Artikel 4 is de verplichting uit de AI-verordening die bijna elk bedrijf in de Unie al heeft, en de verplichting waarvan de tekst deze zomer veranderde. Het geldt voor aanbieders en gebruiksverantwoordelijken van AI-systemen, dus voor elk bedrijf dat een AI-systeem in zijn bedrijfsvoering gebruikt, sinds 2 februari 2025, en Verordening (EU) 2026/1744, de digitale omnibus voor AI, verving de bewoording met ingang van 27 juli 2026. Dit artikel is de herschreven tekst, wat hij vraagt en niet vraagt, hoe het record ontstaat, en een programma dat op één pagina past, gelezen uit de twee verordeningen op CELLAR op 12 september 2026. Het is geen juridisch advies.

De tekst, voor en na

Het oorspronkelijke artikel 4 vereiste van aanbieders en gebruiksverantwoordelijken dat zij maatregelen namen om, zoveel mogelijk, een toereikend niveau van AI-geletterdheid van hun personeel en andere personen die namens hen AI-systemen exploiteren en gebruiken te waarborgen. Het herschreven artikel 4(1) vereist dat zij "maatregelen om de ontwikkeling van AI-geletterdheid" van dezelfde personen "te ondersteunen" nemen, "en houden daarbij rekening met hun technische kennis, ervaring, onderwijs en opleiding en de context waarin de AI-systemen zullen worden gebruikt, evenals met de personen of groepen personen ten aanzien van wie de AI-systemen zullen worden gebruikt", en voegt dan de zin toe die het gesprek verandert: "Deze verplichting houdt niet in dat aanbieders of gebruiksverantwoordelijken een bepaald niveau van AI-geletterdheid moeten waarborgen voor personen."

Twee nieuwe leden volgen. Artikel 4(2): de Commissie en de lidstaten ondersteunen en faciliteren de inspanningen van aanbieders en gebruiksverantwoordelijken, "met name kmo's", en de Commissie publiceert "praktische voorbeelden van hoe die verplichting na te leven" op het centrale informatieplatform van artikel 62(3). Artikel 4(3): de AI-board stelt, rekening houdend met Europese competentiekaders, aanbevelingen vast ter bevordering van AI-geletterdheid, onder meer door gemeenschappelijke doelstellingen vast te stellen.

De definitie is niet veranderd. Artikel 3(56): AI-geletterdheid is de vaardigheden, kennis en het begrip die aanbieders, gebruiksverantwoordelijken en betrokken personen in staat stellen AI-systemen met kennis van zaken in te zetten en zich bewust te worden van de kansen en risico's van AI en de mogelijke schade die zij kan veroorzaken.

Wat het vraagt, en van wie

De plicht rust op de organisatie, niet op het individu, en het is een inspanningsverplichting: maatregelen nemen, evenredig aan de mensen en de context. Drie dingen volgen uit de tekst.

Ten eerste wie eronder valt: personeel, en "andere personen die namens hen AI-systemen exploiteren en gebruiken", wat contractanten en uitzendkrachten bereikt die een systeem voor u bedienen. Niet klanten, en niet het publiek, al moeten de maatregelen rekening houden met "de personen of groepen personen ten aanzien van wie de AI-systemen zullen worden gebruikt".

Ten tweede wat "maatregelen" zijn: het artikel zegt niet training, cursussen of certificaten. Het zegt maatregelen die rekening houden met technische kennis, ervaring, onderwijs en opleiding, en met de gebruikscontext. Een ontwikkelaar die modellen bouwt, een recruiter die een door een systeem gemaakte ranglijst leest en een assistent die met een model voor algemene doeleinden concepten schrijft, hebben verschillende dingen nodig, en de maatregel voor elk is de maatregel die past.

Ten derde wat het niet vereist: een gewaarborgd niveau van geletterdheid van wie dan ook, een toets, een certificaat of een bepaalde cursus. Een bedrijf kan aan het artikel voldoen met een interne briefing, een schriftelijke handleiding per systeem, een gebruiksbeleid en een record van wie wat wanneer ontving, zolang de maatregelen passen bij de mensen en de context.

De handhaving

Artikel 4 staat in hoofdstuk I, van toepassing sinds 2 februari 2025. Het hoort niet bij de bepalingen waaraan artikel 99(4) de boetes tot 15 000 000 euro of 3% van de omzet verbindt; dat zijn de artikelen 16, 22 tot en met 26 en 50, de operatorplichten voor hoog risico en transparantie. Onder artikel 99(1), zoals gewijzigd, stellen de lidstaten sancties vast voor elke inbreuk op de verordening, die administratieve boetes, waarschuwingen en niet-geldelijke maatregelen kunnen omvatten, evenredig en met inachtneming van de belangen van kmo's, start-ups en small mid-caps. Het praktische gevolg van artikel 4 ligt dus elders: een gebruiksverantwoordelijke van een hoogrisicosysteem moet het menselijk toezicht toewijzen aan personen met de nodige competentie, opleiding en bevoegdheid (artikel 26(2)), en de gebruiksinstructies van een aanbieder gaan uit van een lezer die ze kan gebruiken; een bedrijf dat niet kan laten zien wat het onder artikel 4 heeft gedaan, krijgt de vraag onder die artikelen, en van zijn klanten.

