Beste open-source AI

De AI Act en open-source-modellen: wat een bedrijf moet doen dat er een fine-tunet

De AI Act geeft open-source-modellen een gedeeltelijke vrijstelling, en de meeste bedrijven die er een fine-tunen, worden nooit aanbieder van een nieuw model. Een lezing van de artikelen, de richtsnoeren van de Commissie en de Omnibus van 2026, met een checklist tot slot.

Door De redactie · Bijgewerkt op · 7 min lezen

Een compliance officer en een engineer nemen aan een bureau bij een hoog raam in een Europees kantoor een geprinte verordening met tabbladen door.
Voor de meeste bedrijven gaan de plichten rond open modellen over documentatie, niet over verboden.
Inhoud
  1. De vraag achter de zoekopdracht
  2. Hoe de verordening open-source AI behandelt
  3. Wat er verandert als een bedrijf een model fine-tunet
  4. De data
  5. De kant van de gegevensbescherming
  6. Checklist voor een bedrijf dat een open model fine-tunet
  7. Veelgestelde vragen
  8. Bronnen

De vraag achter de zoekopdracht

Een Europees bedrijf dat zijn AI-werk verplaatst naar een open-weight-model, en dat model vervolgens op de eigen data traint, heeft een begrijpelijke zorg: of het daarmee aanbieder van een AI-model wordt, met alle plichten van dien. De AI Act is lang, is al eenmaal gewijzigd, en veel commentaar erop gaat over de frontier-laboratoria in plaats van over de bedrijven die hun modellen aanpassen. Deze gids leest de relevante artikelen en de richtsnoeren van de Commissie voor dat smallere geval. Het is een samenvatting ter oriëntatie, geen juridisch advies.

Hoe de verordening open-source AI behandelt

De verordening onderscheidt AI-systemen, de toepassingen die mensen gebruiken, van AI-modellen voor algemene doeleinden, de modellen waarop die systemen zijn gebouwd⁠1.

Open-source-systemen. Artikel 2, lid 12, bepaalt dat de verordening niet van toepassing is op AI-systemen die onder vrije en open-source-licenties zijn uitgebracht, tenzij ze als hoog-risicosysteem in de handel worden gebracht, of vallen onder de verboden praktijken van artikel 5 of de transparantieplichten van artikel 50⁠1.

Open-source-modellen. Voor modellen voor algemene doeleinden stelt artikel 53, lid 2, aanbieders van modellen onder een vrije en open-source-licentie vrij van de technische documentatieplichten van artikel 53, lid 1, onder a en b. Artikel 54, lid 6, schrapt de eis dat aanbieders van buiten de EU een gemachtigde vertegenwoordiger aanwijzen. Geen van beide vrijstellingen geldt voor modellen met een systeemrisico⁠1.

Wat blijft gelden. Elke aanbieder van een model voor algemene doeleinden, open of niet, moet een beleid invoeren om het Europese auteursrecht na te leven en een voldoende gedetailleerde samenvatting publiceren van de inhoud die voor de training is gebruikt, op grond van artikel 53, lid 1, onder c en d. Overweging 104 bevestigt dat de vrijstelling voor open source deze twee plichten niet dekt⁠1.

Wat als open telt. Overweging 102 koppelt openheid aan openbare parameters, gewichten, architectuur en gebruiksinformatie. Overweging 103 sluit onderdelen uit die tegen betaling worden geleverd of anderszins te gelde worden gemaakt, en merkt op dat publicatie via open repositories op zichzelf geen te gelde maken is⁠1. De richtsnoeren van de Commissie herhalen de voorwaarden: een licentie die toegang, gebruik, aanpassing en verspreiding toestaat zonder te gelde maken; openbare gewichten, architectuur en gebruiksinformatie; en geen systeemrisico⁠2.

Systeemrisico. Een model wordt vermoed een systeemrisico te hebben als voor de training meer dan 10^25 rekenbewerkingen zijn gebruikt, op grond van artikel 51, lid 2⁠1. De indicatieve toets van de Commissie of een model überhaupt voor algemene doeleinden is, is trainingscompute boven 10^23 bewerkingen in combinatie met het vermogen om taal, beelden of video te genereren⁠2.

Wat er verandert als een bedrijf een model fine-tunet

Dit is het punt waarover bedrijven zich het vaakst zorgen maken, en de richtsnoeren van de Commissie stellen gerust. Een bedrijf dat een model voor algemene doeleinden aanpast, wordt pas aanbieder van het aangepaste model als de aanpassing meer dan een derde van de compute gebruikt waarmee het oorspronkelijke model is getraind. Onder die drempel leiden kleine aanpassingen niet tot plichten als aanbieder⁠23.

