Hoe verhoudt eIDAS 2.0 zich tot de EU AI Act op het gebied van identiteitsverificatie?

eIDAS 2.0 en de EU AI Act zijn twee afzonderlijke regelgevingskaders, maar ze overlappen direct wanneer AI wordt gebruikt bij identiteitsverificatie. Verordening (EU) 2024/1183, informeel aangeduid als eIDAS 2.0, wijzigt Verordening (EU) 910/2014 en stelt de regels vast voor vertrouwde digitale identiteit en elektronische handtekeningen in heel Europa, terwijl de EU AI Act reguleert hoe artificiële-intelligentiesystemen worden gebouwd en ingezet. Wanneer een organisatie AI gebruikt om iemands identiteit te verifiëren, zijn beide kaders tegelijkertijd van toepassing.

Dit is met name van belang voor organisaties in de financiële sector, de gezondheidszorg, de overheid en andere gereguleerde sectoren, waar identiteitsverificatie zowel een wettelijke verplichting als een proces met hoge inzet is. De onderstaande secties behandelen de belangrijkste vragen die organisaties stellen over de verbinding tussen deze twee verordeningen.

Welke onderdelen van de EU AI Act zijn van toepassing op identiteitsverificatiesystemen?

Niet elk AI-systeem dat bij identiteitsverificatie wordt ingezet, valt automatisch onder de hoog-risicocategorie van de EU AI Act. De classificatie hangt af van de concrete toepassing. Biometrische verificatie die uitsluitend bevestigt dat iemand is wie hij beweert te zijn, valt niet automatisch onder bijlage III, punt 1, van de AI Act, dat betrekking heeft op biometrische identificatie en categorisering van natuurlijke personen. Systemen die worden ingezet voor bredere biometrische identificatie of categorisering, of die vallen binnen een andere relevante categorie van bijlage I of III, zijn wel hoog-risico en onderworpen aan strenge vereisten voordat ze in gebruik kunnen worden genomen.

Organisaties moeten per systeem beoordelen onder welke categorie het valt. Systemen die identiteit verifiëren via gezichtsherkenning, documentscan of levensechtheidsdetectie kunnen afhankelijk van de toepassing en context wel degelijk als hoog-risico worden geclassificeerd.

Hoog-risico AI-systemen bij identiteitsverificatie moeten voldoen aan vereisten op meerdere gebieden:

• Risicobeheer: Organisaties moeten risico’s gedurende de gehele levenscyclus van het systeem identificeren, analyseren en beperken
• Gegevensbeheer: Trainingsdata moet relevant, representatief en vrij van significante bias zijn
• Technische documentatie: Gedetailleerde verslagen van hoe het systeem werkt, moeten worden bijgehouden en beschikbaar zijn voor toezichthouders
• Transparantie: Gebruikers moeten worden geïnformeerd wanneer zij interactie hebben met een AI-systeem, conform artikel 50 van de AI Act
• Menselijk toezicht: Er moeten mechanismen aanwezig zijn waarmee mensen het systeem kunnen bewaken, ingrijpen of oversturen
• Nauwkeurigheid en robuustheid: Het systeem moet consistent presteren en bestand zijn tegen fouten of manipulatie

Daarnaast gelden voor biometrische persoonsgegevens de aanvullende vereisten van artikel 9 AVG, ongeacht of het AI-systeem als hoog-risico wordt geclassificeerd.

De EU AI Act is van toepassing op AI-systemen die op de EU-markt worden gebracht of binnen de EU worden gebruikt, ongeacht waar de aanbieder gevestigd is. Zelfs als een externe leverancier de AI-component van een identiteitsverificatieproces levert, draagt de organisatie die het inzet verplichtingen op grond van de wet. Binnen de AI Act wordt deze organisatie aangeduid als gebruiksverantwoordelijke.

Hoe werken de vertrouwensvereisten van eIDAS 2.0 samen met de risicoregels van de AI Act?

eIDAS 2.0 vereist dat identiteitsverificatie voldoet aan specifieke betrouwbaarheidsniveaus, met name bij het uitgeven of valideren van attestaties die gekoppeld zijn aan de EUDI-wallet. De EU AI Act voegt hier een laag vereisten aan toe door te eisen dat elk AI-systeem dat in dat verificatieproces wordt gebruikt, veilig, transparant en verantwoordelijk is. De twee kaders zijn complementair.

