Wie houdt toezicht op de AI-verordening in België?

U heeft een nieuwsbericht over de AI-verordening voorbij zien komen, met een mogelijke boete erbij, en meteen dringt de praktische vraag zich op: wie zou er bij u in België eigenlijk aankloppen als het misloopt? Is dat de Gegevensbeschermingsautoriteit (GBA), dezelfde instantie die nu al toeziet op de AVG? Een federale dienst waarvan u de naam nog nooit hoorde? Of iets wat met de Belgische staatsstructuur te maken heeft? Er is geen eenduidig antwoord op deze vraag, en net dat maakt ze zo relevant: net als de meeste EU-lidstaten heeft België geen nieuwe, aparte AI-toezichthouder opgericht, maar de bevoegdheid verdeeld over bestaande instanties. Hieronder leest u hoe die verdeling er op dit moment uitziet.

Wat de AI-verordening van elke lidstaat vraagt: autoriteiten aanwijzen tegen 2 augustus 2025

Artikel 70 van de AI-verordening (verordening (EU) 2024/1689) verplicht elke lidstaat om minstens één aanmeldende autoriteit aan te wijzen, die instaat voor de evaluatie en opvolging van instanties die bepaalde hoogrisico-AI-systemen certificeren, en minstens één markttoezichtautoriteit, die controleert of AI-systemen die op de markt worden gebracht of gebruikt effectief aan de verordening voldoen. De deadline die de Europese tekst hiervoor vooropstelde, was 2 augustus 2025. De verordening laat lidstaten wel veel vrijheid in de manier waarop: sommige landen richtten een volledig nieuwe, gespecialiseerde instantie op — Spanje deed dat met zijn AI-agentschap AESIA — terwijl andere landen deze rol bij bestaande regulators onderbrachten. België koos duidelijk voor die tweede weg, en bouwt voort op instanties die al langer bestaan in plaats van één nieuw AI-agentschap op te richten.

De GBA: uw standaardaanspreekpunt zodra persoonsgegevens meespelen

De Gegevensbeschermingsautoriteit (GBA), de opvolger sinds 2018 van de vroegere Privacycommissie, houdt in België al jaren toezicht op de toepassing van de AVG en werkt daarbij tweetalig Frans/Nederlands. Zodra een AI-systeem — al is het maar onrechtstreeks — persoonsgegevens verwerkt, is de GBA in principe bevoegd: denk aan rekrutering met AI-ondersteuning, klantscoring, een HR-chatbot, AI-versterkte camerabewaking of kredietbeoordeling. Dat kan zowel onder de AVG als onder de AI-verordening zijn, of onder beide tegelijk. Voor de doorsnee kmo die AI vooral inkoopt in plaats van zelf ontwikkelt, is dit verreweg het meest waarschijnlijke scenario: bijna elke AI-toepassing in een bedrijfscontext raakt op een of andere manier aan gegevens van een geïdentificeerde of identificeerbare persoon.

Een federaal land: waarom coördinatie hier structureel belangrijker is

België heeft een kenmerk dat de meeste buurlanden niet hebben: een federale staatsstructuur met een federaal niveau naast de gewesten (Vlaanderen, Wallonië, Brussel) en de gemeenschappen. Een horizontale regelgeving zoals de AI-verordening raakt tegelijk aan economie, onderzoek, tewerkstelling en deels geregionaliseerde bevoegdheden, wat maakt dat afstemming tussen het federale niveau en de deelstaten structureel noodzakelijker is dan in de meeste andere lidstaten — bovenop de aanwijzing van autoriteiten die artikel 70 al oplegt. Op het moment van schrijven is het institutionele landschap rond AI-toezicht in België nog volop in beweging, en we willen liever voorzichtig blijven dan een vaste lijst van organen met een bevestigd mandaat presenteren alsof die zaak al helemaal beklonken is. Wat wél stevig staat, is het uitgangspunt: voor een kmo blijft de GBA het meest waarschijnlijke eerste aanspreekpunt zodra persoonsgegevens in het spel zijn, aangevuld waar nodig door een sectorale regulator of door interbestuurlijke afstemming voor de meer overkoepelende aspecten van AI-governance.