Het record, uit ISO 42001

Voor een bedrijf dat een managementsysteem voert, is artikel 4 al een set records die het bijhoudt. ISO/IEC 42001:2023 vereist in clausule 7.2 dat de organisatie bepaalt welke competentie nodig is voor de mensen wier werk haar AI-prestaties beïnvloedt, ervoor zorgt dat zij die hebben, maatregelen neemt waar dat niet zo is, en bewijs bewaart; in clausule 7.3 dat mensen zich bewust zijn van het AI-beleid en van hun bijdrage aan het managementsysteem; en in bijlage A dekt beheersmaatregel A.4.6 de mensen en vaardigheden waarvan een AI-systeem afhangt, en dekken de A.9-beheersmaatregelen het eigen gebruik van AI door de organisatie: regels voor gebruik (A.9.2), de doelstellingen voor verantwoord gebruik (A.9.3) en het gebruiken van een systeem waarvoor het is gebouwd (A.9.4). Het competentierecord van 7.2 is het artikel 4-record: wie welk systeem bedient, wat hij moest weten, welke maatregel hij ontving, wanneer, en het bewijs.

Dezelfde clausules bestaan in ISO 27001, 7.2 en 7.3, en een bedrijf dat dat certificaat heeft, kan de AI-maatregelen onderbrengen in de competentie- en bewustzijnsrecords die het al bijhoudt in plaats van een parallel dossier op te bouwen. Wat ISO 42001 vraagt, en waar de andere verplichtingen van de AI-verordening erop landen, staat in de koppeling; de 38 beheersmaatregelen van de norm in gewoon Nederlands zijn het bijbehorende stuk.

Een programma dat op één pagina past

Ons voorbeeld, in onze eigen woorden; de maatregelen die bij een bedrijf passen, zijn de maatregelen die bij zijn systemen en zijn mensen passen, en de tekst schrijft deze niet voor.

  1. Een inventaris: de AI-systemen die het bedrijf aanbiedt of gebruikt, elk met zijn beoogde doel, wie het bedient en ten aanzien van wie het wordt gebruikt. Zonder dit is er niets om maatregelen over te nemen.
  2. Drie groepen mensen: wie systemen bouwt of configureert, wie ze bedient en op hun output handelt, en alle anderen die een tool voor algemene doeleinden gebruiken. De maatregelen verschillen per groep.
  3. Voor de eerste groep de technische documentatie van het systeem en de gebruiksinstructies van de aanbieder, gelezen en bevestigd, en de risicobeoordeling waaraan zij hebben bijgedragen.
  4. Voor de tweede groep een handleiding van één pagina per systeem: wat het doet, wat het niet doet, zijn bekende beperkingen en nauwkeurigheid, de waarschuwing voor automatiseringsvooringenomenheid van artikel 14(4)(b) in de eigen woorden van het bedrijf, wanneer het te overrulen is, en aan wie te vragen.
  5. Voor de derde groep het gebruiksbeleid: welke tools zijn goedgekeurd, wat er niet in mag worden ingevoerd, hoe outputs worden gecontroleerd, en de informatieplichten van artikel 50 waar ze gelden.
  6. Een briefing over de risico's en kansen van AI, eenmaal bij indiensttreding en eenmaal per jaar, de "bewustwording"-helft van de definitie in artikel 3(56).
  7. Een record per persoon: groep, systemen, ontvangen maatregelen, data. Dit is het competentierecord van 7.2, en wat u laat zien als ernaar wordt gevraagd.
  8. Een herbeoordeling wanneer een systeem wordt toegevoegd, gewijzigd of afgestoten, en wanneer de praktische voorbeelden van de Commissie of de gemeenschappelijke doelstellingen van de board worden gepubliceerd.

Dat is artikel 4. De kleine lettertjes zijn dat het evenredig is: een adviesbureau van acht mensen dat twee tools voor algemene doeleinden gebruikt, voldoet eraan met de punten 1, 5, 6 en 7; een aanbieder van een hoogrisico-wervingssysteem niet.

Bronnen

  • Verordening (EU) 2024/1689 (de AI-verordening), artikel 3(56), artikel 4 zoals oorspronkelijk vastgesteld, artikel 14(4), artikel 26(2), artikel 50, artikel 62(3), artikel 99(1) en (4), artikel 113.
  • Verordening (EU) 2026/1744 van 8 juli 2026 (de digitale omnibus voor AI), artikel 1, punten (5) en (38); Publicatieblad van 24 juli 2026, in werking op 27 juli 2026. Beide gelezen op CELLAR op 12 september 2026.
  • ISO/IEC 42001:2023, clausules 7.2 en 7.3 en de bijlage A-beheersmaatregelen A.4.6, A.9.2, A.9.3 en A.9.4, aangehaald op nummer; de tekst is die van ISO en wordt niet weergegeven.

Dit is geen juridisch advies. Welke maatregelen voor een bepaald bedrijf aan artikel 4 voldoen, hangt af van zijn systemen en zijn mensen; de tekst is die van de verordening, en de praktische voorbeelden zullen die van de Commissie zijn.