De AI Act verplichtingen beginnen bij één alinea die iedereen raakt.

Drie woorden dragen het hele artikel. 'Toereikend' betekent dat er geen vaste maat is: wat genoeg is, hangt af van wat je met AI doet. 'Rekening houdend met' verwijst naar technische kennis, ervaring, opleiding en de context van gebruik, dat is de zin die maakt dat één programma voor iedereen niet volstaat. En 'namens hen' rekt de kring op: ook ingehuurde krachten en leveranciers die met jouw systemen werken vallen eronder.

Wat er níét staat is minstens zo belangrijk. Geen uren, geen examen, geen erkend certificaat, geen register waar je je in moet schrijven. De wetgever schrijft een resultaat voor en laat de weg ernaartoe aan jou. Dat is comfortabel tot het moment dat iemand vraagt waarom jouw invulling toereikend was, want dan is er niets om je achter te verschuilen behalve je eigen onderbouwing.

Let ook op het onderscheid tussen aanbieder en gebruiksverantwoordelijke. Vrijwel elke Nederlandse organisatie is het tweede: je gebruikt AI die een ander heeft gebouwd. Dat maakt je verantwoordelijkheid niet kleiner voor dit artikel, de geletterdheidsplicht geldt voor allebei, maar het scheelt wel enorm voor de rest van de verordening, waar de zware verplichtingen bij de aanbieder liggen.

Toezichthouders beginnen zelden bij het maximum en zelden bij de kleinste overtreding. De eerste jaren van een nieuwe verordening gaan doorgaans over hoogrisicotoepassingen en over partijen waar de schade zichtbaar is: selectie bij sollicitaties, kredietbeoordeling, gezichtsherkenning. Een gemeente die Copilot heeft uitgerold zonder rollenanalyse staat niet boven aan die lijst.

Dat is geen reden om niets te doen, om twee praktische redenen. De eerste is dat de plicht zichtbaar wordt op momenten waarop je er niet op rekent: in een aanbesteding, bij een audit, in een verwerkersovereenkomst, of als de ondernemingsraad ernaar vraagt. Op die momenten is 'we hebben een training gegeven' een zwakker antwoord dan een meting met een datum eronder.

De tweede is dat het goedkoop af te dekken is. De vier stappen die artikel 4 impliceert, inventariseren, niveau bepalen, trainen, vastleggen, zijn precies de stappen die je toch al zou doorlopen als je wilt weten of je AI-investering iets oplevert. De compliance is in dat geval een bijproduct van goed uitgevoerd adoptiewerk, en niet een aparte kostenpost.