EU AI-bureau: Mandaat, Bevoegdheden en Rol bij de Handhaving van de AI-verordening

Het EU AI-bureau, opgericht binnen de Europese Commissie, is het primaire EU-niveau orgaan dat toezicht houdt op GPAI-modellen en de handhaving van de AI-verordening coördineert. Deze pagina legt het mandaat, de onderzoeksbevoegdheden, de sanctiebevoegdheid en de interactie met nationale markttoezichtautoriteiten uit.

Wat is het EU AI-bureau?

Het EU AI-bureau (formeel: Bureau voor Kunstmatige Intelligentie) is het EU-niveau orgaan opgericht binnen de Europese Commissie om de implementatie en handhaving van de EU AI-verordening te overzien — met een specifiek mandaat dat AI-modellen voor algemene doeleinden (GPAI) dekt.

In tegenstelling tot traditionele EU-agentschappen (zoals ENISA of EBA) is het AI-bureau geen onafhankelijke regelgevende autoriteit. Het is gestructureerd als een administratief bureau binnen het Directoraat-Generaal Communicatienetwerken, Inhoud en Technologie (DG CONNECT). Deze structuur geeft het directe toegang tot Commissiemiddelen en agendasetting, maar betekent ook dat handhavingsbeslissingen technisch Commissiebeslissingen zijn die onderworpen zijn aan rechterlijke toetsing door de EU.

Het AI-bureau is vroeg opgericht — formeel opgericht in februari 2024, enkele maanden vóór de publicatie van de AI-verordening in het Publicatieblad (juli 2024) en de inwerkingtreding ervan (augustus 2024). Deze vroege oprichting was bewust: GPAI-regelgeving is tijdgevoelig gezien het tempo van de ontwikkeling van basismodellen, en de Commissie wilde handhavingsinfrastructuur gereed hebben voordat de meest urgente verplichtingen van kracht werden.

Rechtsgrondslag en mandaat

De rechtsgrondslag van het EU AI-bureau is Hoofdstuk VIII van de EU AI-verordening (Art. 64–68), aangevuld door het Commissiebesluit van 24 januari 2024 dat het formeel heeft opgericht.

Het kernmandaat dekt drie gebieden:

1. Toezicht op GPAI-modellen (directe handhaving)

Het AI-bureau heeft exclusieve EU-niveau bevoegdheid voor het toezicht op aanbieders van AI-modellen voor algemene doeleinden. Dit omvat:

• Monitoring van naleving van Hoofdstuk V-verplichtingen (transparantie, technische documentatie, auteursrechtnaleving, energierapportage voor modellen met systemisch risico)
• Opvragen en beoordelen van technische documentatie van GPAI-aanbieders
• Uitvoering van evaluaties van GPAI-modellen — inclusief adversarial testing en red-team oefeningen — om capaciteiten en systemische risico's te beoordelen
• Het afgeven van waarschuwingen wanneer een GPAI-model systemisch risico inhoudt
• Het opleggen van boetes en corrigerende maatregelen

2. Grensoverschrijdende coördinatie (hoog-risico AI-systemen)

Voor hoog-risico AI-systemen is handhaving primair nationaal. Maar het AI-bureau speelt een sleutelcoördinerende rol:

• Facilitering van informatie-uitwisseling tussen nationale markttoezichtautoriteiten (MSA's)
• Behandeling van gevallen waarbij een niet-conform hoog-risico AI-systeem in meerdere lidstaten circuleert
• Verstrekking van technische expertise en begeleiding aan nationale autoriteiten
• Verzoek om gezamenlijke onderzoeken wanneer de grensoverschrijdende impact significant is

3. Wetenschappelijke en technische ondersteuning

Het AI-bureau heeft een Wetenschappelijk Adviesorgaan samengesteld uit onafhankelijke AI-experts (Art. 68). Dit orgaan verstrekt:

• Technische beoordelingen van GPAI-modelcapaciteiten en -risico's
• Advies over classificatiedrempels (bijv. de rekenkrachtdrempel voor GPAI-modellen met systemisch risico)
• Input voor de ontwikkeling van normen, gedragscodes en evaluatiemethodologieën

Onderzoeks- en handhavingsbevoegdheden

Het EU AI-bureau heeft aanzienlijke onderzoeksbevoegdheden over aanbieders van GPAI-modellen, waaronder:

Informatieverzoeken

Het AI-bureau kan van een GPAI-aanbieder alle informatie opvragen die het nodig acht voor zijn toezichtstaken (Art. 91). Aanbieders moeten reageren binnen de door het bureau gestelde termijn. Het niet verstrekken van informatie, of het verstrekken van valse of misleidende informatie, is op zichzelf al een sanctioneerbaar vergrijp.

Evaluaties en tests

Het AI-bureau kan verzoeken dat een GPAI-aanbieder zijn model ter evaluatie aanbiedt, waaronder:

• Capaciteitsbeoordelingen (identificatie van gevaarlijke capaciteiten zoals CBRN-assistentie, facilitering van cyberaanvallen of manipulatie op schaal)
• Veiligheids- en aligneringsevaluaties
• Adversarial testing / red-teaming

Het bureau kan evaluaties zelf uitvoeren of aan gekwalificeerde derde partijen of nationale autoriteiten opdragen. De AI-verordening verplicht GPAI-aanbieders met modellen met systemisch risico toegang tot hun modellen te verlenen voor evaluatiedoeleinden.

