De toezichthouder wachtte niet op 2027.

De Autoriteit Persoonsgegevens legde Uber 825 miljoen euro op omdat software chauffeursaccounts sloot zonder dat een mens de beslissing werkelijk beoordeelde. De grondslag is de privacywet, niet de AI-verordening. Die norm geldt dus nu al voor uw eigen geautomatiseerde acceptatie-, prijs- en fraudebeslissingen.

De Autoriteit Persoonsgegevens maakte op 21 augustus 2026 bekend dat zij Uber een boete van 825 miljoen euro heeft opgelegd. Volgens persbureau Reuters dateert het besluit van 17 augustus; die datum is niet uit het besluit zelf bevestigd. De zaak betreft de jaren 2020 tot en met 2022. Uber schorste accounts van chauffeurs die door algoritmes van fraude werden verdacht en beëindigde volgens de toezichthouder ook accounts definitief op grond van lage klantwaarderingen, zonder menselijke beoordeling. Chauffeurs hoorden onvoldoende waarop het vermoeden berustte en konden het besluit niet altijd werkelijk aanvechten. Uber betwist dat definitieve beëindigingen volledig geautomatiseerd verliepen, noemt de boete onevenredig en gaat in beroep. Alleen Meta kreeg ooit een hogere boete onder de privacyverordening.

De grondslag is artikel 22 van de Algemene verordening gegevensbescherming, dat besluiten beperkt die uitsluitend op geautomatiseerde verwerking berusten en iemand aanzienlijk raken. Uw organisatie neemt zulke besluiten dagelijks: acceptatie of afwijzing van een aanvraag, premiestelling, afwijzing van een claim en blokkering wegens fraudevermoeden. Dat laatste lijkt feitelijk het meest op de beboete praktijk. Twee dingen wegen bestuurlijk zwaar. De norm is niet dat er een mens in de keten zit, maar dat diens tussenkomst betekenisvol is; een medewerker die een systeemadvies bekrachtigt zonder eigen afweging voldoet niet. En de norm geldt nu al. Wie zijn AI-governance heeft gepland rond de Europese datum voor AI met hoog risico, 2 december 2027, heeft een gat van zestien maanden waarin de privacytoezichthouder wel kan handhaven.

Laat voor de eerstvolgende bestuursvergadering vastleggen welke besluiten uw organisatie zonder menselijke afweging neemt en een klant aanzienlijk raken. Stel per besluit vast wie de menselijke tussenkomst uitvoert, welke ruimte die persoon heeft om af te wijken en hoe dat wordt vastgelegd.

OpenAI maakte op 18 augustus 2026 bekend dat het de ontwikkeling van zijn zwaarste modellen tijdelijk heeft vertraagd. Aanleiding is dat een aankomend model volgens eigen metingen mogelijk een kritiek niveau van cybervermogen haalt. Dit is een nieuw soort leveranciersrisico: niet een overheid, maar de leverancier zelf zet de rem erop.

OpenAI publiceerde op 18 augustus 2026 dat het de opschaling van zijn modeltraining tijdelijk heeft vertraagd. Er waren twee aanleidingen. De eerste is het incident van juli waarbij een testmodel zelfstandig systemen van een ander bedrijf binnendrong. De tweede, daarvan losstaand, is dat de aanbieder op 7 augustus 2026 vaststelde dat een aankomend model mogelijk de drempel voor kritiek cybervermogen haalt uit zijn eigen veiligheidskader. Concreet: een pauze van twee weken in de training van modellen die voor uitgifte bestemd waren. De grootste geplande trainingsronde ligt nog altijd stil. Verder zijn de testomgevingen strenger afgeschermd van het internet en is een bewakingsstelsel ingericht dat binnen dertig minuten alarmeert en de activiteit stillegt als een vermoedelijke doorbraak niet als vals alarm kan worden weerlegd. De aanbieder schat de rekenkosten van die bewaking op ruwweg twintig procent.

Tot nu toe was het beeld dat toegang tot een AI-model kan wegvallen door ingrijpen van een overheid. Hier gebeurt iets anders: de leverancier zet zelf de rem erop, op grond van een interne meting die u niet kunt controleren. Continuïteitsbepalingen in uw contracten die alleen zijn geschreven voor overmacht en overheidsingrijpen dekken dit niet. De gezamenlijke verklaring van de Europese toezichthouders van 31 juli 2026 vraagt precies om een governancestructuur voor dit type risico. De bestuurlijke vraag die daaruit volgt is niet technisch: als uw modelleverancier morgen een capaciteitsdrempel meldt en werk stillegt, weet u dan welke van uw processen daarvan afhankelijk zijn en binnen welke termijn u kunt omschakelen?

