China schrijft AI in zijn Cybersecuritywet: een derde model van AI-regulering

China is naar de meeste maatstaven een van de twee grootste AI-machten ter wereld, en toch had het tot nu toe geen horizontale AI-wet en kwam het nauwelijks voor op de kaart die Europese complianceteams tekenen wanneer ze aan grensoverschrijdende AI-regels denken. Die leemte werd op 1 januari 2026 kleiner, toen de gewijzigde Cybersecuritywet in werking trad en voor het eerst kunstmatige intelligentie inschreef in een van China's fundamentele digitale wetten. De wijziging is minder van belang om wat ze gebiedt dan om wat ze signaleert — en om hoe scherp ze verschilt van de modellen van de EU en Zuid-Korea waar ze naast staat.

Wat er veranderde, en wanneer

De Cybersecuritywet is sinds haar inwerkingtreding in 2017 het anker van China's digitale governance. Het Permanent Comité van het Nationale Volkscongres nam op 28 oktober 2025 de eerste inhoudelijke herziening ervan aan, en de gewijzigde wet trad op 1 januari 2026 in werking. De wijziging voegt vier nieuwe artikelen toe, past er dertien aan, en stemt de sanctie- en verwijzingsbepalingen af op de twee wetten die ernaast zijn gegroeid — de Wet gegevensbeveiliging en de Wet bescherming persoonsinformatie (PIPL).

De opvallendste toevoeging is een eigen AI-bepaling, artikel 20. Het verbindt de staat ertoe fundamenteel onderzoek naar AI-theorie en sleuteltechnologieën zoals algoritmen te ondersteunen; de uitbouw van infrastructuur te bevorderen, waaronder trainingsdatabronnen en rekenkracht; de ethische normen voor AI te versterken; en risicobewaking, -beoordeling en veiligheidstoezicht aan te scherpen, om zo de "gezonde ontwikkeling en toepassing" van AI te bevorderen.

Een bevorderende bepaling, geen plicht

Bij nauwkeurige lezing is artikel 20 het tegendeel van de werkende kern van de EU AI-verordening. Het legt geen risicoclassificatie op, geen conformiteitsbeoordeling, geen verplichtingen voor aangewezen "operators" en — cruciaal — geen eigen sanctie. Het is een aspirationeel, beleidsbepalend artikel: de staat zal ondersteunen, zal bevorderen, zal versterken. De tanden elders in de gewijzigde wet zijn reëel — boetes stijgen fors, tot 10 miljoen RMB (ruwweg 1,2 miljoen euro) voor de zwaarste overtredingen, met persoonlijke boetes voor verantwoordelijke personen — maar die hangen aan de operationele verplichtingen rond netwerk- en kritieke-infrastructuurbeveiliging, niet aan de AI-bepaling.

Het effect is symbolisch en structureel eerder dan regulatoir in de Europese zin. China heeft AI-governance van verspreide departementale regels naar het niveau van primaire wetgeving getild en daarmee een horizontaal anker geplaatst — maar het anker zet de koers, het bindt nog geen gedrag.

De bindende regels blijven sectoraal

Dat komt doordat China's afdwingbare AI-regels al bestaan, en die leven een laag lager, in verticale instrumenten gericht op specifieke technologieën. Maatregelen voor generatieve-AI-diensten zijn van kracht sinds 2023; regels die het markeren van AI-gegenereerde synthetische content verplichten traden in september 2025 in werking en verplichten aanbieders synthetische tekst, beeld, audio en video te markeren. Waar de EU één omvattende productwet bouwt en Korea één horizontale wet heeft aangenomen, reguleert China AI via een groeiende stapel gerichte maatregelen, nu bekroond met een bevorderende bepaling in zijn cybersecuritykader.

Dit is een werkelijk andere architectuur — een derde model. De EU reguleert AI horizontaal en bindend via de AI-verordening. Korea heeft die horizontale vorm overgenomen maar zet bevordering voorop en stelt sancties uit. China houdt zijn bindende regels verticaal en technologiespecifiek, en gebruikt fundamentele wetgeving om de intentie uit te spreken in plaats van plichten op te leggen. Opvallend is dat China's contentmarkeringsregels en de transparantieplichten van artikel 50 van de EU op hetzelfde probleem afkomen — synthetische media herkenbaar maken — vanuit tegengestelde regulatoire filosofieën.

Waarom het verder reikt dan China

Voor organisaties die over jurisdicties heen opereren is de les niet dat er op 1 januari een nieuwe nalevingslast is geland — artikel 20 legt die rechtstreeks niet op. Het is dat de structurele kaart van mondiale AI-regulering nu drie onderscheiden vormen kent, niet één die overal wordt gekopieerd. Een organisatie die de risicogebaseerde grammatica van de EU heeft verinnerlijkt, kan er niet van uitgaan dat China's kader die spiegelt; de bindende verplichtingen zijn verspreid over sectorale maatregelen en moeten op hun eigen voorwaarden worden gelezen, met de officiële Chinese teksten — niet westerse samenvattingen — als gezag. Het bredere patroon uit onze analyse van internationale AI-governance en de Azië-Pacific-vergelijking houdt stand: jurisdicties reiken naar dezelfde doelen — veiligheid, transparantie, verantwoording — via instituties en instrumenten die door zeer verschillende rechtstradities zijn gevormd.