Een beleidsmedewerker bij een gemeente gebruikt ChatGPT om een lange adviesnota samen te vatten voordat ze hem leest. Een collega ziet het en vraagt of dat nog mag, nu de AI Act geldt. Ze weet het niet zeker, en de nieuwsberichten over boetes van miljoenen maken het niet duidelijker.
Het korte antwoord: voor haar verandert er in het dagelijkse werk weinig. ChatGPT is gebouwd op een AI-model voor algemene doeleinden, en de zware verplichtingen van de AI Act liggen bij OpenAI als aanbieder. Voor haar organisatie gelden drie dingen: uitleg geven over AI-gebruik, een paar toepassingen niet inzetten, en bij bepaalde toepassingen de hoogrisicoregels volgen. Wat zij zelf moet weten is waar de organisatie over ChatGPT toe heeft besloten, en welke gegevens niet in een prompt horen. Dat was vóór de AI Act ook al zo.
Wat is ChatGPT volgens de AI Act?
De wet maakt onderscheid tussen een AI-model en een AI-systeem. Het model is de techniek eronder; het systeem is de dienst die je gebruikt. ChatGPT is een AI-systeem dat draait op modellen van OpenAI, en die modellen zijn AI-modellen voor algemene doeleinden: ze kunnen veel verschillende taken uitvoeren en zijn niet voor één doel gebouwd.
Voor zulke modellen heeft de AI Act een apart hoofdstuk, met verplichtingen die sinds 2 augustus 2025 gelden en die bij de aanbieder liggen: technische documentatie, informatie voor partijen die op het model bouwen, een beleid voor auteursrecht en een samenvatting van de trainingsdata. Dat is werk van OpenAI, niet van jouw organisatie en niet van jou. Hoe de volledige tijdlijn eruitziet, inclusief wat er in 2026 verschoof, staat in de tijdlijn van de AI Act na de Digital Omnibus.
Wat geldt er dan voor mijn organisatie?
Jouw werkgever is onder de AI Act gebruiksverantwoordelijke: een organisatie die een AI-systeem van een ander gebruikt onder eigen gezag. Daar hoort een kortere lijst bij dan bij de aanbieder. De volledige lijst staat in de EU AI Act voor werkgevers; dit is de kern voor wie ChatGPT gebruikt.
| Verplichting | Bij wie | Sinds | Wat jij ervan merkt |
|---|---|---|---|
| Documentatie en transparantie over het model | OpenAI, als aanbieder | 2 augustus 2025 | Niets direct |
| Maatregelen voor AI-geletterdheid (artikel 4) | Je organisatie | 2 februari 2025 | Uitleg over welke tools mogen en welke gegevens niet in een prompt horen |
| Verboden praktijken (artikel 5), zoals emotieherkenning op de werkplek | Je organisatie | 2 februari 2025 | Zulke functies worden niet ingezet |
| Transparantie bij chatbots en AI-inhoud (artikel 50) | Aanbieder en organisatie, afhankelijk van de toepassing | 2 augustus 2026 | Bij een chatbot voor klanten of burgers is duidelijk dat het AI is |
| Hoogrisicoregels (artikel 26) bij toepassingen uit bijlage III, zoals het beoordelen van sollicitanten | Je organisatie | 2 december 2027 | Alleen als ChatGPT voor zo'n toepassing wordt ingezet |
De laatste rij is waar de verwarring meestal zit. De AI Act classificeert toepassingen, niet tools. ChatGPT gebruiken om een vacaturetekst te schrijven is geen hoog risico. Dezelfde tool vragen om vijftig sollicitaties op volgorde van geschiktheid te zetten, is een toepassing uit bijlage III. Dat is geen besluit dat een medewerker zelf neemt; het is een besluit van de organisatie, met toezicht, instructies en vooraf informeren van de mensen om wie het gaat.
Wat verandert er door artikel 50?
Sinds 2 augustus 2026 gelden de transparantieregels. Wie een chatbot inzet richting klanten of burgers, maakt duidelijk dat mensen met AI praten. Aanbieders van systemen die tekst, beeld of geluid genereren, zorgen dat die inhoud machineleesbaar gemarkeerd is; voor systemen die al op de markt waren, geldt daarvoor een overgangstermijn tot 2 december 2026. Deepfakes moeten als kunstmatig herkenbaar zijn.
Voor een interne mail of een verslag dat een collega naleest, schrijft de AI Act geen vermelding voor. Voor teksten die een organisatie publiceert om het publiek te informeren, kunnen aanvullende eisen gelden. Wie voor communicatie of woordvoering werkt, vraagt dat na bij wie het beleid van de organisatie beheert, want daar ligt de grens en niet bij de medewerker die een samenvatting maakt.
Wat blijft hetzelfde?
De AVG. Die gold al voor elke prompt met persoonsgegevens erin en verandert niet door de AI Act. Een adviesnota met namen van inwoners in ChatGPT plakken was vorig jaar een AVG-vraag en is dat nu nog. Welk account je gebruikt maakt daarbij uit: OpenAI stelt dat gegevens uit ChatGPT Business, Enterprise en Edu standaard niet voor modeltraining worden gebruikt, terwijl je dat in een persoonlijk account zelf moet uitzetten. Wat er verder bij ChatGPT speelt staat in de privacyrisico's van ChatGPT, en wat er wel en niet in een prompt kan in wat mag je delen met AI.
Hoe ziet dat eruit bij de gemeente?
De beleidsmedewerker vraagt het na. Het register van de gemeente blijkt drie regels te hebben die haar raken: Copilot toegestaan, ChatGPT met een zakelijk account toegestaan voor openbare stukken, ChatGPT met een persoonlijk account niet toegestaan, met Copilot als alternatief. De adviesnota is openbaar, dus haar samenvatting was in orde. Wat ze niet wist: een collega bij werving was begonnen ChatGPT te gebruiken om brieven van sollicitanten te beoordelen, en dat is de toepassing waar de AI Act wel iets over zegt. Dat gebruik stopt tot HR heeft bepaald hoe het toezicht eruitziet.
Bij een inventarisatie blijken daarnaast Perplexity en twee gespecialiseerde tools in gebruik die nog niet in het register staan. Dat is geen incident. Het laat zien dat de vraag "wat hebben we over ChatGPT besloten" alleen te beantwoorden is als de organisatie weet welke tools er in gebruik zijn, en dat een lijst die één keer is gemaakt snel achterloopt.
