De EU AI-verordening en hoger onderwijs: wat jouw instelling moet weten

De AI-verordening treedt in werking — en hoger onderwijs valt eronder

De Europese Verordening inzake kunstmatige intelligentie (AI Act, Verordening EU 2024/1689) is het eerste wettelijke kader ter wereld dat AI-systemen reguleert op basis van risiconiveau. De handhaving is in februari 2025 gestart voor verboden praktijken, en de verplichtingen voor hoog-risicosystemen — waarvan sommige in het onderwijs worden gebruikt — treden in werking in augustus 2026 (Bron: Publicatieblad van de EU, Verordening 2024/1689, Art. 113).

Voor hoger onderwijsinstellingen is dit geen abstract onderwerp. Zodra een instelling een toelatingschatbot, een kandidaat-scoringtool, een AI-plagiaatdetector of een algoritme voor studiekeuze-aanbevelingen inzet, implementeert ze een AI-systeem in de zin van de verordening. De vraag is niet of jouw instelling eronder valt — dat doet ze. De vraag is in welke risicocategorie jouw tools vallen.

Risicoclassificatie: waar staat jouw instelling?

De AI-verordening deelt AI-systemen in vier risiconiveaus in. Elk niveau brengt andere verplichtingen met zich mee.

Onaanvaardbaar risico (verboden)

Verboden zijn systemen voor algemene sociale scoring, subliminale manipulatie en uitbuiting van kwetsbaarheden. In de onderwijscontext zou een systeem dat studenten beoordeelt op basis van hun algehele sociale gedrag (deelname aan evenementen, sociale media-activiteit) om over toelating te beslissen, verboden zijn (Bron: AI-verordening, Art. 5, lid 1).

Dit scenario klinkt extreem, maar sommige "holistische" beoordelingspraktijken voor kandidaten komen in de buurt. Als jouw toelatingstool gedragsdata bevat die niet gerelateerd zijn aan academische geschiktheid, laat het auditen.

Hoog risico (strenge verplichtingen)

Dit is de belangrijkste categorie voor het hoger onderwijs. Bijlage III van de verordening classificeert expliciet als hoog risico: AI-systemen die worden gebruikt om "de toegang tot of toelating tot onderwijs- en beroepsopleidingsinstellingen te bepalen" (Bron: AI-verordening, Bijlage III, punt 3a).

Concreet betreft dit:

• Geautomatiseerde kandidaat-screeningtools — elk systeem dat aanmeldingen filtert, rangschikt of scoort op basis van algoritmische criteria
• AI-plagiaatdetectie die de beoordeling of academische evaluatie beïnvloedt
• Plaatsings- of oriëntatie-algoritmen die de toegang tot specifieke opleidingen bepalen
• Geautomatiseerde beoordelingssystemen die academische evaluaties produceren of beïnvloeden

De verplichtingen voor deze systemen zijn aanzienlijk: risicobeheerssysteem, gedocumenteerde trainingsdata, technische transparantie, menselijk toezicht, logging en registratie in de EU-database.

Beperkt risico (transparantieverplichtingen)

Toelating- en informatiechatbots vallen in deze categorie. De primaire verplichting is eenvoudig maar niet onderhandelbaar: de gebruiker informeren dat hij met een AI-systeem communiceert (Bron: AI-verordening, Art. 50, lid 1).

In de praktijk moet jouw chatbot duidelijk aangeven dat het een AI-assistent is, geen mens. Een bericht als "Ik ben een AI-assistent van [naam instelling]. Een menselijke adviseur is op verzoek beschikbaar" voldoet aan deze verplichting.

Eveneens in deze categorie:

• AI-gegenereerde content (geautomatiseerde e-mails, opleidingsbeschrijvingen)
• Emotieherkenningssystemen (toonanalyse in video-interviews)
• Automatische vertaaltools voor onderwijscontent

Minimaal risico (geen specifieke verplichtingen)

AI-tools zonder impact op grondrechten: spellingcheckers, spamfilters, roosteroptimalisatie. Geen wettelijke verplichtingen, hoewel transparantie best practices aanbevolen blijven.

