De precedenten zijn gezet. Is uw governance aantoonbaar?
Op 14 februari 2026 heeft de Europese Commissie de eerste drie formele handhavingsbeschikkingen uitgebracht onder de EU AI Act. De totale boetes bedragen €18,4 miljoen. De zaken zijn nu publiek — en de patronen die ze onthullen, zijn instructiever dan het totaalbedrag.
Geen van de drie zaken gaat over een verboden AI-toepassing. Geen van de drie gaat over een AI-systeem dat aantoonbare schade heeft veroorzaakt. Alle drie gaan ze over hetzelfde: het ontbreken van governance-documentatie voor high-risk AI-systemen die al in gebruik waren vóór de nalevingtermijnen verstrekten.
Zaak 1 — Financiële dienstverlener, Duitsland (€7,2M) Een grote verzekeraar gebruikte een AI-systeem voor schadebeoordelingen dat valt onder de high-risk categorie "essentiële private diensten." Het systeem was operationeel, de prestaties waren goed — maar de verplichte conformiteitsbeoordeling, technische documentatie en logging-vereisten waren niet aanwezig. De toezichthouder concludeerde dat de organisatie de nalevingtermijnen kende maar had uitgesteld.
Zaak 2 — HR-tech aanbieder, Nederland (€6,8M) Een softwareleverancier bood een AI-gedreven recruitmentsysteem aan dat door tientallen klantorganisaties werd gebruikt. Het systeem — dat kandidaten scoort en rangschikt voor selectieprocedures — valt onder de high-risk categorie "werkgelegenheid en personeelsbeheer." De leverancier had de conformiteitsvereisten niet vervuld; de klantorganisaties die het gebruikten waren mede-aansprakelijk voor de inzet van het niet-conforme systeem.
Zaak 3 — Publieke sector, België (€4,4M) Een overheidsorganisatie gebruikte een AI-systeem voor de beoordeling van subsidieaanvragen. Het ontbreken van aantoonbaar menselijk toezicht — een expliciete vereiste voor high-risk systemen — was de voornaamste grond voor de boete.
De eerste golf handhaving raakt niet de ergste overtreders — het raakt de slechtst gedocumenteerde. U hoeft geen schade te hebben veroorzaakt. U hoeft niet bewust de wet te hebben overtreden. U hoeft alleen niet te kunnen aantonen dat u de vereisten heeft nageleefd.
Drie conclusies zijn direct toepasbaar:
Ingekochte AI is geen vrijbrief Zaak 2 maakt duidelijk: als u een niet-conform AI-systeem inkoopt en inzet, bent u mede-aansprakelijk. "Onze leverancier had dit op orde moeten hebben" is juridisch geen verweer. Eis conformiteitsdocumentatie van uw AI-leveranciers — nu, niet bij de volgende contractverlenging.
Documentatie is het bewijs In alle drie zaken was het ontbreken van documentatie de kern van het handhavingsbesluit. Goede intenties, goed functionerende systemen en zelfs goede uitkomsten zijn geen vervanging voor de wettelijk vereiste documentatie. Als het niet gedocumenteerd is, bestaat het voor de toezichthouder niet.
Menselijk toezicht is niet optioneel Zaak 3 illustreert een punt dat in veel implementaties over het hoofd wordt gezien: de vereiste voor aantoonbaar menselijk toezicht is niet een filosofisch principe maar een operationele verplichting. U moet kunnen aantonen dat een mens de AI-output beoordeelt en kan overschrijven — en dat dit in de praktijk ook daadwerkelijk gebeurt.
Vraag uw Legal of Compliance team om een overzicht van alle AI-toepassingen die mogelijk onder de high-risk categorieën vallen. Vraag voor elk van die toepassingen: is er een conformiteitsbeoordeling gedaan? Is er technische documentatie? Zijn de logging-vereisten geïmplementeerd? Is menselijk toezicht aantoonbaar?
Als het antwoord op één van die vragen "nee" of "onbekend" is, heeft u een prioriteit voor de komende kwartaalcyclus. Niet over te slaan — de precedenten zijn nu gezet.
Niet alleen inzicht — maar een plan dat uw board kan uitvoeren.