Onder eIDAS 2.0 moet identiteitsproofing voldoen aan gedefinieerde betrouwbaarheidsniveaus (laag, substantieel of hoog), afhankelijk van de context. Het bereiken van een hoog betrouwbaarheidsniveau omvat doorgaans biometrische controles of documentverificatie. Wanneer daarvoor een AI-systeem wordt ingezet dat als hoog-risico wordt geclassificeerd, activeert dat de bijbehorende AI Act-verplichtingen. In de praktijk betekent dit dat het voldoen aan de betrouwbaarheidsvereisten van eIDAS 2.0 via AI-gestuurde verificatie een organisatie kan brengen binnen het bereik van de hoog-risicoregels van de AI Act, afhankelijk van de specifieke toepassing.

De vereisten zijn in grote lijnen op hetzelfde doel gericht. Beide kaders sturen organisaties aan op nauwkeurigheid, betrouwbaarheid en gebruikersbescherming. Het bouwen van een conform eIDAS 2.0 identiteitsverificatieproces met AI betekent dat organisaties al werken aan veel van dezelfde doelen die de AI Act vereist: robuuste prestaties, duidelijke documentatie en respect voor gebruikersrechten.

Welke nalevingsverplichtingen overlappen tussen de twee kaders?

Verschillende nalevingsverplichtingen komen voor in zowel eIDAS 2.0 als de EU AI Act, wat betekent dat organisaties ze samen kunnen aanpakken in plaats van elke verordening afzonderlijk te behandelen. De meest significante overlappen betreffen gegevensbescherming, transparantie, controleerbaarheid en verantwoordelijkheid.

Hier is waar de twee kaders het meest direct op één lijn liggen:

1. Dataminimalisatie en privacy: Beide kaders vereisen dat alleen noodzakelijke persoonsgegevens worden verzameld en verwerkt. eIDAS 2.0 bouwt selective disclosure in het EUDI-wallet-ontwerp in; de AI Act vereist dat trainings- en operationele gegevens verantwoordelijk worden beheerd. Goedkeuring van gegevensdeling in de wallet is daarbij niet hetzelfde als toestemming als rechtsgrond onder artikel 6, lid 1, onder a, AVG. Een relying party heeft een zelfstandige AVG-grondslag nodig voor de verwerking.
2. Logging en audittrails: eIDAS 2.0 vereist registraties van identiteitstransacties voor vertrouwen en juridische geldigheid. De AI Act vereist technische documentatie en logging van AI-systeemgedrag voor post-marktmonitoring.
3. Nauwkeurigheidsvereisten: eIDAS 2.0 eist betrouwbare identiteitszekerheid; de AI Act verplicht dat hoog-risico AI-systemen voldoen aan gedefinieerde nauwkeurigheidsdrempels en robuust blijven tegen fouten.
4. Gebruikersrechten en transparantie: De EUDI-wallet geeft gebruikers controle over welke gegevens zij delen. De AI Act vereist op grond van artikel 50 dat personen worden geïnformeerd wanneer AI wordt gebruikt bij beslissingen die hen raken.
5. Conformiteitsbeoordelingen: Beide kaders vereisen een vorm van beoordeling door derden of zelfbeoordeling om naleving aan te tonen vóór inzet.

Organisaties die hun verplichtingen vroeg in kaart brengen over beide kaders, zullen zinvolle efficiënties ontdekken. Eén nalevingsinspanning kan vereisten in beide richtingen vervullen, in plaats van twee parallelle trajecten te doorlopen.

Vermindert het gebruik van een EUDI-wallet de nalevingslast onder de AI Act?

Het gebruik van de EUDI-wallet kan de frequentie en reikwijdte van AI-gestuurde identiteitscontroles verminderen, wat op zijn beurt de blootstelling van een organisatie aan AI Act-verplichtingen kan verminderen. Wanneer een gebruiker geverifieerde attestaties uit zijn EUDI-wallet presenteert, hoeft de relying party mogelijk geen nieuwe biometrische of documentcontrole uit te voeren, omdat de identiteit al op een hoog betrouwbaarheidsniveau is geverifieerd door een vertrouwde uitgever.

Dit is een van de meest praktische voordelen van de EUDI-wallet voor organisaties die door beide verordeningen navigeren. Als een bank, zorgaanbieder of overheidsdienst een attestatie uit de wallet kan accepteren in plaats van een eigen AI-gebaseerde verificatie uit te voeren, worden de hoog-risicoregels van de AI Act voor die interactie mogelijk simpelweg niet geactiveerd.