Het compliance-tijdpad

Deadlines zijn gespreid. Dit zijn de data die direct relevant zijn voor onderwijsinstellingen.

2 februari 2025 — Verboden treden in werking. Al van kracht.

2 augustus 2025 — Verplichtingen voor AI-modellen voor algemeen gebruik (GPAI). Betreft modelaanbieders zoals OpenAI, Anthropic, Mistral — niet direct de instellingen, maar je AI-toolleveranciers moeten voldoen. Eis een conformiteitsverklaring van je leveranciers.

2 augustus 2026 — Verplichtingen voor hoog-risicosystemen (Bijlage III). Dit is de kritische datum voor onderwijsinstellingen. Als je een geautomatiseerd selectie- of beoordelingssysteem gebruikt, moet het op deze datum conform zijn.

2 augustus 2027 — Uitbreiding naar sectorspecifiek gereguleerde hoog-risicosystemen.

Nog 5 maanden tot de hoog-risicoverplichtingen ingaan. Heeft jouw instelling haar AI-tools nog niet geaudit, dan is de tijdlijn krap maar haalbaar.

Concrete verplichtingen per use case

Toelatingschatbot (beperkt risico)

De verplichtingen zijn proportioneel en realistisch.

Verplichting 1 — Transparantie: de chatbot moet zich als AI identificeren. Een permanente banner of duidelijk welkomstbericht volstaat.

Verplichting 2 — Informatie over gegevensverwerking: conform de AVG moet de gegevensverwerking door de chatbot gedocumenteerd zijn in het privacybeleid. Onze AVG-gids voor studentengegevens licht deze verplichtingen toe.

Verplichting 3 — Menselijk contact: de studiekiezer moet op elk moment een mens kunnen spreken. Een knop "Spreek een adviseur" moet altijd zichtbaar zijn.

Geschatte compliance-kosten: vrijwel nul als je chatbot al transparant is. Reken op 2 tot 5 dagen voor audit, documentatie en interface-aanpassing.

Geautomatiseerde kandidaatselectie (hoog risico)

De verplichtingen zijn aanzienlijk zwaarder.

De zes verplichtingen: (1) gedocumenteerd risicobeheer (bias, discriminatie, classificatiefouten), (2) kwaliteit van trainingsdata (representativiteit, afwezigheid van historische bias), (3) volledige technische documentatie, (4) menselijk toezicht — geen toelatingsbeslissing mag volledig geautomatiseerd zijn, (5) logging van in-/uitvoer (minimaal 6 maanden), (6) registratie in de EU-database.

Geschatte compliance-kosten: 15.000 tot 50.000 EUR voor een volledige audit, technische documentatie en implementatie van menselijk toezicht. De kosten vallen voornamelijk bij de toolleverancier, maar de instelling als "implementeerder" heeft ook verplichtingen.

AI-plagiaatdetectie (hoog risico bij invloed op beoordeling)

Als het tool direct de beoordeling of academische beslissing beïnvloedt, valt het onder hoog risico. AI-detectoren vertonen momenteel een fout-positiefpercentage van 5 tot 15% (Bron: Stanford HAI, 2025). Menselijk toezicht is geen optie — het is een wettelijke verplichting.

De wisselwerking met de AVG

De AI-verordening vervangt de AVG niet — ze vult die aan. Elke verwerking van persoonsgegevens door een AI-systeem blijft onderworpen aan de AVG (rechtsgrondslag, dataminimalisatie, inzagerechten). Artikel 22 AVG verbiedt al geautomatiseerde besluiten met rechtsgevolgen; de AI-verordening versterkt deze bescherming met gedetailleerdere transparantie- en toezichtsvereisten. Beide regelingen vullen elkaar aan.

Voor een verdieping in AVG-compliance specifiek voor studentengegevens, zie onze gespecialiseerde gids.

