Copilot en de EU AI Act

By Mirko Peters · 2025-11-21 · Updated 2026-07-22

Begrijp de verantwoordelijkheden rond Copilot en de EU AI Act, waaronder de verplichtingen voor gebruikers (deployers), governance, risicobeheer, transparantie en menselijk toezicht.

Automatically translated with AI from the original post. Read the English original

Je zou denken dat Compliant by Design betekent dat je achterover kunt leunen. Maar dit idee kan je organisatie in gevaar brengen. De EU AI Act legt je echte verantwoordelijkheden op. De leverancier is niet de enige die verantwoordelijk is. Veel IT- en compliance-leiders maken zich zorgen over AI-assistenten. Ze denken dat AI gegevens kan tonen aan mensen die ze niet mogen zien. Microsoft Copilot 365 gebruikt sterke rolgebaseerde toegangsbeheersingen. Deze functies helpen, maar ze zijn slechts een begin. Denk eens aan een gebruiker die Copilot vraagt om geheime bestanden samen te vatten. Weet je zeker dat je instellingen alle gegevens veilig houden?

Belangrijkste punten

• Leer over de risicoladder van de EU AI Act. Je AI-gebruikssituatie bepaalt je compliance-niveau. De leverancier beslist dit niet voor jou.

• Gebruik de compliance-functies van Copilot. Zorg dat je ze op de juiste manier instelt. De standaardinstellingen volgen mogelijk niet de Europese regels.

• Leg elke stap vast wanneer je AI gebruikt. Goede registraties helpen je aantonen dat je de regels volgt. Zo voorkom je mogelijk hoge boetes.

• Leer je team over AI-veiligheid en compliance. Iedereen moet weten wat te doen. Ze moeten ook de regels kennen voor het gebruik van AI-tools.

• Controleer en actualiseer je compliance-plan regelmatig. Blijf op de hoogte van nieuwe regels. Zo blijf je de wet naleven.

De risicoladder van de EU AI Act uitgelegd

Risicocategorieën en gebruikssituaties

Je moet de risicoladder van de EU AI Act begrijpen voordat je een AI-tool inzet. De wet verdeelt AI-systemen in vier risiconiveaus. Elk niveau brengt andere regels met zich mee die je moet volgen. Hieronder zie je een eenvoudige tabel die laat zien hoe de risicoladder werkt:

Je verplichtingen nemen toe naarmate je hoger op de ladder komt. Als je Copilot of ChatGPT gebruikt voor eenvoudige taken, zoals het opstellen van e-mails, val je in de categorie minimaal of beperkt risico. Gebruik je deze tools voor aanname, kredietbeoordeling of gezondheidsadvies, dan betreed je het terrein van hoog risico. Je moet dan meer regels volgen en betere registraties bijhouden.

Waarom de gebruikssituatie belangrijker is dan de leverancier

Je denkt misschien dat de leverancier of het model je risico bepaalt. Dat klopt niet. De manier waarop je AI gebruikt, bepaalt je risiconiveau. Je moet duidelijke gebruikssituaties en eisen opstellen. Documenteer welk probleem je wilt oplossen en controleer of AI het juiste antwoord is. Beoordeel ook de risico's van de output en de kwaliteitscontroles. Vraag jezelf af hoe je de resultaten van de AI gaat gebruiken en wat er mis kan gaan.

Hier zijn enkele voorbeelden:

• Als je Copilot gebruikt om vergadernotities samen te vatten, loop je een beperkt risico.

• Als je ChatGPT gebruikt om te bepalen wie een lening krijgt, loop je een hoog risico.

• Als je zelf AI bouwt voor sociale scoring, loop je een onacceptabel risico.

Je moet je richten op je gebruikssituatie, niet alleen op het merk of het model. Compliant by Design-functies helpen, maar je moet je AI-gebruik nog steeds koppelen aan het juiste risiconiveau en de regels volgen.

Compliant by Design – de compliance-steigers van Copilot

Ingebouwde functies voor compliance

Wanneer je Copilot in Microsoft 365 gebruikt, krijg je een sterke start. Het platform biedt veel tools om je gegevens veilig te houden. Deze tools werken samen om je te helpen de regels na te leven. De belangrijkste tools zie je in onderstaande tabel:

Deze tools helpen Copilot een Compliant by Design-aanpak te ondersteunen. Je krijgt hulp om gegevens te beheren, te bepalen wie ze mag zien en te volgen wat er gebeurt. Je hoeft niet alles zelf te bouwen. Je kunt deze tools gebruiken als basis voor je compliance-plan.