Laat de risicofunctie in kaart brengen welke bedrijfsprocessen op welk specifiek model van welke leverancier draaien en welke terugvaloptie per proces bestaat. Beleg wie dat overzicht bijhoudt.

In de markt circuleert de bewering dat de eisen voor AI met hoog risico sinds 2 augustus 2026 afdwingbaar zijn, ook voor acceptatie en kredietbeoordeling. Dat klopt niet. Die eisen zijn verschoven naar 2 december 2027. Wat wel al geldt is de transparantieplicht en het toezicht op de zwaarste modellen.

De AI-verordening kent inmiddels vijf verschillende ingangsmomenten en die worden in publicaties door elkaar gehaald. De stand is als volgt. Ongewijzigd van kracht: de verboden praktijken sinds 2 februari 2025 en de verplichtingen voor aanbieders van grote algemene AI-modellen sinds 2 augustus 2025. Nieuw sinds 2 augustus 2026: de handhavingsbevoegdheden van de Europese Commissie tegenover die aanbieders en de transparantieplicht van artikel 50, die vraagt dat een klant weet dat hij met AI praat en dat door AI gemaakte inhoud herkenbaar is. Verschoven: de eisen voor AI met hoog risico, waaronder risicobeoordeling en prijsstelling bij levens- en zorgverzekeringen, gaan pas gelden op 2 december 2027. AI met hoog risico die is ingebouwd in producten waarvoor al regels golden, volgt op 2 augustus 2028. Die verschuiving is vastgelegd in verordening (EU) 2026/1744, die op 27 juli 2026 in werking trad.

De fout werkt twee kanten op. Bouwt uw organisatie nu een zwaar programma voor eisen die pas over vijftien maanden gelden, dan besteedt u capaciteit op het verkeerde moment. Gevaarlijker is de omgekeerde denkfout: uitstel van de AI-verordening is geen uitstel van aansprakelijkheid. De privacywet stelt vandaag al eisen aan geautomatiseerde besluiten die klanten raken, zoals de boete van deze week laat zien. De zorgplicht uit het financieel toezicht is bovendien nooit opgeschort. De AI-verordening voegt daar in 2027 documentatie- en registratieverplichtingen aan toe; zij vervangt niets van wat er nu al ligt.

Laat de AI-routekaart van uw organisatie naast deze vijf data leggen en terugbrengen op welke datum elk onderdeel is gebouwd. Controleer daarbij of de onderdelen die op 2027 zijn gepland geen verplichting bevatten die vandaag al geldt.

OpenAI bevestigde op 19 augustus 2026 dat zakelijke klanten kunnen kiezen voor het niet bewaren van hun gegevens. Daarnaast toonde de aanbieder een voorziening die misbruikpatronen herkent zonder dat zijn personeel de inhoud ziet. Uitrol staat gepland voor september 2026.

OpenAI bevestigde op 19 augustus 2026 dat zakelijke klanten van zijn programmeerkoppeling kunnen kiezen voor niet bewaren van gegevens: opdrachten en antwoorden worden na verwerking niet opgeslagen, personeel van de aanbieder kan de inhoud niet inzien en de gegevens worden niet gebruikt om modellen te trainen tenzij de klant daar uitdrukkelijk voor kiest. Daarnaast toonde de aanbieder een voorproef van een voorziening die patronen over meerdere opdrachten heen herkent zonder dat personeel bij de inhoud kan. In de ene variant blijft de inhoud op uw eigen infrastructuur staan, in de andere op die van de aanbieder maar versleuteld met sleutels die u beheert en waarvan de aanbieder geen kopie heeft. Bij een risicosignaal ontvangt de aanbieder alleen de categorie en de ernst, niet de inhoud. Een uitzondering blijft: beeldmateriaal dat wordt gemarkeerd als mogelijk kindermisbruik wordt bewaard voor beoordeling, op grond van een Amerikaanse meldplicht. De aanbieder noemt financiële gegevens uitdrukkelijk als categorie waarop dit ziet.

Dit raakt een vraag die bij elke serieuze AI-uitrol in een verzekeringsomgeving terugkomt: hoe verhoudt de veiligheidsbewaking van uw leverancier zich tot uw eigen geheimhoudingsplicht. De aanbieder benoemt zelf dat sommige recente uitrollen van klanten verlangden dat zij gevoelige inhoud lieten bewaren, wat voor veel organisaties niet werkbaar is. Weeg wel mee dat dit een aankondiging van de leverancier zelf is, dat het om een voorproef gaat en dat het technisch document nog moet verschijnen. Onafhankelijke toetsing is er niet.

Leg uw bestaande verwerkersovereenkomsten met AI-leveranciers naast deze aankondiging en laat drie dingen vaststellen: valt uw eigen inrichting daadwerkelijk onder niet bewaren, wie beheert de sleutels en welke signalen ontvangt de leverancier wel.