Privacy by design: De EU AI Act is in werking getreden, wat nu?

Deze zomer is de Europese AI Act officieel in werking getreden en deze wetgeving heeft grote impact op hoe organisaties AI mogen inzetten, de kernboodschap: wat vandaag nog een nuttige innovatie lijkt, kan morgen onwettig zijn. Het doel van die act?

• Doel: veilige, betrouwbare en transparante AI-systemen waarborgen, met bescherming van fundamentele rechten.

• Risicogebaseerde aanpak: hoe hoger het risico van een AI-toepassing (bv. medische diagnostiek, gezichtsherkenning), hoe strenger de regels.

• Verplichtingen voor bedrijven: documentatie, testen, toezicht en duidelijke communicatie naar gebruikers.

• Effect op innovatie: kan kosten en administratieve lasten verhogen, maar schept ook vertrouwen en een gelijk speelveld in de EU-markt.

• Internationale invloed: zet de standaard waar ook niet-EU-bedrijven zich aan moeten houden als ze in de EU actief willen zijn.

Sentimentanalyse VERSUS emotiedetectie

Deze beide begrippen vaak door elkaar gehaald, maar juridisch en technisch is er een belangrijk verschil:

• Sentimentanalyse: AI analyseert geschreven of gesproken taal en classificeert deze als positief, neutraal of negatief. Dit gebeurt uitsluitend op tekstniveau, zonder fysieke of fysiologische signalen. Daarom valt sentimentanalyse niet in de strengste risicocategorie van de AI Act.

• Emotiedetectie: AI leidt emoties af uit non-verbale signalen zoals stemintonatie, gezichtsuitdrukking of hartslag. Technologie die bijvoorbeeld woede, stress of enthousiasme probeert te herkennen uit spraak of video, valt in een veel strenger juridisch kader. De Europese wetgever beschouwt dit als een directe inbreuk op menselijke waardigheid en privacy.

Nieuwe regels onder de AI Act

De AI Act maakt onderscheid tussen verboden AI, hoog-risico AI en systemen met beperkte of minimale risico’s. Belangrijke punten voor emotiedetectie:

1. Verboden AI: vanaf 2026 is emotiedetectie verboden in:

   • Onderwijs

   • Werkgerelateerde contexten (monitoring van werknemers)

   • Rechtshandhaving en grenscontrole

2. Hoog-risico AI: emotiedetectie in commerciële contexten, zoals klantgesprekken, valt niet automatisch onder het verbod, maar wordt vaak geclassificeerd als hoog risico. Dit betekent dat organisaties:

   • Een risicobeoordeling moeten uitvoeren

   • Menselijke controle over het systeem moeten waarborgen

   • Transparantie moeten bieden over het gebruik van de technologie

3. Transparantieverplichtingen: klanten moeten duidelijk geïnformeerd worden dat emotiedetectie plaatsvindt, inclusief het doel en de manier waarop data wordt verwerkt. Expliciete toestemming is vereist.

Risico’s en compliance-eisen

De belangrijkste voorwaarden op voor verantwoord gebruik:

• Legitiem belang aantonen (bijvoorbeeld kwaliteitsverbetering van dienstverlening)

• Expliciete klanttoestemming verkrijgen

• Technologische betrouwbaarheid en non-discriminatie aantonen

• Alternatieve methoden overwegen die minder ingrijpend zijn

• Geen onnodige inbreuk op de persoonlijke levenssfeer maken

Privacy by design

De Autoriteit Persoonsgegevens (AP) waarschuwt dat veel organisaties AI inzetten zonder volledig inzicht in de risico’s, vooral bij voicebots, spraakherkenning en monitoringtools. Het combineren van spraakdata met emotieherkenning kan snel leiden tot verwerking van biometrische of gevoelige persoonsgegevens, waarvoor zwaardere eisen gelden. Privacy by design betekent dat bedrijven:

• Al in de ontwerpfase rekening houden met privacy

• Zowel juridische als ethische afwegingen maken

• Nadenken over klantbeleving: hoe voelt iemand zich als zijn stem wordt geanalyseerd op boosheid?

Advies: handel nu

Wie AI gebruikt in klantgesprekken, doet er verstandig aan nu al een impactanalyse uit te voeren. Onderzoek kritisch:

• Welke technieken voicebots, realtime dashboards en feedbacksystemen gebruiken

• Of er verborgen emotiedetectie plaatsvindt

• Of de systemen aan de nieuwe AI Act-vereisten voldoen