Een bedrijf boven de drempel wordt behandeld als aanbieder van het aangepaste model, maar de documentatieplicht beperkt zich tot de aanpassing: wat er is gewijzigd en welke nieuwe data zijn gebruikt, niet het hele model⁠2. Parameter-efficiënte fine-tuning, zoals LoRA, traint een klein aantal toegevoegde parameters⁠4, waardoor een gangbare fine-tuning door een bedrijf waarschijnlijk ruim onder een derde van de trainingscompute van het oorspronkelijke model blijft; het cijfer moet toch worden geschat en vastgelegd.

Voor hoog-risicosystemen geldt een aparte regel. Op grond van artikel 25, lid 1, wordt een gebruiksverantwoordelijke als aanbieder van een hoog-risico-AI-systeem beschouwd als die, onder meer, zijn naam of merk erop zet of het systeem ingrijpend wijzigt⁠1. Een bedrijf dat een model inbouwt in werving, kredietverlening of een andere hoog-risicotoepassing, leest dat artikel het best eerst.

De data

DatumWat er geldt
2 februari 2025Plicht tot AI-geletterdheid uit artikel 4 voor aanbieders en gebruiksverantwoordelijken⁠5
2 augustus 2025Verplichtingen voor aanbieders van AI-modellen voor algemene doeleinden⁠3
2 augustus 2026Handhavingsbevoegdheden van de Commissie over modellen voor algemene doeleinden, inclusief boetes; nationale handhaving van AI-geletterdheid⁠35
27 juli 2026Verordening (EU) 2026/1744, de Digital Omnibus over AI, van kracht⁠6
2 augustus 2027Uiterste datum voor modellen voor algemene doeleinden die vóór 2 augustus 2025 op de markt zijn gebracht⁠3
2 december 2027Hoog-risicoverplichtingen voor systemen uit bijlage III, na uitstel door de Omnibus⁠6
2 augustus 2028Hoog-risicoverplichtingen voor systemen onder bijlage I, na uitstel door de Omnibus⁠6

De Omnibus, in november 2025 door de Commissie voorgesteld en in juli 2026 aangenomen, verzachtte ook artikel 4, vereenvoudigde de documentatie voor kleine en middelgrote bedrijven en voegde nieuwe verboden toe op AI die intieme deepfakes of materiaal van seksueel kindermisbruik genereert⁠76. Na de wijziging schrijft artikel 4 geen voldoende niveau van AI-geletterdheid meer voor, maar volgens de Commissie is alleen vertrouwen op gebruiksinstructies doorgaans onvoldoende⁠5.

De vrijwillige praktijkcode voor AI voor algemene doeleinden, gepubliceerd in juli 2025, beschrijft hoe aanbieders aan de transparantie- en auteursrechtplichten kunnen voldoen, met een apart hoofdstuk over veiligheid en beveiliging voor modellen met een systeemrisico. Mistral AI en Aleph Alpha behoren tot de ondertekenaars⁠8.

De kant van de gegevensbescherming

Een model trainen op bedrijfsdata die persoonsgegevens bevatten, is verwerking onder de AVG, wat de AI Act ook zegt. Advies 28/2024 van het Europees Comité voor gegevensbescherming is het referentiepunt: een model dat op persoonsgegevens is getraind, kan niet in alle gevallen als anoniem worden beschouwd, en is alleen anoniem als zowel het extraheren van persoonsgegevens als het prijsgeven ervan via vragen een verwaarloosbare kans heeft. Gerechtvaardigd belang kan een rechtsgrond zijn voor het ontwikkelen en inzetten van een model, mits een toets in drie stappen wordt doorstaan, en een bedrijf dat een model van derden inzet, moet nagaan of het rechtmatig is ontwikkeld⁠9. In Nederland ziet de Autoriteit Persoonsgegevens toe op de AVG; de Franse CNIL heeft praktische fiches gepubliceerd over de rechtsgrond en over de status van een model onder de AVG⁠10.

Checklist voor een bedrijf dat een open model fine-tunet

  1. Leg elk gebruikt model vast, met versie en licentie, en ga na of de licentie voldoet aan de voorwaarden van de Commissie voor open source.
  2. Controleer de systeemrisicostatus van het basismodel. Ligt die boven 10^25 bewerkingen, dan draagt de aanbieder ervan de extra plichten; een fine-tuner onder de drempel van een derde neemt die niet over.
  3. Schat de compute van elke fine-tuning en bewaar het cijfer. Onder een derde van de oorspronkelijke trainingscompute is het bedrijf geen aanbieder van een nieuw model voor algemene doeleinden.
  4. Documenteer de aanpassing hoe dan ook: welke data zijn gebruikt, wat er is veranderd en hoe het is geëvalueerd. Boven de drempel is het verplicht, eronder is het goede praktijk.
  5. Toets de toepassing aan de hoog-risicolijst en aan artikel 25, lid 1, voordat u het model in gebruik neemt.
  6. Voer een AVG-beoordeling uit voor de trainingsdata, beperk persoonsgegevens tot het minimum en documenteer de toets voor gerechtvaardigd belang als dat de rechtsgrond is.
  7. Zet een programma voor AI-geletterdheid op voor medewerkers die het systeem gebruiken of erop toezien.
  8. Zet de data in de agenda, in het bijzonder 2 december 2027 voor hoog-risicosystemen.

