--- title: "De EU AI Act en Hoog-Risico Teams: Wat Legal, M&A en Finance Professionals Moeten Weten" description: "Is een AI-notulist hoog-risico onder de EU AI Act? Wat juridische, M&A- en financeteams moeten weten over bijlage III, AI-geletterdheid en deadlines." url: https://caven.io/nl/blog/ai-act-hoog-risico-teams language: nl-BE published: 2026-03-20 updated: 2026-10-26 author: "Caven" publisher: "Caven BV" --- # De EU AI Act en Hoog-Risico Teams: Wat Legal, M&A en Finance Professionals Moeten Weten *20 maart 2026 · 10 min lezen · EU Regelgeving* **Kort gezegd:** Meestal niet. Een AI-notulist is onder de EU AI Act niet standaard een hoog-risico systeem: bijlage III gaat alleen over specifieke toepassingen, zoals kredietscores van personen, premies voor levens- en ziektekostenverzekeringen, beslissingen over werknemers en AI die rechterlijke instanties gebruiken. Wat wel voor elk kantoor geldt, is de plicht tot AI-geletterdheid uit artikel 4 (sinds 2 februari 2025), het verbod op emotieherkenning op het werk en de AVG voor de opname zelf. De EU-verordening inzake artificiële intelligentie (Verordening (EU) 2024/1689) - het eerste omvattende wettelijk kader voor AI ter wereld - trad op 1 augustus 2024 in werking. De regels gelden gefaseerd: de verboden en de plicht tot AI-geletterdheid sinds 2 februari 2025, de regels voor AI-modellen voor algemene doeleinden sinds 2 augustus 2025, en de meeste overige verplichtingen vanaf 2 augustus 2026. De meeste commentaren gaan over generatieve AI en foundationmodellen, maar juridische, M&A- en financeteams willen vooral één ding weten: maakt de AI Act van de tools die ze elke dag gebruiken gereguleerde hoog-risico systemen? Voor AI-vergaderrecorders en transcriptietools is het korte antwoord: meestal niet. Toch is de AI Act relevant voor deze teams, en het loont om te begrijpen waarom. ## Wat zegt de AI Act werkelijk over hoog-risico AI? De AI Act verdeelt AI-systemen in vier risiconiveaus: onaanvaardbaar risico (verboden), hoog-risico (zwaar gereguleerd), beperkt risico (transparantieverplichtingen) en minimaal risico (grotendeels ongereguleerd). De classificatie die het meest relevant is voor professionele teams is **hoog-risico**. Bijlage III van de AI Act somt de toepassingen op die een AI-systeem hoog-risico maken. Drie zijn relevant voor de besproken beroepen: - **Rechtsbedeling (punt 8):** AI-systemen die bedoeld zijn om door of namens een rechterlijke instantie te worden gebruikt om feiten en het recht te onderzoeken en te interpreteren, en het recht op concrete feiten toe te passen. Dat gaat over rechtbanken en vergelijkbare instanties, niet over de eigen notities van een advocatenkantoor. - **Toegang tot essentiële particuliere diensten (punt 5):** AI om de kredietwaardigheid van natuurlijke personen te beoordelen of hun kredietscore vast te stellen, en AI voor risicobeoordeling en prijszetting van levens- en ziektekostenverzekeringen voor natuurlijke personen. Due diligence op ondernemingen in een M&A-deal staat niet op de lijst. - **Werkgelegenheid en personeelsbeheer (punt 4):** AI om mensen te werven of te selecteren, om beslissingen te nemen over promotie of ontslag, om taken toe te wijzen op basis van gedrag, of om prestaties te monitoren en te evalueren. Wat telt is het *doel* van het systeem. Volgens artikel 6, lid 3, is zelfs een systeem dat in een van deze domeinen wordt gebruikt niet hoog-risico als het de uitkomst van beslissingen niet wezenlijk beïnvloedt - bijvoorbeeld omdat het een beperkte procedurele of voorbereidende taak uitvoert. Een vergaderrecorder die een juridische strategiesessie, een M&A-onderhandeling of een kredietcomité transcribeert en samenvat, documenteert de vergadering; hij neemt de beslissing niet. Dat verandert wanneer de output