Een klacht indienen onder de AI Act en hoe handhaving verloopt

Kort antwoord: Wie meent dat een AI-systeem in strijd is met de AI Act, kan een klacht indienen bij de nationale markttoezichthouder. Die is verplicht de klacht in behandeling te nemen. De toezichthouder onderzoekt, kan documentatie opvragen en zo nodig maatregelen of boetes opleggen. Gaat het ook om persoonsgegevens, dan loopt er een parallelle route via de privacytoezichthouder.

Wie kan klagen en waarover

De AI Act geeft elke natuurlijke of rechtspersoon het recht om bij een markttoezichtautoriteit een klacht in te dienen over een vermoedelijke inbreuk. Je hoeft dus geen direct betrokkene te zijn. Klachten kunnen gaan over verboden praktijken, over hoogrisico-systemen die hun verplichtingen niet nakomen, of over ontbrekende transparantie. Welke nationale toezichthouder bevoegd is, hangt af van sector en land.

De stappen van het proces

In hoofdlijnen verloopt handhaving zo:

• Melding — je dient de klacht in bij de bevoegde toezichthouder, met zo concreet mogelijke onderbouwing.
• Beoordeling — de toezichthouder bepaalt of de klacht binnen zijn mandaat valt en of er aanleiding is voor onderzoek.
• Onderzoek — de toezichthouder kan technische documentatie, logbestanden en informatie opvragen; bij hoogrisico-systemen ook de conformiteitsdocumentatie.
• Maatregel — bij een geconstateerde inbreuk kan de toezichthouder corrigerende maatregelen eisen, het systeem uit de handel laten nemen of een boete opleggen.
• Besluit en beroep — het besluit wordt gemotiveerd; de betrokken onderneming kan in bezwaar en beroep.

Wat de toezichthouder kan afdwingen

Markttoezichthouders hebben dwingende bevoegdheden: toegang tot documentatie, het opleggen van een termijn om een systeem conform te maken, en uiteindelijk het verbieden of terugroepen van een systeem. De boetes lopen op tot 35 miljoen euro of 7% van de wereldwijde jaaromzet voor de zwaarste overtredingen. Voor GPAI-modellen loopt de handhaving niet via de nationale route maar via het AI Office.

Samenloop met de AVG

Raakt de klacht ook persoonsgegevens — bijvoorbeeld bij profilering of biometrie — dan kan dezelfde casus zowel onder de AI Act als de AVG vallen. In Nederland is de Autoriteit Persoonsgegevens dan een logisch loket. Eén feitencomplex kan dus tot twee parallelle onderzoeken leiden.

Wat te doen

• Verzamel bewijs: omschrijf het systeem, de aanbieder en het vermoedelijke gebrek zo concreet mogelijk.
• Kies het juiste loket: model of toepassing, en welke sector — zie nationale toezichthouders.
• Overweeg de AVG-route als persoonsgegevens betrokken zijn.
• Voor organisaties: zorg dat je audit-documentatie op orde is, want die wordt als eerste opgevraagd.
• Ken de financiële risico's: zie boetes en handhaving.