Een bedrijf dat deze acht dingen heeft gedaan, kan de vragen beantwoorden die een toezichthouder, klant of ondernemingsraad waarschijnlijk stelt. De meeste bedrijven zullen merken dat het fine-tunen van een open model hen gebruiksverantwoordelijke met documentatieplichten maakt, niet aanbieder van een model.

Veelgestelde vragen

Geldt de AI Act voor open source AI?

Gedeeltelijk. AI-systemen die onder een vrije en open-source-licentie zijn uitgebracht, vallen buiten de verordening, tenzij ze hoog-risico of verboden zijn of onder de transparantieregels vallen. Open-source-modellen voor algemene doeleinden zijn vrijgesteld van een deel van de documentatieplichten, maar moeten nog een auteursrechtbeleid hebben en een samenvatting van hun trainingsinhoud publiceren; modellen met een systeemrisico krijgen geen vrijstelling.

Worden wij aanbieder onder de AI Act als we een open-source-model fine-tunen?

Meestal niet. Volgens de richtsnoeren van de Commissie wordt een bedrijf dat een model voor algemene doeleinden aanpast pas aanbieder als de aanpassing meer dan een derde van de compute gebruikt waarmee het oorspronkelijke model is getraind. Zelfs dan gelden de plichten alleen voor de aanpassing, zoals de wijzigingen en de nieuwe trainingsdata.

Vanaf wanneer gelden de regels voor AI-modellen voor algemene doeleinden?

De verplichtingen voor aanbieders van AI-modellen voor algemene doeleinden gelden sinds 2 augustus 2025. De handhavingsbevoegdheden van de Commissie, inclusief boetes, gelden vanaf 2 augustus 2026. Modellen die vóór 2 augustus 2025 op de markt zijn gebracht, moeten uiterlijk 2 augustus 2027 voldoen.

Heeft de Digital Omnibus de AI Act uitgesteld?

Ze heeft de regels voor hoog-risicosystemen uitgesteld. Verordening (EU) 2026/1744, van kracht sinds 27 juli 2026, verschuift de hoog-risicoverplichtingen naar 2 december 2027 voor systemen uit bijlage III en naar 2 augustus 2028 voor systemen onder bijlage I. Ze verzacht ook de plicht tot AI-geletterdheid. De verplichtingen voor modellen voor algemene doeleinden lijken niet te veranderen.

Wanneer heeft een AI-model voor algemene doeleinden een systeemrisico?

De verordening vermoedt een systeemrisico als een model is getraind met meer dan 10^25 rekenbewerkingen. Voor die modellen gelden extra plichten op het gebied van veiligheid en beveiliging, en de vrijstelling voor open source geldt voor hen niet.

Verplicht de AI Act tot AI-training voor medewerkers?

Artikel 4 verplicht aanbieders en gebruiksverantwoordelijken maatregelen te nemen voor de AI-geletterdheid van hun personeel, en geldt sinds 2 februari 2025. Na de Omnibus van 2026 schrijft het geen voldoende niveau meer voor, maar volgens de Commissie is alleen vertrouwen op gebruiksinstructies doorgaans onvoldoende.

Bronnen

  1. Regulation (EU) 2024/1689 (Artificial Intelligence Act). EUR-Lex, 12 jul. 2024. Geraadpleegd op 9 nov. 2026.
  2. Questions and answers on the guidelines for general-purpose AI providers. European Commission. Geraadpleegd op 9 nov. 2026.
  3. Guidelines for providers of general-purpose AI models. European Commission. Geraadpleegd op 9 nov. 2026.
  4. PEFT. Hugging Face. Geraadpleegd op 9 nov. 2026.
  5. AI literacy: questions and answers. European Commission. Geraadpleegd op 9 nov. 2026.
  6. Regulation (EU) 2026/1744 (Digital Omnibus on AI). EUR-Lex, 24 jul. 2026. Geraadpleegd op 9 nov. 2026.
  7. Digital Omnibus on AI: regulation proposal. European Commission, 19 nov. 2025. Geraadpleegd op 9 nov. 2026.
  8. The General-Purpose AI Code of Practice. European Commission, 10 jul. 2025. Geraadpleegd op 9 nov. 2026.
  9. Opinion 28/2024 on certain data protection aspects related to the processing of personal data in the context of AI models. European Data Protection Board, 18 dec. 2024. Geraadpleegd op 9 nov. 2026.
  10. Les fiches pratiques IA. CNIL. Geraadpleegd op 9 nov. 2026.

Bijgewerkt op 9 nov. 2026: Eerste publicatie, met verwerking van Verordening (EU) 2026/1744 (de Digital Omnibus over AI).

Verder lezen

Ook in: English · Deutsch · Français · Español · Italiano · Polski