RegTech4AI ziet een kloof tussen AI-wetgeving en de praktijk. “Schrijf de techniek de wet in.”

Om ethiek, soevereiniteit en verantwoord gebruik van data en AI te borgen is de afgelopen jaren veel Europese wetgeving ontwikkeld. Zoals de AVG,  de Digital Services Act en de AI Act. Er staat inmiddels veel op papier, maar hoe werken die wetten in de praktijk? Bereiken ze het beoogde doel? Daar doet computerwetenschapper Konrad Kollnig onderzoek naar.  

Met de steun van een AiNed Fellowship Grant startte hij aan de Universiteit Maastricht de onderzoeksgroep RegTech4AI. We spraken met Kollnig,over zijn onderzoek.

Kloof

Missing the Mark 

De AI Act is vooral geschreven voor hoogrisicotoepassingen, zoals het gebruik van AI bij sollicitaties of in de zorg. Maar de verordening verplicht ook dat AI-gegenereerde beelden herkenbaar zijn. Die transparantieverplichting ging op 2 augustus 2026 in, met een overgangsperiode tot 2 december 2026 voor systemen die al op de markt waren. Het idee is dat mensen moeten kunnen zien dat ze naar synthetische content kijken. 

Om te bekijken hoe ver de markt hiermee is, deed Kollnigs groep zo’n legal AI audit. Het team toetste vijftig AI-beeldgeneratoren aan die eis. De resultaten, gepubliceerd in het paper Missing the Mark, zijn weinig hoopgevend. Slechts 38 procent bracht een door machines te lezen watermerk aan, en maar negen van de vijftig systemen toonden een zichtbaar label.  “Een kleine minderheid van de tools had wél labels in de gegenereerde beelden. Maar mensen kunnen ervoor betalen om die weg te halen. De premiumversie zorgt ervoor dat je dat niet meer hoeft te vermelden. Dat is toch een beetje belachelijk.” 

Chinees en Engels 

De discrepantie tussen wat de wetgever wil en de praktijk is er dus. Maar hoe komt dat precies? Om dat uit te leggen gebruikt Kollnig een beeldspraak. “Bij wetgeving in de techwereld lijkt het wel of de ene kant, de wetgever, Chinees spreekt en de andere kant, de toepassingen, Engels, en vervolgens vinden we het raar dat we elkaar niet vinden. En we blijven steeds hetzelfde doen.” 

Over hoe deze patstelling doorbroken moet worden heeft Kollnig wel ideeën. “Schrijf de techniek de wet in. Dat betekent dat de wet beter uitlegt hoe iets technisch moet werken, en niet alleen bepaalt welke uitkomst wenselijk is.  Schrijf preciezer op hoe de computercode eruit gaat zien”, vertelt Kollnig. 

Een voorbeeld daarvan is een technische standaard uit Californië: Global Privacy Control. Het idee is dat een gebruiker één keer in de browser aangeeft geen datadeling te willen, waarna websites dat automatisch moeten respecteren. Dat zou het einde kunnen betekenen van de cookiebanner. 

Schrijf de techniek de wet in. Dat betekent dat de wet beter uitlegt hoe iets technisch moet werken, en niet alleen bepaalt welke uitkomst wenselijk is.

Konrad Kollnig, hoofddocent aan de Universiteit Maastricht

Het werkt goed omdat de standaard precies vastlegt hoe de uitwisseling tussen browser en website verloopt. Of zo’n signaal ook onder Europees recht kan vallen, zocht het team al uit in een juridische analyse. Onlangs organiseerde het team een werkbijeenkomst in Brussel met industrie, maatschappelijke organisaties, wetenschappers en de Europese Commissie. Om te verkennen of zo’n signaal ook in Europa zou kunnen werken. Of dat lukt, is onzeker. “Verandering is niet makkelijk en er is behoorlijk wat weerstand”, zegt Kollnig. “Maar mijn advies blijft: blijf dicht bij het object dat je wilt reguleren.” 

Sociale media en AI 

Ondertussen gaat het onderzoek door. Over de plannen van RegTech4AI in de nabije toekomst vertelt Kollnig: “Legal AI auditing blijft de komende jaren de hoofdrichting. Daarnaast meten we hoe sociale media met AI omgaan. We gaan onderzoeken of naar behoren duidelijk wordt gemaakt wat door AI is gemaakt en wat niet. De AI Act schrijft voor dat van alle content duidelijk moet zijn of het AI is of niet. In theorie moet zelfs AI-gegenereerde tekst gelabeld worden, maar voorlopig doet niemand dat nog.” 
 
Daarnaast gaat het team onderzoek doen naar een lastige norm. De EU Digital Services Act verplicht zeer grote platforms zoals TikTok en Instagram om “systeemrisico’s” voor de samenleving in kaart te brengen en te beperken. Uit onderzoek naar dat begrip kwam naar voren dat het vooral bekend is uit de financiële sector, en dat er voor platforms nog geen rechtspraak over bestaat. “Hier is nog te weinig over bekend. Wat zijn systeemrisico’s eigenlijk? En wie bepaalt dat? Daar gaan we diep in duiken”, zo sluit Kollnig af.