AI-geletterdheid: een verplichting voor alle ondernemingen (Timelex)

Auteurs: Geert Somers en Wouter Torfs (Timelex)

De meeste verplichtingen uit de AI-verordening gelden voor AI-systemen met een hoog risico. Toch kunnen bepaalde verplichtingen ook van toepassing zijn wanneer het gebruikte AI-systeem niet in deze hoogrisicocategorie valt. Eén daarvan is nu al van kracht en betreft AI-geletterdheid, waarbij uitdrukkelijk wordt bepaald dat personeelsleden die AI-systemen gebruiken of exploiteren over voldoende kennis en inzicht moeten beschikken om dit op een verantwoorde manier te kunnen doen.

1. Verplichting tot AI-geletterdheid onder artikel 4 AI Verordening

De verplichting voor AI-geletterdheid voor personeelsleden binnen organisaties is opgenomen in artikel 4 van de AI-verordening. Concreet betekent dit dat ondernemingen ervoor moeten zorgen dat personeelsleden en andere personen die AI-systemen bedienen of gebruiken, beschikken over een passend niveau van kennis, inzicht en vaardigheden om deze technologie op een verantwoorde manier te gebruiken. Het is belangrijk te benadrukken dat de verplichting tot AI-geletterdheid niet beperkt is tot AI-systemen met een hoog risico, maar van toepassing is op alle AI-systemen. In de praktijk komt dit erop neer dat nagenoeg iedere onderneming dringend de nodige stappen moet ondernemen.

2. Een gelaagde aanpak in de praktijk

De praktische invulling van AI-geletterdheid vereist een genuanceerde aanpak, afgestemd op de functies en verantwoordelijkheden binnen de organisatie. Niet elke medewerker hoeft immers over hetzelfde kennisniveau te beschikken.

Het eerste niveau bestaat uit algemene bewustwording voor alle medewerkers die in aanraking komen met AI-systemen. De nadruk ligt op het vertrouwd raken met de basisprincipes van AI: wat het is, hoe het werkt, de mogelijkheden en beperkingen. Ook leren medewerkers de uitgangspunten voor veilig en ethisch gebruik, zoals het herkennen van risico’s, het vermijden van overmatige afhankelijkheid en het inschatten van situaties waarin menselijke tussenkomst nodig is. Ze moeten mogelijke problemen tijdig kunnen signaleren en melden via de juiste kanalen.

Het tweede niveau vraagt meer gespecialiseerde kennis en richt zich op functies die een rol spelen in governance en compliance, zoals juridische profielen, risicobeheer, interne controle, aankoop en IT-beleid. Deze medewerkers zijn verantwoordelijk voor naleving van wet- en regelgeving en moeten inzicht hebben in het volledige AI-governanceproces: van het inventariseren van systemen en uitvoeren van risicoanalyses tot het nemen van mitigerende maatregelen zoals menselijk toezicht of gebruiksbeperkingen. De verantwoordelijkheid stopt niet bij ingebruikname: voortdurende monitoring, documentatie en bijsturing blijven nodig. Medewerkers in deze functie moeten worden opgeleid in een gestructureerde aanpak, waarbij elke fase, van inventarisatie tot opvolging, zorgvuldig wordt beheerd en vastgelegd.

Daarbovenop is er een derde niveau van technische expertise, gericht op ontwikkelaars, data scientists en technische AI-specialisten die betrokken zijn bij ontwerp, ontwikkeling, training en onderhoud van AI-modellen. Zij moeten diepgaande kennis hebben van onder meer modelarchitecturen, datakwaliteit, trainingsmethodes, Machine Learning Operations (MLOp’s), modelmonitoring en fairness testing. Ook het verantwoord inzetten van generatieve AI valt hieronder. Daarnaast moeten zij in staat zijn technische beslissingen te nemen met oog voor juridische en ethische randvoorwaarden zoals uitlegbaarheid, auditability en biasbeheersing.

Tot slot is er een vierde niveau voor gebruikers van AI-systemen met een hoog risico, zoals HR-managers, recruiters of operationele medewerkers die AI rechtstreeks toepassen in hun dagelijkse werk. Zij hoeven geen diepgaande kennis of juridische expertise te hebben, maar moeten wel vertrouwd zijn met de gebruiksvoorwaarden, instructies en beperkingen van het systeem. Ze moeten begrijpen wanneer menselijke tussenkomst vereist is, hoe ze de output moeten interpreteren en hoe ze risico’s tijdig moeten signaleren. Inzicht in escalatieprocedures, uitschakelprotocollen en ethisch onderbouwde besluitvorming is hier essentieel;

3. Drie redenen waarom AI-geletterdheid noodzakelijk is

Er zijn minstens drie redenen waarom bedrijven ernstig werk moeten maken van AI-geletterdheid.

