Wat zegt de EU AI Act over transcriptie en samenvatting? (risicoklassen uitgelegd)

Een AI-tool die een gesprek transcribeert en samenvat, valt onder de EU AI Act meestal in de op één na lichtste categorie: beperkt risico, met een transparantieplicht in plaats van zware nalevingseisen. De AI Act deelt systemen in vier klassen in — verboden, hoog risico, beperkt risico en minimaal risico — en hoe groter het risico voor mensen en grondrechten, hoe strenger de eisen [1][3]. Transcriberen en samenvatten sturen op zichzelf geen mens aan en beslissen niet over iemand, dus ze horen niet automatisch bij hoog risico. Wat wél geldt: je moet mensen duidelijk maken dat ze met AI te maken hebben en dat tekst of audio door AI is gegenereerd (artikel 50), en die regel gaat in op 2 augustus 2026 [2][4]. Twee dingen kunnen de klasse omhoog duwen: als het systeem óók emoties herkent, of als de samenvatting een schakel is in een beslissing over zorg, werk of recht. En let op: de AI Act komt bovenóp de AVG — je DPIA-plicht en toestemmingsregels blijven gewoon staan [3].

Dit artikel is zorgvuldig samengesteld en van bronnen voorzien, maar is geen juridisch advies. Leg beleidskeuzes altijd voor aan je eigen jurist, FG of DPO.

De vier risicoklassen in het kort

De AI Act werkt met een risicogebaseerde aanpak: hoe groter het risico van een toepassing voor de gezondheid, veiligheid of grondrechten van mensen, hoe strenger de eisen [1][3]. De Europese Commissie onderscheidt vier niveaus [1]:

• Onaanvaardbaar risico (verboden). Toepassingen die een duidelijke bedreiging vormen, zoals social scoring, schadelijke manipulatie, ongerichte biometrische scraping en emotieherkenning op de werkvloer. Deze zijn sinds februari 2025 verboden [1][5].
• Hoog risico. Systemen die grote invloed hebben op grondrechten, zoals AI voor werving, kredietbeoordeling, medische toepassingen of onderwijs. Zij moeten voldoen aan strenge eisen: risicobeheer, kwaliteitseisen aan data, logging, uitgebreide documentatie, menselijk toezicht en een hoog niveau van nauwkeurigheid en robuustheid [1].
• Beperkt risico (transparantie). Systemen waarbij mensen simpelweg moeten wéten dat ze met AI te maken hebben. Denk aan chatbots en aan AI die audio, beeld of tekst genereert. Voor deze groep geldt de transparantieplicht van artikel 50 [1][2].
• Minimaal of geen risico. Verreweg de meeste toepassingen, zoals spamfilters en AI in games. De AI Act stelt hiervoor geen extra regels [1].

Waar valt transcriptie en samenvatting in?

Een systeem dat spraak omzet in tekst en die tekst samenvat, doet twee dingen die de wet niet als hoog risico bestempelt: het luistert en het schrijft. Het neemt geen beslissing over een persoon, het bepaalt niet of iemand een baan, een lening of een behandeling krijgt. De hoog-risicolijst van de AI Act (Bijlage III) gaat juist over dat soort beslissende toepassingen [1]. Transcriberen en samenvatten sturen op zichzelf niets aan — ze produceren een concept dat een mens verder gebruikt.

Daarmee landt een gewone transcriptie- en samenvattingstool in de categorie beperkt risico. De reden is dat het systeem inhoud genereert (de samenvatting is door AI opgesteld) en soms rechtstreeks met mensen praat (een chatfunctie over het verslag). Dat raakt precies wat artikel 50 wil borgen: mensen mogen niet in de veronderstelling verkeren dat een tekst door een mens is geschreven als een machine het deed [2]. Belangrijk: "beperkt risico" betekent niet "geen regels", maar wél dat je te maken hebt met transparantie-eisen in plaats van de zware nalevingsmachine van hoog risico. Wil je precies weten wat je aan cliënten of gesprekspartners moet melden, lees dan AI-transparantieplicht (art. 50 AI Act): wat moet je melden aan cliënten?.

De transparantieplicht (artikel 50) concreet

Artikel 50 legt transparantieverplichtingen op aan aanbieders én gebruiksverantwoordelijken van bepaalde AI-systemen. Voor transcriptie en samenvatting zijn vooral deze relevant [2]:

• Interactie met AI moet kenbaar zijn. Praat iemand met een AI-systeem (bijvoorbeeld een chat over het verslag), dan moet die persoon geïnformeerd worden dat het om AI gaat — tenzij dat overduidelijk is voor een redelijk oplettend mens [2].
• Door AI gegenereerde inhoud moet markeerbaar zijn. Aanbieders van systemen die synthetische audio, beeld, video of tekst maken, moeten de uitvoer in een machineleesbaar formaat markeren als kunstmatig gegenereerd of gemanipuleerd, voor zover dat technisch haalbaar is [2].
• Deepfakes en publieksteksten labelen. Wie kunstmatige beeld-, audio- of video-inhoud (een deepfake) of publieksvoorlichtende tekst verspreidt, moet melden dat die is gegenereerd of gemanipuleerd [2].
• Emotieherkenning: informeren. Wordt een systeem voor emotieherkenning ingezet (voor zover toegestaan), dan moeten de betrokkenen over de werking worden geïnformeerd [2].

