AP krijgt een AI-directie, maar handhaven mag nog niet

Sinds 8 oktober heeft de Autoriteit Persoonsgegevens een directie die alleen over AI gaat. Bevoegd is ze niet. Nederland had zijn toezichthouders in augustus 2025 al moeten aanwijzen. De directie heet Toezicht en Coördinatie AI/Algoritmes, kortweg TCA, en volgt de Directie Coördinatie Algoritmes op (AP, pdf). Wie wil weten wie in Nederland toezichthouder op de AI Act is, vindt een organisatie in aanbouw.

De AP zegt het zelf zonder omwegen: "De AP is beoogd markttoezichthouder op AI, maar nog niet aangewezen."

Wat de AP op 8 oktober opzette

TCA heeft twee afdelingen. ARC (AI/Algoritmes Risicoanalyse & Coördinatie) kijkt naar wat AI met mensen en hun grondrechten doet: discrimineert een algoritme, klopt de uitkomst. MTA (Markttoezicht AI) bereidt het toezicht op de AI Act voor en bouwt de kennis op om AI-systemen te testen. Bij het testen van de meest geavanceerde (frontier-)modellen werken nationale toezichthouders, waaronder de AP, samen met het Europese AI Office.

Met de Rijksinspectie Digitale Infrastructuur (RDI) zet de AP ook een "AI sandbox" op, een proefomgeving voor bedrijven. Los daarvan noemt de AP recente incidenten met AI-agents die zonder toestemming in online omgevingen kwamen als reden voor vroeg en krachtig toezicht. Die incidenten beschreven we gisteren.

"De 'verkeersregels' voor AI worden steeds concreter en het verkeer wordt iedere dag drukker en sneller. Wij kunnen daarom niet wachten tot het laatste verkeersbord is geplaatst."

Dat beeld klopt. De verkeersregels staan er al, alleen de verkeerspolitie mag nog niet bekeuren.

Waarom de AP nog niet mag handhaven

De AI Act liet lidstaten tot 2 augustus 2025 om hun toezichthouders aan te wijzen. Nederland haalde dat niet. Het concept van de Uitvoeringswet AI-verordening lag van 20 april tot 1 juni 2026 in internetconsultatie. De AP toetste het op 23 juni en publiceerde die toets op 1 september (AP). In de begeleidende brief heet de wet nog een "ontwerpwet" (brief).

Een wetsvoorstel over de AI-verordening vonden we op 13 oktober niet in het register van de Tweede Kamer. Over "de aanwijzing, bevoegdheden en financiering" wordt volgens de AP nog op verschillende niveaus gepraat. iBestuur vat het samen: "Wanneer die bevoegdheden daadwerkelijk ingaan is nog onduidelijk" (iBestuur).

Toezichthouder AI Act Nederland: de AP en de RDI worden de spil

Het kabinet koos in april voor een model met tien markttoezichthouders, met de AP en de RDI als spil. De AP wordt beoogd toezichthouder op verboden AI, op de transparantieregels ("herkenbaarheid van chatbots en deepfakes") en op een groot deel van de hoog-risico-AI, "zoals in werk, onderwijs en overheid". De AFM en DNB houden het financiële toezicht (AP, 20 april).

Kies je situatie en zie welke regel al geldt, wie straks controleert en of die dat nu al mag.

Interactief

Wie controleert wat, en sinds wanneer

Jouw situatieOverzicht

Kies je situatie. Je ziet welke regel al geldt, wie straks controleert en of die dat nu al mag.

Chatbot op de siteAI in werving of HRKlanten of personeel in ItaliëAlleen intern gebruik

Wij zijn een bank, verzekeraar of andere financiële instelling

Chatbot op de site

Welke regel geldt al

Artikel 50: een chatbot meldt dat hij AI is, sinds 2 augustus 2026. Daarnaast artikel 4, AI-geletterdheid, sinds 2 februari 2025.

Beoogde toezichthouder

De AP, voor de transparantieregels.

