk hulpmiddel. Dat levert binnen een week een lijst op die bruikbaarder is dan een register dat zes maanden onderhanden blijft.

Menselijke controle beschrijven zonder te veel te beloven

• Leg vast wanneer iemand meekijkt, niet dat er altijd iemand meekijkt. Een beleid dat honderd procent controle belooft, is bij het eerste steekproefonderzoek onjuist gebleken.
• Benoem per gebruikstype wat de controleur werkelijk nakijkt: feiten, bronvermelding, toon, of alleen of er niets vertrouwelijks in staat. Vier verschillende dingen, vaak op één hoop gegooid.
• Zorg dat de controlestap iets kán veranderen. Als de output al verstuurd is voordat iemand kijkt, is het geen controle maar een archief.
• Regel de route voor twijfel voordat u hem nodig hebt. Wie meldt, aan wie, en wat gebeurt er daarna? Kies bij voorkeur dezelfde route als voor andere incidenten, want een aparte AI-postbus wordt niet gevonden.
• Schrijf op welke gegevens niet in een AI-tool mogen. Een verbod op alles wordt genegeerd; een lijst met drie concrete categorieën wordt onthouden.

Wat u naar buiten wel en niet kunt zeggen

Klantvragenlijsten en aanbestedingen vragen steeds vaker om een verklaring over AI. De verleiding is groot om te antwoorden dat de organisatie compliant is met de AI-verordening. Dat is voor vrijwel elke organisatie een claim die verder gaat dan wat zij feitelijk kan onderbouwen, en het is bovendien een uitspraak die u vastlegt op een moment waarop de tekst nog beweegt.

Wat u wel kunt zeggen: welke systemen in beeld zijn, welke afspraken er gelden, wanneer een mens meekijkt en hoe vaak dat wordt herzien. Dat is verifieerbaar, het veroudert langzaam, en het is precies wat een serieuze tegenpartij eigenlijk wil weten.

Om diezelfde reden levert onze eigen check geen nalevingsoordeel op. Hij geeft een uitlegbare score op vier dimensies, en die score is een gespreksopener met de directie, geen antwoord dat u in een vragenlijst kunt plakken.