De AI-verordening treedt stapsgewijs in werking. De eerste regels gaan waarschijnlijk eind 2024 gelden in Nederland. In de loop van 2027 zal de gehele wet van toepassing zijn. De belangrijkste stappen in dit proces leest u hierna.  

Eind 2024

Verbod op aanbieden en gebruiken van bepaalde AI-toepassingen van kracht. 

Medio 2025

• Toezichthouders op naleving van de AI-verordening in Nederland zijn bekend. 
• Aangewezen toezichthouders hebben de bevoegdheid om boetes op te leggen.
• De regels voor aanbieders van zogenoemde AI-modellen voor algemene doeleinden gaan in. Deze modellen staan ook wel bekend als 'general purpose AI'. 

Medio 2026

• Verplichtingen voor AI met een hoog risico (omschreven in Bijlage III van de verordening) zijn van toepassing.
• Transparantieverplichtingen voor bepaalde AI-systemen zijn van toepassing. Mensen moeten weten dat zij te maken hebben met een AI-systeem of door AI gegenereerde content. 
• De Nederlandse 'regulatory sandbox' is gestart om advies te geven aan aanbieders van AI-systemen bij complexe vragen over de regels uit de AI-verordening.

Medio 2027

• Als het AI-systeem een product is of een veiligheidscomponent vormt van producten die al vallen onder andere productwetgeving (omschreven in Bijlage I van de verordening, bijvoorbeeld medische hulpmiddelen of radioapparatuur), dan zal de AI-verordening ook van toepassing zijn op deze producten. 
• De AI-verordening is volledig van kracht. 

Wanneer u gezichtsherkenning inzet om mensen te identificeren of om iemands identiteit te bevestigen, zijn enkele begrippen belangrijk. 

• Eenduidige (unieke) identificatie. Hierbij gaat het om de vraag: wie is deze persoon? ‘Eenduidig’ betekent dat biometrische gegevens voor identificatie maar aan één iemand kunnen worden toegeschreven. Het biometrisch gegeven is dus uniek voor die persoon. Een manier voor eenduidige identificatie is het vergelijken van (een template van) iemands gezicht met (templates van) gezichten van een groep personen in een database (een ‘one-to-many’-vergelijking). Het doel is om vast te stellen of templates overeenkomen en zo de persoon te identificeren. 
• Bevestigen van identiteit. Bij het bevestigen van iemands identiteit gaat het om de vergelijking tussen twee gezichten: is gezicht A gelijk aan gezicht B? Dit is een ‘one-to-one’-vergelijking: het biometrisch gegeven van 1 persoon wordt alleen vergeleken met 1 ander biometrisch gegeven. Het doel is om te controleren of iemand dezelfde persoon is van wie de biometrische gegevens eerder zijn vastgelegd. En of iemand dus is wie deze zegt te zijn. 

Let op: in artikel 9 van de AVG en artikel 29 van de UAVG gaat het over uitzonderingen op het verbod op het verwerken van biometrische gegevens voor unieke identificatie. Het verwerken van biometrische gegevens om iemands identiteit te bevestigen (authenticatie) valt hier ook onder. Dat betekent dat voor authenticatie via gezichtsherkenning dezelfde regels gelden als voor unieke identificatie via gezichtsherkenning.