10-punten compliance-checklist

1. Inventarisatie: alle AI-tools opsommen (chatbot, CRM, scoring, plagiaat, aanbeveling)
2. Classificatie: minimaal, beperkt, hoog of onaanvaardbaar risico per tool
3. Leveranciersaudit: conformiteitsverklaring en tijdpad eisen van elke leverancier
4. Chatbot-transparantie: AI-identificatie + optie menselijk contact
5. Menselijk toezicht: geen toelatingsbeslissing volledig geautomatiseerd
6. Technische documentatie: volledig dossier voor hoog-risicosystemen
7. Bias-analyse: tests op geslacht, geografische herkomst, schooltype
8. Privacybeleid: AI-verwerkingen integreren
9. Training: toelatings- en onderwijsteams over hun verplichtingen
10. Jaarlijkse review: AI-verordening-audit gealigneerd met AVG-review

Sancties bij niet-naleving

De AI-verordening voorziet in getrapte boetes: tot 35 miljoen EUR (7% van de omzet) voor verboden praktijken, 15 miljoen EUR (3%) voor niet-naleving hoog risico, en 7,5 miljoen EUR (1%) voor onjuiste informatie. Het reputatierisico weegt minstens even zwaar: een instelling die wordt beboet voor AI-niet-naleving ondermijnt haar geloofwaardigheid bij het opleiden van digitale professionals.

Wat instellingen moeten eisen van hun AI-leveranciers

Als "implementeerders" onder de verordening dragen instellingen medeverantwoordelijkheid. Eis van elke leverancier: een gedateerde conformiteitsverklaring, risicoclassificatie met onderbouwing, toegankelijke technische documentatie, contractuele toezegging voor menselijk toezicht en transparantie, een gedocumenteerde bias-audit en een regulatoir updateplan.

Voor inzicht in hoe AI de zichtbaarheid van instellingen beïnvloedt buiten compliance om, verkent ons artikel over AI-aanbevelingscriteria voor scholen het onderwerp in de diepte.

De AI-verordening maakt deel uit van een breder digitaal rechtskader: onze gids over digitale toegankelijkheid van de schoolwebsite behandelt de WCAG 2.1-verplichtingen die voor hogescholen en universiteiten gelden.

FAQ

Is mijn toelatingschatbot geclassificeerd als hoog risico?

Nee, tenzij het autonome toelatingsbeslissingen neemt. Een chatbot die informeert, vragen beantwoordt en prospects kwalificeert, is "beperkt risico." Het moet zich als AI identificeren en menselijk contact bieden, maar valt niet onder de zware hoog-risicoverplichtingen. Beslist de chatbot echter automatisch over aanname of afwijzing, dan valt het wel onder hoog risico.

Is de AI-verordening van toepassing op niet-EU-instellingen die in Europa werven?

Ja. De verordening geldt voor elk AI-systeem waarvan de output in de EU wordt gebruikt, ongeacht waar de aanbieder of implementeerder gevestigd is. Een Britse of Zwitserse instelling die een scoringtool gebruikt om kandidaten met EU-verblijf te selecteren, valt onder de AI-verordening.

Wat is de relatie tussen de AI-verordening en de AVG voor kandidaatgegevens?

Beide regelingen gelden gelijktijdig. De AVG regelt de verzameling, opslag en verwerking van persoonsgegevens. De AI-verordening voegt verplichtingen toe over hoe die gegevens door AI-systemen worden gebruikt (transparantie, menselijk toezicht, bias-audit). AVG-compliance ontslaat niet van AI-verordening-compliance en vice versa.

Hoeveel tijd en budget moet je plannen voor compliance?

Voor een instelling met chatbot (beperkt risico) en CRM met basis-scoring: 2 tot 4 weken en 3.000 tot 8.000 EUR aan audit en aanpassingen. Voor een instelling met geautomatiseerd selectiesysteem (hoog risico): 2 tot 4 maanden en 15.000 tot 50.000 EUR, waarvan een significant deel bij de toolleverancier.