Om ethiek, soevereiniteit en verantwoord gebruik van data en AI te borgen is de afgelopen jaren veel Europese wetgeving ontwikkeld. Zoals de AVG, de Digital Services Act en de AI Act. Er staat inmiddels veel op papier, maar hoe werken die wetten in de praktijk? Bereiken ze het beoogde doel? Daar doet computerwetenschapper Konrad Kollnig onderzoek naar.
Met de steun van een AiNed Fellowship Grant startte hij aan de Universiteit Maastricht de onderzoeksgroep RegTech4AI. We spraken met Kollnig, universitair hoofddocent aan de Universiteit Maastricht en projectleider van RegTech4AI, over zijn onderzoek.
Kloof
Dat die kloof er is, ontdekte Kollnig in eerder onderzoek. Voor zijn promotie in Oxford analyseerde hij miljoenen mobiele apps. Minstens 70 procent bleek al data te delen met Google en andere bedrijven zodra de gebruiker de app opende, nog vóór er iets was aangeklikt. “Minder dan 10 procent gaf gebruikers daarbij enige keuze. Hier werd niet aan wetgeving voldaan, en toestemming vragen om data te delen is toch wel echt het minimale. Als de allerlaagste lat die de wet legt al sporadisch wordt gehaald, wat betekent dat dan voor de wetgeving op dit gebied? Daar was ik echt benieuwd naar.”
RegTech4AI is een door het Nationaal Groeifonds gefinancierd onderzoeksinitiatief binnen het Fellowship Grant programma. Het maakt EU-regelgeving voor AI werkend in de praktijk, met behulp van regulatory technology.
Het initiatief ontwikkelt technische methoden om de AVG en de AI Act te implementeren en overbrugt daarmee de kloof tussen juridische eisen en de dagelijkse praktijk. Het project loopt vijf jaar en financiert zes voltijds onderzoekers.
Om daar meer over te weten te komen doet de onderzoeksgroep in de kern aan legal AI auditing. Dit is het systematisch toetsen van een AI-systeem aan wat de wet werkelijk voorschrijft, op basis van meetbaar bewijs over wat het systeem in de praktijk doet.
Missing the Mark
De AI Act is vooral geschreven voor hoogrisicotoepassingen, zoals het gebruik van AI bij sollicitaties of in de zorg. Maar de verordening verplicht ook dat AI-gegenereerde beelden herkenbaar zijn. Die transparantieverplichting ging op 2 augustus 2026 in, met een overgangsperiode tot 2 december 2026 voor systemen die al op de markt waren. Het idee is dat mensen moeten kunnen zien dat ze naar synthetische content kijken.
Om te bekijken hoe ver de markt hiermee is, deed Kollnigs groep zo’n legal AI audit. Het team toetste vijftig AI-beeldgeneratoren aan die eis. De resultaten, gepubliceerd in het paper Missing the Mark, zijn weinig hoopgevend. Slechts 38 procent bracht een door machines te lezen watermerk aan, en maar negen van de vijftig systemen toonden een zichtbaar label.
“Een kleine minderheid van de tools had wél labels in de gegenereerde beelden. Maar mensen kunnen ervoor betalen om die weg te halen. De premiumversie zorgt ervoor dat je dat niet meer hoeft te vermelden. Dat is toch een beetje belachelijk.”
Chinees en Engels
De discrepantie tussen wat de wetgever wil en de praktijk is er dus. Maar hoe komt dat precies? Om dat uit te leggen gebruikt Kollnig een beeldspraak. “Bij wetgeving in de techwereld lijkt het wel of de ene kant, de wetgever, Chinees spreekt en de andere kant, de toepassingen, Engels, en vervolgens vinden we het raar dat we elkaar niet vinden. En we blijven steeds hetzelfde doen.”
Over hoe deze patstelling doorbroken moet worden heeft Kollnig wel ideeën. “Schrijf de techniek de wet in. Dat betekent dat de wet beter uitlegt hoe iets technisch moet werken, en niet alleen bepaalt welke uitkomst wenselijk is. Schrijf preciezer op hoe de computercode eruit gaat zien”, vertelt Kollnig.
Een voorbeeld daarvan is een technische standaard uit Californië: Global Privacy Control. Het idee is dat een gebruiker één keer in de browser aangeeft geen datadeling te willen, waarna websites dat automatisch moeten respecteren. Dat zou het einde kunnen betekenen van de cookiebanner.
Het werkt goed omdat de standaard precies vastlegt hoe de uitwisseling tussen browser en website verloopt. Of zo’n signaal ook onder Europees recht kan vallen, zocht het team al uit in een juridische analyse. Onlangs organiseerde het team een werkbijeenkomst in Brussel met industrie, maatschappelijke organisaties, wetenschappers en de Europese Commissie. Om te verkennen of zo’n signaal ook in Europa zou kunnen werken. Of dat lukt, is onzeker.
“Verandering is niet makkelijk en er is behoorlijk wat weerstand”, zegt Kollnig. “Maar mijn advies blijft: blijf dicht bij het object dat je wilt reguleren.”
aan de Universiteit Maastricht en projectleider
van RegTech4A
Sociale media en AI
Ondertussen gaat het onderzoek door. Over de plannen van RegTech4AI in de nabije toekomst vertelt Kollnig: “Legal AI auditing blijft de komende jaren de hoofdrichting. Daarnaast meten we hoe sociale media met AI omgaan. We gaan onderzoeken of naar behoren duidelijk wordt gemaakt wat door AI is gemaakt en wat niet. De AI Act schrijft voor dat van alle content duidelijk moet zijn of het AI is of niet. In theorie moet zelfs AI-gegenereerde tekst gelabeld worden, maar voorlopig doet niemand dat nog.”
Daarnaast gaat het team onderzoek doen naar een lastige norm. De EU Digital Services Act verplicht zeer grote platforms zoals TikTok en Instagram om “systeemrisico’s” voor de samenleving in kaart te brengen en te beperken. Uit onderzoek naar dat begrip kwam naar voren dat het vooral bekend is uit de financiële sector, en dat er voor platforms nog geen rechtspraak over bestaat. “Hier is nog te weinig over bekend. Wat zijn systeemrisico’s eigenlijk? En wie bepaalt dat? Daar gaan we diep in duiken”, zo sluit Kollnig af.