Tip: Copilot gebruikt je prompts of antwoorden niet om zijn modellen te trainen. Zo blijven je gegevens privé en neemt het risico af.

Wat deployers nog zelf moeten configureren

Je kunt niet zomaar de standaardinstellingen gebruiken. Je moet wijzigingen doorvoeren zodat Copilot de regels van de EU AI Act volgt. Compliant by Design helpt je op weg, maar het werk moet je zelf afmaken. Toezichthouders willen bewijs, geen beloftes.

Met deze stappen versterk je je compliance:

1. Controleer en herstel machtigingen in SharePoint, OneDrive en Teams voordat je Copilot inschakelt. Verwijder toegang die mensen niet nodig hebben.

2. Hanteer het principe van minimale rechten. Controleer groepslijsten en deelinstellingen. Laat mensen alleen zien wat ze nodig hebben.

3. Overweeg E5-licenties als je betere gegevensbescherming wilt voor gebruikers met privégegevens.

4. Leer je gebruikers wat ze moeten weten. Vertel hun dat Copilot zich aan jullie gegevensregels houdt. Zorg dat iedereen weet wat Copilot wel en niet kan.

Je moet Purview-vertrouwelijkheidslabels en DLP-regels voor Copilot instellen. Je moet bepalen hoe lang gegevens worden bewaard en de auditlogboeken controleren. Je kunt de SharePoint-zoekfunctie beperken om te voorkomen dat er te veel wordt gedeeld. Je moet je risicocontroles vastleggen en bijhouden wat je hebt gedaan.

Compliant by Design betekent niet dat je klaar bent. Je moet laten zien hoe je deze tools in je eigen omgeving hebt gebruikt. Toezichthouders willen bewijs. Je moet aantonen dat je compliance-stappen hebt ingesteld, gemonitord en gedocumenteerd.

ChatGPT en Azure OpenAI – Bring Your Own Governance

Compliancehiaten bij publieke ChatGPT

Publieke ChatGPT gebruiken is een grote uitdaging. Copilot heeft ingebouwde controles, maar ChatGPT niet. Je moet zelf regels en veiligheidscontroles opstellen. Veel organisaties hebben dit op de harde manier geleerd.

Neem de casus van de gemeente Tromsø eens onder de loep. Ambtenaren gebruikten AI om het grootste deel van een rapport te schrijven. Niemand controleerde of de feiten klopten voordat het werd gedeeld. Het rapport bevatte verzonnen informatie. Deze fout schaadde de reputatie en veroorzaakte problemen op het werk. Zonder sterke regels verlies je snel de controle.

Dit zijn enkele veelvoorkomende problemen die je moet oplossen:

• Er wordt niet automatisch vastgelegd welke prompts en antwoorden er zijn.

• Er is geen ingebouwde manier om gegevensverlies te voorkomen of gevoelige gegevens te labelen.

• Er zijn geen waarschuwingen of labels voor door AI gemaakte content.

• Belangrijke resultaten worden niet door mensen gecontroleerd.

• Er is geen duidelijke manier om toegang te beperken of te bepalen waar gegevens worden opgeslagen.

Deze problemen moet je zelf oplossen. De EU AI Act vraagt je aan te tonen hoe je met risico's omgaat, je keuzes vast te leggen en gegevens bij te houden.

Azure OpenAI als tussenoplossing

Azure OpenAI geeft je meer controle dan publieke ChatGPT. Je kunt werkaccounts gebruiken, bepalen wie het mag gebruiken en controleren wat mensen ermee doen. Je krijgt betere logboeken en kunt gegevens binnen je organisatie houden. Deze tools helpen je om sommige regels van de EU AI Act na te leven.