Sectorale regulators: wie al toezicht hield, houdt dat ook onder de AI-verordening

De AI-verordening vervangt bestaande sectorale toezichthouders niet, ze voegt een laag toe aan hun bestaande opdracht. In de praktijk betekent dit: wie een sector al reguleerde vóór de AI-verordening, blijft dat doen, met AI voortaan mee binnen het toezichtsveld. Gaat het om een AI-systeem in een financiële context — kredietverlening, verzekeringen, beleggingsdiensten — dan is de FSMA (Autoriteit voor Financiële Diensten en Markten) het aangewezen aanspreekpunt, naast de Nationale Bank van België voor het bankwezen. Zit AI verweven in een medisch hulpmiddel of in diagnose, opvolging of behandeling van een patiënt, dan blijft het FAGG (Federaal Agentschap voor Geneesmiddelen en Gezondheidsproducten) bevoegd. Gaat het, ongeacht de sector, om de verwerking van persoonsgegevens, dan is dat opnieuw de GBA. En bij misleidende AI-gegenereerde reclame, oneerlijke commerciële praktijken of markttoezicht in ruimere zin is de FOD Economie de logische instantie. Kortom: wie u vandaag al kent voor uw sector, blijft doorgaans ook uw contactpunt zodra AI in beeld komt.

Wat dit concreet betekent voor uw kmo

Er bestaat geen enkel telefoonnummer dat u bij twijfel kunt bellen. Voor de meeste Belgische kmo's die AI gebruiken — klantendienst, rekrutering, marketing, data-analyse — blijft de GBA het meest waarschijnlijke aanspreekpunt, omdat vrijwel elke AI-toepassing in een bedrijfscontext op een of andere manier persoonsgegevens raakt. Het nuttigste wat u kunt doen, is dus niet een nog schuivend organigram uit het hoofd leren, maar voor elk AI-systeem dat u gebruikt documenteren wat het doel is, welke gegevens het verwerkt en welk risiconiveau daarbij hoort. Dat document beschermt u bij een controle, ongeacht welke instantie zich uiteindelijk aandient.

Checklist: met wie zou u waarschijnlijk te maken krijgen

• Verwerkt het systeem, ook onrechtstreeks, gegevens over een geïdentificeerde of identificeerbare persoon? Dan is de GBA betrokken.
• Wordt het systeem gebruikt in een financiële context, bij kredietverlening of verzekeringen? Denk aan de FSMA.
• Raakt het systeem aan een medisch hulpmiddel of aan een gezondheidsbeslissing? Denk aan het FAGG.
• Beïnvloedt het systeem een commerciële beslissing die de consument rechtstreeks ziet, zoals prijszetting, reclame of aanbevelingen? Dan kan de FOD Economie een rol spelen.
• Wordt het systeem geleverd door een partij buiten België? Dan kan samenwerking tussen markttoezichtautoriteiten van verschillende lidstaten meespelen.
• Weet u op geen van deze vragen meteen een antwoord? Dat is meestal het signaal dat u nog geen duidelijk overzicht heeft van uw eigen AI-systemen — iets wat de meeste Belgische kmo's vandaag nog niet formeel hebben opgesteld.

Algemene informatie, geen juridisch advies

Bovenstaande is algemene informatie om u te helpen een nog bewegend institutioneel landschap beter te begrijpen; het is geen juridisch advies over uw specifieke situatie, en die kan een individuele analyse rechtvaardigen, zeker als uw activiteit meerdere gereguleerde sectoren tegelijk raakt. Bij Komplya maken we een duidelijk onderscheid tussen inhoud die juridisch werd nagelezen en inhoud die nog een werkdocument is, en we werken dit artikel bij naarmate het Belgische institutionele landschap rond AI-toezicht duidelijker wordt.

De vraag die er echt toe doet, is niet "wie gaat mij controleren", maar "zou ik kunnen antwoorden als iemand het mij morgen vraagt". Onze online vragenlijst helpt u op enkele minuten tijd in kaart brengen welke AI-systemen u vandaag al gebruikt, welk risiconiveau daarbij hoort, en wat u het best als eerste documenteert — zonder te wachten tot een toezichthouder, wie dan ook, u die vraag zelf stelt.