Ten eerste is AI-geletterdheid niet vrijblijvend. Een gebrek aan kennis kan meewegen bij de beoordeling van andere overtredingen van de AI-verordening. Zo is artikel 4 nauw verbonden met de verplichting tot menselijk toezicht, zoals vastgelegd in artikels 14 (voor aanbieders) en 26 (voor gebruiksverantwoordelijken). Gebruikers moeten voldoende inzicht hebben in de werking van het AI-systeem om de output correct te monitoren, gepast in te grijpen en risico’s te beheersen. Hoewel artikel 4 op zichzelf geen sanctiebepaling bevat, is het onlosmakelijk verbonden met deze artikelen waar wél sancties aan verbonden zijn. Kortom: een gebrek aan AI-geletterdheid kan indirect leiden tot een schending van deze artikelen, met mogelijke handhavingsmaatregelen tot gevolg (EU’s AI literacy requirement unlikely to be enforced on its own, Irish DPA says).

Ten tweede blijkt uit de handhavingspraktijk van gegevensbeschermingsautoriteiten dat ook het ontbreken van beleidsmaatregelen of opleidingen aanleiding kan geven tot sancties onder de AVG. Wanneer ongetraind personeel persoonsgegevens invoert in publieke generatieve AI-systemen zoals ChatGPT, kan dit niet alleen als een datalek worden aangemerkt, maar ook duiden op het ontbreken van passende organisatorische waarborgen. Dus zelfs wanneer een organisatie ontsnapt aan directe sancties onder de AI-verordening, blijft handhaving onder de AVG een reëel risico wanneer AI-geletterdheid onvoldoende is gewaarborgd.

Ten derde roept de Europese Commissie lidstaten expliciet op om in hun nationale sanctieregels ook bepalingen op te nemen over AI-geletterdheid, de fundamentele rechten-effectenbeoordeling (FRIA), en het recht op uitleg bij individuele besluitvorming. Daarbij wordt aangemoedigd om een algemene fallbackclausule in te voeren, zodat ook bepalingen waarvoor de AI-verordening zelf geen specifieke sancties voorziet, toch afdwingbaar worden gemaakt. Op termijn kan de verplichting tot AI-geletterdheid dus zelfs rechtstreeks via nationale regelgeving gehandhaafd worden (EU nations urged to ensure AI Act sanction regimes cover all potential breaches).

4. De betrokkenheid van de bedrijfsjurist bij AI-geletterdheid

Bedrijfsjuristen moeten niet alleen zelf AI-geletterd zijn, maar ook een voortrekkersrol spelen in opleidingsinitiatieven binnen de organisatie. Het is aan te raden AI-geletterdheid structureel te verankeren, bijvoorbeeld via onboarding, bijscholingen of complianceprogramma’s. Opleidingen moeten afgestemd zijn op de risico’s van gebruikte AI-systemen. Bij verwerking van persoonsgegevens kan een DPIA richting geven aan de inhoud en noodzaak van opleidingen, zodat medewerkers goed voorbereid zijn op veilig gebruik.

Belangrijk is ook dat deze inspanningen aantoonbaar zijn. Hoewel certificering niet verplicht is, kunnen toezichthouders vragen naar gevolgde opleidingen, betrokken profielen en leerdoelen. Daarom is systematische documentatie van inhoud, doelgroep en context essentieel.

De Europese Commissie ondersteunt dit met een FAQ over AI-geletterdheid en een “living repository” met praktijkvoorbeelden. Deze bronnen helpen de opleidingsaanpak te structureren en af te stemmen op verwachtingen van toezichthouders.

5. Conclusie

Samengevat is AI-geletterdheid geen luxe, maar een noodzakelijke voorwaarde voor juridisch verantwoord, ethisch en veilig gebruik van AI-systemen. Door medewerkers op maat op te leiden, van basisbewustzijn tot diepgaande technische expertise, kunnen organisaties risico’s tijdig signaleren, fouten voorkomen en voldoen aan hun verplichtingen onder artikel 4 van de AI-verordening. Investeren in AI-geletterdheid is een strategische zet richting betrouwbare, toekomstbestendige AI-toepassing.

Bron: Timelex