Het grootste deel van het werk blijft echter bij jou. Je moet:

1. Een gegevensbeschermingseffectbeoordeling (DPIA) uitvoeren voor elke manier waarop je het gebruikt.

2. Een verwerkingsregister bijhouden.

3. Regels instellen om gegevensverlies te voorkomen en bepalen hoelang gegevens worden bewaard.

4. Logboeken controleren en resultaten nakijken.

5. Gebruikers leren hoe ze AI veilig gebruiken en de regels volgen.

Azure OpenAI helpt je op weg, maar het werk moet je zelf afmaken. Je hebt bewijs nodig met duidelijke registraties en controles. De EU AI Act accepteert geen beloftes. Je moet laten zien wat je hebt gedaan.

Deployers’ Survival Kit voor de EU AI Act

Je hebt een eenvoudig plan nodig om de regels van de EU AI Act na te leven. Deze kit helpt je om het overzichtelijk te organiseren. Hij biedt eenvoudige stappen, tools en tips voor Copilot, ChatGPT en Azure OpenAI. Gebruik deze kit om je organisatie veilig te houden en toezichthouders te laten zien dat compliance voor je telt.

Risicoclassificatie en documentatie

Begin met een overzicht van je AI-systemen en hoe je ze gebruikt. Je moet weten waar AI wordt gebruikt en wat elk systeem doet. Volg deze stappen om risico's te sorteren en vast te leggen:

1. Leg vast welke AI-tools en -modellen je organisatie gebruikt, ontwikkelt, inkoopt of in Europa verkoopt.

2. Bepaal voor elk systeem of je organisatie aanbieder, deployer, importeur of distributeur is.

3. Controleer of de EU AI Act elk systeem of model dekt.

4. Ken elk AI-gebruiksscenario een risiconiveau toe: onacceptabel, hoog, beperkt of minimaal.

5. Bekijk contracten en controleer de details van AI-services.

6. Stel je AI-governanceplan op of werk het bij zodat het past bij de regels van de Act.

7. Houd bij welke wijzigingen je aanbrengt in AI-systemen of -modellen.

Leg elke stap die je zet schriftelijk vast. Als je geen goede administratie bijhoudt, kun je te maken krijgen met hoge boetes.

Deployers die niet vastleggen wat ze doen voor de EU AI Act, kunnen flink in de problemen komen, zoals boetes van €7,5 miljoen omdat ze toezichthouders niet alle informatie geven, ook als hun risicokeuzes juist zijn.

Purview, DLP en toegang configureren

Je moet sterke beheersmaatregelen instellen om je gegevens veilig te houden. Gebruik Purview, Data Loss Prevention (DLP) en toegangsbeheer om aan de regels van de EU AI Act te voldoen. De onderstaande tabel laat zien wat je nodig hebt:

Groepeer je DLP-regels zodat ze de meest voorkomende behoeften afdekken. Zorg dat je regels eerst de strengste acties gebruiken. Controleer regelmatig de auditlogs en DLP-rapporten om te zien of je de regels volgt.

Logging, transparantie en menselijk toezicht

Je moet het AI-gebruik bijhouden en duidelijk zijn. Toezichthouders willen zien hoe je je systemen beheerst en bewaakt. Gebruik deze best practices:

Voeg duidelijke labels toe aan alles wat door AI is gemaakt. Gebruik voetteksten of watermerken om aan te geven wanneer AI heeft meegeholpen aan een bestand of bericht. Laat mensen belangrijke keuzes controleren, vooral bij zaken als personeelswerving of kredietbeoordeling.

Training en interne beleidsregels

Je moet je team leren hoe ze AI veilig gebruiken. Stel sterke regels en training voor iedereen op. Zorg dat alle medewerkers hun taak en de regels kennen.

• Geef training op basis van iemands functie, zoals zakelijke gebruikers, beheerders en compliance-medewerkers.

• Deel regels over welk AI-gebruik wel en niet is toegestaan.

• Gebruik prompts en instellingen die helpen bij compliance, bijvoorbeeld door Copilot te vragen bronnen te tonen of reviewnotities toe te voegen.

• Pas je regels aan naarmate de EU AI Act verandert.

Je kunt ingebouwde tools gebruiken om gebruikers te helpen hun werk te leren. Geef handleidingen die het verschil uitleggen tussen general-purpose AI-modellen en -systemen. Bied startpakketten aan met sjablonen en checklists die helpen bij compliance.