Inspecties ter plaatse

Voor GPAI-modellen met systemisch risico kan het AI-bureau inspecties ter plaatse uitvoeren bij de faciliteiten van de aanbieder, met de hulp van nationale autoriteiten in de betrokken lidstaat. Voorafgaande kennisgeving is over het algemeen vereist tenzij het bureau specifieke redenen heeft om aan te nemen dat voorafgaande kennisgeving het onderzoek zou schaden.

Voorlopige maatregelen

Bij een dringend risico kan het AI-bureau voorlopige interim-maatregelen opleggen om ernstige en onherstelbare schade te voorkomen. Deze maatregelen moeten evenredig zijn en zijn onderworpen aan beoordeling.

Boetes

Boetes zijn gestructureerd in drie niveaus:

Voor kmo's en startups geldt het lagere van het vaste bedrag of het omzetpercentage. Het AI-bureau moet rekening houden met de aard, ernst, duur en gevolgen van de inbreuk, evenals de mate van samenwerking door de aanbieder.

De GPAI-gedragscode

Een belangrijk instrument van het AI-bureau is de GPAI-gedragscode — een technisch vrijwillig instrument ontwikkeld via een multistakeholder-proces dat de Hoofdstuk V-verplichtingen van de verordening vertaalt in concrete implementatierichtlijnen.

Het gedragscodeprocedure begon in oktober 2024, waarbij het AI-bureau werkgroepen bijeenriep van GPAI-aanbieders, academische onderzoekers, maatschappelijke organisaties en nationale autoriteiten. Het dekt:

• Transparantieverplichtingen voor GPAI-aanbieders (samenvattingen trainingsgegevens, capaciteitsdocumentatie)
• Auteursrechtnaleving procedures
• Modelevaluatiemethodologieën voor beoordeling van systemisch risico
• Veiligheids- en beveiligingsnormen voor GPAI-modellen met systemisch risico

Naleving van de gedragscode creëert een vermoeden van conformiteit met de overeenkomstige Hoofdstuk V-verplichtingen. Dit is een significant voordeel: aanbieders die de code volgen, kunnen hierop vertrouwen in handhavingsprocedingen in plaats van naleving opnieuw te moeten aantonen.

De AI-raad

De AI-raad (Art. 65) opereert parallel aan het AI-bureau. Hij bestaat uit:

• Één vertegenwoordiger per EU-lidstaat (nationale toezichtautoriteiten)
• Een vertegenwoordiger van de Europese Toezichthouder voor gegevensbescherming (EDPS)
• Een Commissievertegenwoordiger (niet-stemgerechtigde voorzitter)

De functies van de AI-raad omvatten:

• Het uitvaardigen van adviezen en aanbevelingen aan het AI-bureau en de Commissie
• Coördinatie van nationale toezichtbenaderingen
• Advies over de classificatie van AI-systemen en -modellen
• Bijdrage aan de ontwikkeling van normen en evaluatiemethodologieën

De raad is een advies- en coördinatie orgaan — het heeft geen directe handhavingsbevoegdheid. Zijn adviezen dragen echter aanzienlijk gewicht en het AI-bureau wordt geacht deze in aanmerking te nemen.

Nationale markttoezichtautoriteiten

Voor hoog-risico AI-systemen (niet GPAI-modellen) zijn nationale markttoezichtautoriteiten (MSA's) de primaire handhavende organen. Elke lidstaat moet ten minste één MSA aanwijzen die verantwoordelijk is voor handhaving van de AI-verordening op zijn grondgebied.

MSA's zijn bevoegd om:

• Markttoezichtactiviteiten uit te voeren
• Technische documentatie en toegangslogboeken op te vragen bij aanbieders en gebruikers
• Corrigerende maatregelen te bevelen (terugtrekking, terugroepen, beperking van markttoegang)
• Boetes op te leggen op grond van nationale uitvoeringswetgeving

Het AI-bureau coördineert met MSA's via de AI-raad en via bilaterale samenwerking, maar geeft hun geen opdrachten. Lidstaten zijn verantwoordelijk voor het financieren en bevoegd maken van hun MSA's.

Praktische implicaties voor GPAI-aanbieders

Als u een AI-model voor algemene doeleinden ontwikkelt of inzet dat toegankelijk is op de EU-markt, is het EU AI-bureau uw primaire regelgevende tegenpartij. In de praktijk betekent dit:

1. Proactief registreren en documenteren — het AI-bureau verwacht dat aanbieders technische documentatie gereed hebben vóór ze erom worden gevraagd. Documentatie in allerijl samenstellen na een onderzoeksverzoek is geen sterke nalevingshouding.

2. Deelnemen aan de gedragscode — deelname aan het GPAI-gedragscodeprocedure en de toepassing van de bepalingen ervan creëert een vermoeden van conformiteit en toont goede trouw aan het AI-bureau.

3. Uw systemisch-risicosstatus kennen — de huidige drempel voor systemisch-risicoclassificatie is trainingsrekenkracht die 10^25 FLOP's overschrijdt. Als uw model dicht bij of boven deze drempel ligt, neem dan proactief contact op met het AI-bureau over evaluatieverplichtingen.

4. Voorbereiding op evaluaties — als u een GPAI-model met systemisch risico ontwikkelt, moet u modeltoegang kunnen verlenen voor evaluatie. Dit vereist technische infrastructuur voor gecontroleerde API-toegang, samenwerking bij adversarial testing en documentatie van red-teamingresultaten.

5. Monitoring van waarschuwingen en adviezen — het AI-bureau publiceert begeleiding, waarschuwingen en adviezen op zijn website. Dit zijn geen bindende verordeningen, maar ze signaleren handhavingsprioriteiten en interpretatiestandpunten die onderzoeken zullen vormgeven.