Nu bevoegd?

Nog niet: wacht op de Uitvoeringswet

De plicht geldt al. Wie hem in Nederland handhaaft, staat nog in geen enkele wet.

Artikel 50 uitgelegd

Bron: AP, 9 oktober 2026, AP, 20 april 2026

Bronnen: AP (9 oktober en 20 april 2026, uitvoeringstoets van 23 juni 2026), memorie van toelichting bij de Uitvoeringswet, Gazzetta Ufficiale n. 234 (8 oktober 2026), GamingTechLaw. Gecontroleerd op 13 oktober 2026. Geen juridisch advies. Blok: AI Centrum Nederland.

Wat nu al geldt, ook zonder handhaver

De AP zet het als tussenkop in haar eigen bericht: "Regels voor AI gelden al". Twee daarvan raken bijna elke ondernemer. AI-geletterdheid is verplicht sinds 2 februari 2025 (artikel 4). Sinds 27 juli 2026 schrijft de wet geen vast minimumniveau meer voor, wel passende maatregelen. Hoe bedrijven dat in AI-afspraken vastleggen, beschreven we eerder. En een chatbot moet sinds 2 augustus 2026 melden dat hij AI is (artikel 50, chatbotregels).

Later komt de zwaarste laag. De hoog-risico-eisen voor AI in werving en personeelsbeheer gaan pas op 2 december 2027 in, na uitstel door de Digital Omnibus (uitleg).

"Er handhaaft nog niemand" is dus waar, en zegt weinig. Een nieuwe toezichthouder begint klein. In haar uitvoeringstoets noemt de AP haar rol bij AI-geletterdheid nu "vooral" voorlichtend. Het Nederlandse wetsvoorstel koppelt geen boete aan artikel 4, alleen herstelsancties, volgens de memorie van toelichting.

Het zijn ramingen uit de toets van de AP, geen besluit. Dertigduizend systemen in 2027, een jaar later 28 inspecties.

Italië heeft het apparaat al klaar

Op 8 oktober verscheen in de Gazzetta Ufficiale het Italiaanse decreto legislativo 179/2026, de tweede Italiaanse uitvoeringswet bij de AI Act. Hij treedt op 23 oktober in werking (Gazzetta Ufficiale). Een boete is er nog niet, maar de handhavers liggen vast. ACN, het agentschap voor cyberveiligheid, wordt de algemene markttoezichthouder. Banca d'Italia, CONSOB en IVASS nemen de financiële sector (GamingTechLaw).

De boetes volgen de AI Act: tot 35 miljoen euro of 7 procent van de wereldwijde omzet voor verboden praktijken, tot 15 miljoen of 3 procent voor de meeste andere plichten, transparantie inbegrepen. Voor het mkb geldt het laagste van de twee bedragen. Het zijn maxima, geen vaste tarieven (Ingenio, gecontroleerd op 13 oktober 2026).

Wat er voor een Nederlands bedrijf toe doet: de wet hangt aan het product en het gebruik, niet aan de vestigingsplaats. Wie AI inzet voor Italiaanse klanten of werknemers, valt onder de Italiaanse handhavers (GamingTechLaw). Bij AI in HR eist artikel 41 van de Italiaanse wet dat een mens de eindbeslissing neemt over aannemen, wijzigen of ontslaan. Een ontslag dat dat schendt, is volgens GamingTechLaw nietig.

Nederland heeft de directie. Italië heeft de wet. Over tien dagen heeft een Nederlands bedrijf met Italiaans personeel voor de AI Act eerder met een Italiaanse handhaver te maken dan met de AP.

Volgende Stap

AI-geletterdheid geldt nu al voor elk bedrijf. In onze workshops werken we die met je team uit. Liever eerst sparren? Neem contact op.

Headerbeeld: AI Centrum Nederland. Tijdlijn: eigen grafiek op basis van AP, Nederland Digitaal en Gazzetta Ufficiale.