Dit elimineert de AI Act-verplichtingen niet volledig. Organisaties die attestaties aan wallets uitgeven, of die nog steeds AI gebruiken voor initiële onboarding voordat de wallet breed is geadopteerd, blijven in scope. De EUDI-wallet verschuift waar in het proces AI wordt gebruikt, maar verwijdert de verordening niet volledig uit de vergelijking. Naarmate de adoptie van wallets in heel Europa groeit, kunnen organisaties merken dat hun afhankelijkheid van interne AI-verificatie afneemt, wat op termijn een betekenisvol nalevingsvoordeel oplevert.

Walletgebruik is vrijwillig. Artikel 5a van Verordening (EU) 2024/1183 beschermt gebruikers tegen benadeling wanneer zij geen wallet gebruiken. Organisaties moeten dus ook buiten de wallet een werkend verificatieproces blijven aanbieden.

Wie is verantwoordelijk voor naleving wanneer AI wordt gebruikt bij identiteitsverificatie?

Onder de EU AI Act valt de verantwoordelijkheid op zowel de aanbieder (het bedrijf dat het AI-systeem ontwikkelt of op de markt brengt) als de gebruiksverantwoordelijke (de organisatie die het inzet in haar eigen producten of diensten). Wanneer een organisatie een AI-identiteitsverificatietool van een derde partij gebruikt, treedt zij doorgaans op als gebruiksverantwoordelijke en draagt zij specifieke verplichtingen van haarzelf, los van die van de leverancier.

Als gebruiksverantwoordelijke van een hoog-risico AI-systeem moet een organisatie:

• Het systeem uitsluitend gebruiken voor het beoogde doel zoals beschreven door de aanbieder
• Ervoor zorgen dat menselijk toezicht aanwezig is en dat medewerkers zijn opgeleid om het systeem op de juiste manier te gebruiken
• De prestaties van het systeem in de specifieke context bewaken en ernstige incidenten melden
• Waar vereist een grondrechtenimpactbeoordeling uitvoeren. Dit is geen algemene verplichting voor iedere private organisatie, maar geldt voor specifieke categorieën gebruiksverantwoordelijken zoals omschreven in de AI Act.
• Registraties bijhouden van het gebruik van het systeem

Onder eIDAS 2.0 is het beeld vergelijkbaar. Verleners van vertrouwensdiensten dragen formele verplichtingen, maar organisaties die identiteitsverificatie gebruiken als onderdeel van hun onboarding- of authenticatieprocessen dragen ook verantwoordelijkheid voor de betrouwbaarheidsniveaus die zij accepteren en de processen die zij instellen.

Dit model van gedeelde verantwoordelijkheid betekent dat organisaties de naleving niet eenvoudig kunnen uitbesteden aan een leverancier. Een leverancier die walletdata namens een klant verwerkt, wordt daardoor niet zelf de relying party. De registratieplicht ligt bij de organisatie die de dienst aan de eindgebruiker levert. Inkoopbeslissingen moeten een zorgvuldige beoordeling omvatten van hoe de verantwoordelijkheid wordt verdeeld, en contracten moeten duidelijk vastleggen welke partij verantwoordelijk is voor welke verplichtingen.

Wat moeten organisaties nu doen om aan beide verordeningen te voldoen?

Organisaties moeten beginnen met het in kaart brengen waar AI momenteel wordt gebruikt in hun identiteitsverificatieprocessen en beoordelen of die systemen voldoen aan de hoog-risicoclassificatie van de EU AI Act. Vervolgens kunnen zij een nalevingsroadmap opstellen die zowel de AI Act als eIDAS 2.0 samen aanpakt, in plaats van ze als afzonderlijke projecten te behandelen.

Praktische stappen die nu genomen kunnen worden:

1. Controleer je identiteitsverificatiestack: Identificeer elk punt waar AI wordt gebruikt, wie het levert en welke gegevens erdoorheen stromen.
2. Classificeer je AI-systemen: Bepaal per systeem of het onder de hoog-risicategorie van de AI Act valt, rekening houdend met de specifieke toepassing en de relevante categorieën uit bijlage I en III. Biometrische verificatie die uitsluitend bevestigt dat iemand is wie hij beweert te zijn, valt niet automatisch onder bijlage III, punt 1.
3. Beoordeel leverancierscontracten: Verduidelijk welke verplichtingen bij jouw aanbieder liggen en welke bij jouw organisatie als gebruiksverantwoordelijke.
4. Stem af op de betrouwbaarheidsniveaus van eIDAS 2.0: Zorg ervoor dat je verificatieprocessen kunnen voldoen aan de betrouwbaarheidsniveaus die vereist zijn voor jouw gebruiksscenario’s, inclusief wallet-gebaseerde interacties.
5. Bereid je voor op EUDI-wallet-integratie: Organisaties in de financiële dienstverlening en overheidsdiensten moeten plannen voor het accepteren van wallet-attestaties als primaire verificatiemethode, wat de AI-risicoblootstelling vermindert. Publieke instanties zijn verplicht genotificeerde wallets te accepteren vanaf 24 december 2026. Voor gereguleerde private partijen in sectoren zoals banken, zorg, telecom, energie en transport geldt de acceptatieplicht op grond van artikel 5f van de verordening vanaf 24 december 2027, binnen de context waarin sterke gebruikersauthenticatie wettelijk of contractueel vereist is. Voor grote onlineplatforms (VLOP’s) geldt een afzonderlijke bepaling van artikel 5f: de verplichting treedt in werking waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens. Micro- en kleine ondernemingen met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal €10 miljoen zijn van de acceptatieplicht uitgezonderd. Relying parties moeten zich daarnaast onder CIR (EU) 2025/848 van 6 mei 2025 registreren bij de bevoegde nationale autoriteit van de lidstaat van vestiging voordat walletdata kan worden opgevraagd. Per intended use wordt daarbij vastgelegd welke attributen en attestaties worden opgevraagd.
6. Documenteer alles: Beide kaders vereisen duidelijke registraties van hoe systemen werken, hoe beslissingen worden genomen en hoe risico’s worden beheerd.

Organisaties in de gezondheidszorg, farmaceutische industrie en andere gereguleerde sectoren moeten ook sectorspecifieke richtlijnen overwegen, aangezien aanvullende regels van toepassing kunnen zijn bovenop de twee kaders. Voor gezondheidsgegevens moet naast een AVG-grondslag onder artikel 6 ook een toepasselijke grond uit artikel 9, lid 2, AVG bestaan. Voor degenen die werkzaam zijn in identiteitsverificatie in de gezondheidszorg is het snijpunt van gegevensgevoeligheid en AI-risico bijzonder belangrijk om proactief aan te pakken.

Hoe ondersteunt de ID Connector van TrustTech organisaties bij eIDAS 2.0 en de EU AI Act

De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.

Concreet ondersteunt de ID Connector:

• Verificatie tegen trusted lists: De ID Connector controleert de handtekening van de uitgever tegen de relevante nationale trusted lists conform ETSI TS 119 612 en de EU List of Trusted Lists, zodat de herkomst van een attestatie betrouwbaar kan worden vastgesteld
• Controle van intrekkingsstatus: De ID Connector raadpleegt de statusinformatie van de uitgever om te controleren of een attestatie nog geldig is op het moment van presentatie
• Validatie van de wallet unit attestation: De ID Connector verifieert dat de presenterende wallet draait op een gecertificeerde wallet solution. Deze controle kan niet volledig offline plaatsvinden.
• Bewaking van de geregistreerde attributenscope: De ID Connector ondersteunt relying parties bij het opvragen van uitsluitend de attributen en attestaties die zijn geregistreerd onder CIR (EU) 2025/848, zodat verzoeken buiten de geregistreerde scope worden voorkomen
• Hergebruik van geverifieerde identiteitsdata: Eenmalig geverifieerde identiteitsgegevens kunnen herbruikbaar worden gemaakt gedurende het volledige proces, waardoor herhaalde AI-gestuurde controles worden verminderd
• Gekwalificeerd tekenen via een aangesloten QTSP: Elke handtekening en toestemmingsactie is identiteitsgebonden en auditklaar, en voldoet aan de vereisten van eIDAS 2.0 en de documentatieverplichtingen van de AI Act. De gekwalificeerde elektronische handtekening komt tot stand via een gekwalificeerde verlener van vertrouwensdiensten.

De ID Connector is relevant voor organisaties in de financiële sector, de gezondheidszorg, de farmaceutische industrie en de overheid, waar identiteitsverificatie aan zowel eIDAS 2.0 als de AI Act moet voldoen. Door wallet-gebaseerde verificatie te centraliseren en te automatiseren, vermindert de ID Connector de afhankelijkheid van hoog-risico AI-verificatie waar gecertificeerde walletpresentatie volstaat.

Neem contact op met TrustTech om te bespreken hoe de ID Connector past binnen jouw identiteitsverificatieproces.