Er zit een uitzondering in die voor gespreksverslagen belangrijk is: de labelplicht voor gegenereerde tekst geldt niet als de inhoud een proces van menselijke review of redactionele controle heeft doorlopen en een mens of organisatie de verantwoordelijkheid voor publicatie draagt [2]. Precies zo is Verbinn gebouwd: elk verslag blijft een concept totdat een mens het reviewt en goedkeurt — zonder die goedkeuring geen export. De mens tekent, niet de machine. Deze verplichtingen gelden vanaf 2 augustus 2026 [2][4].

Wanneer wordt het tóch hoog risico of verboden?

De klasse hangt niet aan het woord "transcriptie", maar aan wat het systeem doet en waarvoor je het inzet. Twee situaties tillen je uit de lichte categorie:

1. Emotieherkenning. Zodra een systeem niet alleen woorden vastlegt maar ook probeert af te leiden hoe iemand zich vóélt op basis van biometrische signalen, verandert het plaatje. Emotieherkenning op de werkvloer en in het onderwijs is sinds februari 2025 zelfs verboden (artikel 5), behalve om medische of veiligheidsredenen; buiten die context is emotieherkenning als hoog-risicosysteem gecategoriseerd in Bijlage III [5]. Een verslagtool die stemming of betrokkenheid "meet", zit dus in een heel ander regime dan een tool die alleen transcribeert.

2. Onderdeel van een hoog-risicobeslissing. Als de samenvatting een schakel is in een systeem dat wél beslist — bijvoorbeeld AI die een sollicitatiegesprek samenvat én kandidaten rangschikt, of die een diagnose ondersteunt — dan kan het geheel als hoog risico kwalificeren [1]. De transcriptie erft dan de eisen van het systeem waar ze deel van uitmaakt. Draait de tool puur als documentatie-hulp en neemt een mens de beslissing, dan blijft die zwaardere klasse buiten beeld.

Wat geldt nú al: AI-geletterdheid en toezicht

Ook al gaat artikel 50 pas in augustus 2026 in, één verplichting geldt al langer en raakt élke organisatie die AI gebruikt — ongeacht risicoklasse. Sinds 2 februari 2025 moeten organisaties zorgen voor voldoende AI-geletterdheid bij het personeel dat met AI werkt (artikel 4) [4]. Wie een transcriptie- of samenvattingstool inzet, valt daar onder: je medewerkers moeten begrijpen wat de tool doet, waar de grenzen liggen en waarom het verslag een concept is dat controle vraagt.

Het toezicht in Nederland ligt bij meerdere partijen. De Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur zijn de centrale toezichthouders op AI, aangevuld met sectorale toezichthouders waar nodig; de AP coördineert het toezicht op grondrechten en op AI-systemen die persoonsgegevens verwerken [3]. Voor gespreksverslagen — die vrijwel altijd persoonsgegevens bevatten — betekent dat: de AVG-toezichthouder kijkt sowieso mee. Dat AI-geletterdheid en beleid geen bijzaak zijn, merk je vooral als je team al met tools werkt die niemand heeft goedgekeurd; hoe je daarmee omgaat, lees je in Schaduw-IT in de zorg: je team gebruikt al AI — zo maak je het veilig.

De AI Act komt bovenop de AVG

Een veelgemaakte denkfout: "onze tool valt in de lichte klasse, dus we hoeven weinig te regelen." De AI Act vervangt de AVG niet — hij komt eróverheen [3]. Verwerk je met een transcriptietool persoonsgegevens (en bij gespreksverslagen doe je dat altijd), dan blijven alle AVG-verplichtingen onverkort gelden: een geldige grondslag, een verwerkersovereenkomst bij externe leveranciers, dataminimalisatie en — bij grootschalige of bijzondere gegevens — een DPIA. Die DPIA-plicht vervalt niet doordat de AI Act je in "beperkt risico" plaatst; het zijn twee losse toetsen die je allebei doorloopt.

Praktisch gezien lopen de twee kaders wel in dezelfde richting. Beide belonen dat je weet waar je data heen gaat, dat een mens de eindverantwoordelijkheid houdt en dat je kunt aantonen wat er is gebeurd. Een opzet waarbij het gesprek de organisatie niet verlaat, maakt zowel je AVG-verhaal als je AI Act-verhaal eenvoudiger: minder partijen, minder overdrachten, minder om te documenteren.

Checklist voor je eigen organisatie

Wil je een transcriptie- of samenvattingstool AI Act-bestendig inzetten, loop dan deze punten na:

• Bepaal de risicoklasse eerlijk. Puur transcriberen en samenvatten = beperkt risico; emotieherkenning of een beslissende functie = mogelijk hoog risico of verboden [1][5].
• Regel de transparantie. Maak kenbaar dat mensen met AI praten en dat een verslag door AI is opgesteld; dit geldt vanaf 2 augustus 2026 [2][4].
• Borg menselijke review. Laat elk verslag een concept zijn tot een mens het goedkeurt — dat sluit aan op de review-uitzondering in artikel 50 [2].
• Zorg voor AI-geletterdheid. Train de mensen die de tool gebruiken; dit is al verplicht sinds 2 februari 2025 [4].
• Doe je AVG-huiswerk apart. Grondslag, verwerkersovereenkomst en zo nodig een DPIA — die plicht blijft, los van de AI Act [3].
• Leg vast waar de data landt. Hoe minder het gesprek reist, hoe eenvoudiger beide kaders.