wordt gebruikt om mensen te beoordelen: bijvoorbeeld om de prestaties van werknemers te evalueren op basis van hun vergaderingen, of om de kredietwaardigheid van een individuele kredietnemer in te schatten. AI-systemen die natuurlijke personen profileren in een domein uit bijlage III zijn altijd hoog-risico. ## Welke AI Act-verplichtingen gelden voor teams die AI-vergadertools gebruiken? Ook als uw vergader-AI geen hoog-risico systeem is, gelden er enkele regels voor elke organisatie die hem gebruikt: - **AI-geletterdheid (artikel 4, sinds 2 februari 2025):** aanbieders en gebruiksverantwoordelijken moeten ervoor zorgen dat medewerkers die AI gebruiken er voldoende kennis van hebben - wat het goed doet, waar het faalt en hoe ze de output controleren. - **Geen emotieherkenning op het werk (artikel 5, lid 1, f), sinds 2 februari 2025):** AI die emoties van werknemers afleidt uit hun stem of gezicht is verboden op de werkvloer, behalve om medische of veiligheidsredenen. Controleer of een vergadertool "sentiment"- of emotiescores van deelnemers berekent op basis van hun stem. - **Transparantie (artikel 50, vanaf 2 augustus 2026):** AI-systemen die met mensen interageren moeten dat duidelijk maken, en aanbieders van generatieve AI moeten synthetische output markeren. Deelnemers laten weten dat een vergadering wordt opgenomen en door AI samengevat is goede praktijk - en onder de AVG (artikelen 13 en 14) moet u deelnemers sowieso informeren. Gebruikt u een AI-systeem wél voor een hoog-risico doel, dan voegt artikel 26 verplichtingen toe: het systeem gebruiken volgens de instructies van de aanbieder, menselijk toezicht toewijzen aan mensen met de nodige bekwaamheid en bevoegdheid, de werking monitoren, de automatisch gegenereerde logs minstens zes maanden bewaren, en werknemers en hun vertegenwoordigers vooraf informeren. Wie kredietscores of premies voor levens- of ziektekostenverzekeringen met AI bepaalt, moet ook een effectbeoordeling op grondrechten uitvoeren (artikel 27). De zwaarste last ligt bij de aanbieders: risicobeheer, datagovernance, technische documentatie, logging, nauwkeurigheid en cyberbeveiliging (artikelen 9 tot 15). Boetes lopen op tot 35 miljoen euro of 7% van de wereldwijde jaaromzet voor verboden praktijken, en tot 15 miljoen euro of 3% voor de meeste andere verplichtingen. ## Waar creëren mainstream AI-vergadertools nog altijd risico? De AI-vergadertools die de markt domineerden in 2023–2024 - Otter.ai, Fireflies.ai, Grain en soortgelijke - werden gebouwd voor één ding: frictieloze adoptie. Ze werden niet ontworpen met het Europese beroepsgeheim of de Europese gegevensbescherming in gedachten, en voor gereguleerde teams weegt dat zwaarder dan het AI Act-label. ### Weinig zicht op de verwerkingsketen Veel tools verwerken audio in cloud-pijplijnen die de klant niet kan inzien: welke AI-modellen werden gebruikt, welke subverwerkers betrokken waren, en waar. Onder de AVG blijft u verantwoordelijk om aan te tonen hoe persoonsgegevens werden verwerkt (artikel 5, lid 2), dus die ondoorzichtigheid is op zich al een complianceprobleem. ### Klantdata gebruikt voor training Sommige mainstream tools behouden zich het recht voor om klantdata, vaak in geanonimiseerde vorm, te gebruiken om hun modellen te trainen of te verfijnen. Voor een M&A-onderhandeling of een strategiesessie met een cliënt is dat een vraag van doelbinding onder de AVG - en waarschijnlijk een conflict met uw NDA's. ### Samenvattingen voorgesteld als feiten AI-output wordt vaak als definitief voorgesteld: samenvattingen, actiepunten en beslissingen worden getoond als feiten. Professionals blijven verantwoordelijk voor wat in het dossier komt, dus een vergadertool hoort zijn output aan te bieden als concept voor menselijke controle. Bij hoog-risico