Modelrichtlijn: de spelregels voor krachtige AI-modellen uitgelegd
Stel je een nieuw medicijn voor. Voordat het in de apotheek ligt, moet de fabrikant een bijsluiter meeleveren: welke stoffen zitten erin, wat zijn de bijwerkingen, voor wie is het niet geschikt? Een modelrichtlijn doet ongeveer hetzelfde, maar dan voor krachtige AI-modellen zoals ChatGPT, Gemini of Llama. Het is een set regels die vastlegt welke informatie de makers van zo'n model moeten geven en aan welke veiligheidseisen ze moeten voldoen, voordat en nadat het model wordt gebruikt.
De term duikt de laatste tijd op omdat de Europese Unie zulke richtlijnen daadwerkelijk heeft ingevoerd, als onderdeel van de AI-verordening (beter bekend als de AI Act). Vanaf augustus 2025 moeten bedrijven die grote, algemeen inzetbare AI-modellen bouwen zich aan deze regels houden. Voor de gewone gebruiker verandert er in eerste instantie weinig zichtbaar, maar achter de schermen moet er voortaan een stuk meer verantwoording worden afgelegd over hoe zo'n model tot stand komt en welke risico's het met zich meebrengt.
Wat is het precies?
Een modelrichtlijn bestaat meestal uit twee lagen. De eerste laag is de wet zelf: in het geval van de EU is dat de AI-verordening, die sinds 1 augustus 2024 officieel geldt. Deze wet verdeelt AI-modellen in categorieën naar risico. Voor de zwaarste categorie, de zogeheten general-purpose AI-modellen (GPAI, oftewel AI-modellen voor algemene doeleinden, zoals de taalmodellen achter chatbots), gelden aparte verplichtingen.
De tweede laag bestaat uit uitvoeringsdocumenten die de wet concreet maken. Omdat een wettekst al snel te abstract is voor techneuten, publiceerde de Europese Commissie in de zomer van 2025 aanvullende richtsnoeren die precies uitleggen wat onder een GPAI-model valt en wanneer de zwaarste regels gelden. Daarnaast is er een Code of Practice opgesteld: een vrijwillige gedragscode waarmee bedrijven kunnen aantonen dat ze aan de wet voldoen, opgesteld door onafhankelijke experts in opdracht van het nieuwe AI Office van de Commissie.
Concreet moeten aanbieders van een GPAI-model onder meer: technische documentatie bijhouden over hoe het model getraind is, een samenvatting publiceren van de data waarop het model is getraind, een auteursrechtenbeleid voeren (zodat makers van boeken, muziek of code kunnen nagaan of hun werk is gebruikt), en meewerken aan toezicht door de AI Office. Modellen die een extra hoog risico vormen — met name modellen die zijn getraind met een rekenkracht van meer dan 10 tot de macht 25 FLOPs (een maat voor het aantal rekenstappen tijdens de training, ruwweg vergelijkbaar met de resources die nodig waren voor de grootste modellen van OpenAI en Google in 2024) — krijgen het stempel systeemrisico en moeten bovendien verplichte veiligheidstests en incidentrapportages uitvoeren.
Wat wil men ermee bereiken?
Het hoofddoel is transparantie: nu is voor buitenstaanders vaak niet te achterhalen op welke data een model is getraind, hoe het is getest, en welke tekortkomingen het heeft. Een modelrichtlijn dwingt bedrijven om die informatie systematisch vast te leggen, zodat toezichthouders, onderzoekers en zelfs concurrenten een minimum aan inzicht krijgen.
Een tweede doel is veiligheid. Beleidsmakers vrezen dat de allergrootste modellen op termijn risico's met zich meebrengen die verder gaan dan foutieve antwoorden — denk aan misbruik voor cyberaanvallen, desinformatie op schaal, of hulp bij het ontwerpen van gevaarlijke stoffen. Door vooraf verplichte risicobeoordelingen te eisen, hoopt de EU dit soort scenario's tijdig te signaleren.