30/60/90-dagenplan en interne communicatie

Je hebt een tijdlijn nodig om je compliance-werk af te ronden. Hier is een eenvoudig actieplan:

Eerste 30 dagen:

• Maak een lijst van alle AI-systemen en use cases.

• Wijs rollen toe en bepaal risiconiveaus.

• Begin met het opstellen van DPIA en RoPA.

Volgende 60 dagen:

• Stel Purview, DLP en toegangsbeheer in.

• Schakel auditing en monitoring in.

• Start training voor de belangrijkste teams.

Laatste 90 dagen:

• Controleer en werk de regels bij.

• Test menselijke controles en duidelijke labels.

• Zorg dat het bewijs klaarligt voor toezichthouders.

Deel dit bericht met je team:

We gebruiken AI-tools met een ‘Compliant by Design’-aanpak. Iedereen moet onze nieuwe regels en training volgen. We houden elke stap bij, controleren ze en leggen ze vast om aan de regels van de EU AI Act te voldoen.

Gebruik deze kit om een sterk compliance-plan op te stellen. Zo bescherm je je groep en help je iedereen AI op de juiste manier te gebruiken.

Vertrouw niet alleen op ‘compliant by design’. Je moet bewijs kunnen leveren dat je de regels volgt. De EU AI Act geeft je duidelijke taken. Als je de regels niet volgt, kun je hoge boetes krijgen. Boetes kunnen oplopen tot €15 miljoen of 3% van de totale omzet van je bedrijf.

AI-governance is belangrijk. Je moet goed in de gaten houden hoe je AI gebruikt. Je hebt iemand nodig die verantwoordelijk is en stappen die je telkens kunt herhalen. Controleer je AI-tools regelmatig. Zet je compliancetools op en leg alles wat je doet vast. Gebruik de regels om ervoor te zorgen dat mensen je bedrijf vertrouwen en AI veilig blijft.

Veelgestelde vragen

Wat betekent “compliant by design” voor Copilot?

“Compliant by design” betekent dat Copilot ingebouwde hulpmiddelen bevat om aan regels te voldoen. Je moet je compliance nog steeds zelf inrichten, controleren en aantonen. Je kunt er niet alleen op vertrouwen dat de leverancier alles regelt.

Moet ik een DPIA uitvoeren voor Copilot of ChatGPT?

Ja. Voor elke AI-toepassing moet je een Data Protection Impact Assessment (DPIA) uitvoeren. Zo breng je risico’s in kaart en laat je toezichthouders zien dat je privacy serieus neemt.

Hoe bewijs ik dat ik voldoe aan de EU AI Act?

Je moet registraties bijhouden, controles inrichten en logs laten zien. Toezichthouders willen bewijs zien, geen beloftes. Gebruik auditlogs, risicodocumenten en trainingsregistraties als bewijs.

Kan ik publieke ChatGPT gebruiken voor taken met een hoog risico?

Nee. Publieke ChatGPT heeft geen ingebouwde controles voor taken met een hoog risico. Je moet zelf extra veiligheidscontroles toevoegen. Kies voor gevoelige toepassingen tools met sterke compliancefuncties.

Wat is de grootste fout die gebruikers (deployers) maken?

Veel organisaties denken dat tools van de leverancier hen automatisch compliant maken. Je moet alles zelf configureren, monitoren en documenteren. Bewijs wint het altijd van beloftes.

Luister ook naar deze afleveringen

Als je onderzoek doet naar EU AI Act en Microsoft Copilot, geven deze afleveringen praktische context over implementatie, architectuur, beveiliging en governance:

• Microsoft Teams Governance – The Illusion of Control — Ontdek hoe eigenaarschap, beleid en levenscyclusbeslissingen zorgen voor betrouwbare Microsoft 365-operaties.
• Microsoft AI Agent Harness – Simply Explained — Begrijp orkestratie, guardrails, evaluatie en observability voor AI-gestuurde workflows.
• Azure AI Foundry – Simply Explained — Leer hoe enterprise-AI-oplossingen worden gebouwd, geëvalueerd, uitgerold en beheerd.
• Microsoft Defender XDR – Simply Explained — Koppel implementatiekeuzes aan zichtbaarheid, onderzoek en respons op het gebied van beveiliging.