gebruik is menselijk toezicht een wettelijke verplichting. ### Geen EU-dataresidency De meeste tools verwerken data op Amerikaanse infrastructuur. Dat creëert blootstelling onder de AVG (doorgifteregels in hoofdstuk V) en onder de Amerikaanse CLOUD Act (overheidstoegang), los van hoe de AI Act de tool classificeert. ## Wat staat er op het spel voor juridische, M&A- en financeteams? ### Juridische Teams Advocaten zijn gebonden aan het beroepsgeheim - in België strafrechtelijk beschermd en nagenoeg absoluut. Een AI-tool die een strategiesessie, de voorbereiding van een zitting of een schikkingsonderhandeling verwerkt op infrastructuur die het kantoor niet controleert, stelt het bloot aan tuchtrechtelijke en aansprakelijkheidsrisico's. De AI Act voegt de plicht toe om ervoor te zorgen dat advocaten de AI die ze gebruiken begrijpen (artikel 4); de beroepsregels voegen de plicht toe om de output te controleren. ### M&A Teams Fusies en overnames behelzen de meest gevoelige informatie in het bedrijfsleven: niet-openbaar gemaakte financiële resultaten, strategische plannen, prijsassumpties, regelgevende indieningen en bestuursberaadslagingen. Die informatie valt onder de Verordening marktmisbruik, NDA's en regels rond voorwetenschap. Een AI-tool die deze discussies verwerkt op infrastructuur die onderworpen is aan Amerikaanse overheidsverzoeken, creëert een blootstelling die veel dealteams niet aanvaarden. ### Finance en Kredietteams Kredietcomités, investeringsbeslissingen en gestructureerde financieringsdiscussies bevatten persoonsgegevens en commercieel gevoelige informatie zoals prijsmodellen en risicoparameters. Kredietscores van natuurlijke personen zijn uitdrukkelijk hoog-risico onder de AI Act; een AI-notulist die het kredietcomité documenteert is dat niet, zolang hij de discussie vastlegt en de kredietnemer niet beoordeelt. Banken en verzekeraars moeten de tool bovendien behandelen als ICT-dienst van een derde partij onder DORA. ## Hoe ziet verantwoorde AI-vergaderintelligentie eruit? Vergader-AI voor deze teams moet fundamenteel anders gebouwd worden. De kernvereisten zijn: - **Verwerking in de EU of in huis:** Data wordt verwerkt in de EU, of binnen uw eigen cloudomgeving of datacenter - **Gekende modellen en subverwerkers:** De gebruiksorganisatie ziet welke AI-modellen haar data verwerken, waar, en onder welke voorwaarden - **Geen cross-klantdatagebruik:** Uw vergaderdata wordt nooit gebruikt om modellen te trainen die andere organisaties bedienen - **Dataminimalisatie:** Namen en identificatoren kunnen gepseudonimiseerd worden voordat het AI-model de transcriptie ziet - **Human-in-the-loop ontwerp:** Outputs worden gepresenteerd als concepten voor menselijke beoordeling, niet als definitieve feiten - **Geen emotiescores:** De tool documenteert wat gezegd werd; hij beoordeelt niet hoe mensen zich voelen ## Hoe is Caven gebouwd voor het AI Act-tijdperk? Caven werd van bij het begin ontworpen voor de Europese gereguleerde markt. Waar mainstream tools compliance als een bijzaak behandelen, behandelt Caven het als een kernontwerpprincipe - met de duidelijke kanttekening dat compliance uiteindelijk de verantwoordelijkheid van elk kantoor blijft. ### Verwerking in de EU, of op uw eigen infrastructuur Caven is een Belgisch bedrijf. De Caven-cloud verwerkt opnames in de EU, en voor de meest gevoelige zaken draait Caven in uw eigen AWS-, Azure- of Google Cloud-omgeving, of volledig on-premise. Namen en identificatoren kunnen gepseudonimiseerd worden vóór de AI-verwerking, en uw opnames worden nooit gebruikt om AI-modellen te trainen. ### Transparant over de AI die het gebruikt Caven documenteert op zijn AI-transparantiepagina welke AI-modellen uw data verwerken, waarvoor en waar, en somt zijn subverwerkers op in de