Een derde, minder besproken doel is het gelijk speelveld: zonder EU-brede regels zouden lidstaten ieder hun eigen eisen kunnen stellen, wat voor bedrijven onwerkbaar wordt. Eén richtlijn voor de hele interne markt moet voorkomen dat een AI-bedrijf in 27 verschillende regimes moet opereren.
Voorbeelden uit de praktijk
Verschillende grote spelers hebben inmiddels stelling genomen over de EU-regels. In 2025 ondertekenden onder meer OpenAI, Google DeepMind, Microsoft, Anthropic, IBM en het Franse Mistral AI de vrijwillige Code of Practice voor GPAI-modellen, als signaal dat ze zich aan de geest van de regels willen houden vooruitlopend op strikte handhaving.
Meta koos een andere weg: het bedrijf weigerde in 2025 de Code of Practice te ondertekenen en noemde de regels juridisch onzeker en schadelijk voor innovatie, terwijl het tegelijk wel onder de wettelijke verplichtingen van de AI Act blijft vallen.
Een ander concreet voorbeeld is de oprichting van het AI Office binnen de Europese Commissie in 2024, het orgaan dat toeziet op naleving van de GPAI-regels EU-breed en modellen met systeemrisico apart monitort.
Ook buiten Europa ontstaan vergelijkbare kaders: in de Verenigde Staten publiceerde het National Institute of Standards and Technology (NIST) het AI Risk Management Framework (2023), een vrijwillige richtlijn die qua opzet sterk lijkt op de Europese aanpak, al ontbreekt daar een wettelijke verplichting.
Hoe ver is de techniek?
Belangrijk om te beseffen: een modelrichtlijn is geen technologie, maar regelgeving over technologie. Het "ontwikkeltempo" gaat dus over wetgevingsprocessen, niet over doorbraken in AI zelf. Toch is er wel degelijk beweging: de AI Act werd in 2024 aangenomen, de verplichtingen voor GPAI-modellen gingen op 2 augustus 2025 in, en volledige handhaving met boetes wordt vanaf augustus 2026 verwacht, zodra ook de nationale toezichthouders in de lidstaten operationeel zijn.
Er zijn nog de nodige losse eindjes. Zo is precies bepalen wanneer een model "systeemrisico" heeft technisch en juridisch lastig: de FLOP-drempel is een ruwe vuistregel die critici zien als een slechte voorspeller van daadwerkelijk risico. Ook is onduidelijk hoe streng de handhaving in de praktijk zal zijn, en of de Commissie de invoering (net als bij eerdere onderdelen van de AI Act) nog zal uitstellen onder druk van de industrie. Er lopen in Brussel discussies over een mogelijke vereenvoudiging van de regels, mede door lobbywerk van grote Amerikaanse techbedrijven.
Wie werken eraan?
De regie ligt bij de Europese Commissie, met name het in 2024 opgerichte AI Office, ondersteund door een panel van onafhankelijke wetenschappelijke experts dat de Code of Practice opstelde. De 27 EU-lidstaten moeten daarnaast eigen nationale toezichthouders aanwijzen die meewerken aan handhaving.
Aan de kant van het bedrijfsleven zijn de belangrijkste betrokkenen de aanbieders van grote taalmodellen: OpenAI (VS), Google DeepMind (VS/VK), Microsoft (VS), Meta (VS), Anthropic (VS), Mistral AI (Frankrijk) en Aleph Alpha (Duitsland) behoren tot de partijen die het meest direct met de regels te maken krijgen.
Daarnaast bemoeien internationale organisaties zoals de OESO (OECD) en normeringsinstituten als ISO zich met vergelijkbare kaders, in een poging wereldwijd meer eenduidigheid te krijgen tussen de Europese, Amerikaanse en bijvoorbeeld Britse en Chinese benaderingen van AI-regelgeving.