verwerkersovereenkomst. Zo heeft u wat u nodig heeft voor uw eigen register en voor de opleiding AI-geletterdheid. ### Geen bot, wel duidelijke kennisgeving Caven legt audio vast van uw desktop of telefoon zonder vergaderingen bij te wonen als deelnemer, dus er kijkt geen bot van derden mee. Met uw agenda gekoppeld kan Caven deelnemers vooraf laten weten dat de vergadering wordt opgenomen, met een optie om met één klik bezwaar te maken. Samenvattingen zijn concepten die u nakijkt en aanpast voordat ze ergens heen gaan. ### Integraties met professionele systemen Vergaderuitvoer - transcripties, samenvattingen en actiepunten - stroomt naar de systemen waar professioneel werk wordt opgeslagen: iManage, SharePoint, OneDrive, Google Drive en Notion. Zo sluit de cirkel tussen de vergadering en de professionele workflow. ## Veelgestelde vragen ### Is een AI-notulist een hoog-risico AI-systeem onder de EU AI Act? Niet standaard. Bijlage III noemt specifieke hoog-risico toepassingen, zoals kredietscores van natuurlijke personen, premieberekening voor levens- en ziektekostenverzekeringen, beslissingen over werknemers en AI die door rechterlijke instanties wordt gebruikt. Een vergadering transcriberen en samenvatten hoort daar niet bij, zolang de output niet wordt gebruikt om zulke beslissingen te nemen. ### Welke AI Act-verplichtingen gelden voor een advocatenkantoor of bank die AI-notulen gebruikt? De plicht tot AI-geletterdheid uit artikel 4 (sinds 2 februari 2025) geldt voor elke organisatie die AI inzet, net als het verbod op emotieherkenning op de werkvloer. De AVG blijft gelden voor de opname zelf. De zwaardere verplichtingen voor gebruiksverantwoordelijken uit artikel 26 gelden alleen bij gebruik voor een hoog-risico doel. ### Wanneer gelden de hoog-risico regels van de AI Act? De AI Act trad in werking op 1 augustus 2024. De verboden en de plicht tot AI-geletterdheid gelden sinds 2 februari 2025, de regels voor AI-modellen voor algemene doeleinden sinds 2 augustus 2025, en de meeste andere regels, waaronder die voor hoog-risico systemen uit bijlage III, vanaf 2 augustus 2026. De Commissie stelde in november 2025 (de Digital Omnibus) voor om een deel van de hoog-risico regels uit te stellen; controleer dus de actuele timing. ### Hoe hoog zijn de boetes onder de AI Act? Tot 35 miljoen euro of 7% van de wereldwijde jaaromzet voor verboden praktijken, en tot 15 miljoen euro of 3% voor de meeste andere verplichtingen, waaronder die voor hoog-risico systemen. Voor kmo’s gelden lagere maxima. ## Conclusie De EU AI Act is wet, maar maakt niet van elke AI-vergadertool een hoog-risico systeem. Voor juridische, M&A- en financeteams voegt de AI Act vooral AI-geletterdheid, een verbod op emotieherkenning op het werk en transparantie toe; het hoog-risico regime geldt pas wanneer AI-output wordt gebruikt voor beslissingen uit de lijst, zoals kredietscores van personen of beslissingen over werknemers. De AVG, het beroepsgeheim en, voor financiële instellingen, DORA blijven de belangrijkste regels voor de opname zelf. Als uw team zaken met hoge inzet behandelt - dealonderhandelingen, strategiesessies met cliënten, kredietbeslissingen, compliancereviews - is de vraag niet óf u AI-vergaderintelligentie gebruikt. De vraag is of u kunt uitleggen waar de data heen gaat, welke AI eraan raakt en wie de output controleert. Caven is gebouwd zodat u dat kunt. ## Verder lezen - [Read this article in English](https://caven.io/blog/eu-ai-act-high-risk-teams.md) - [Caven voor verzekeringen](https://caven.io/nl/sectoren/verzekeringen.md) - [Caven voor financiële instellingen](https://caven.io/nl/sectoren/financiele-instellingen.md) - [Caven voor advocatuur](https://caven.io/nl/sectoren/advocatuur.md) - [Plannen en prijzen van Caven](https://caven.io/nl/prijzen.md)