Physical AI en regelgeving: welke regels gelden voor robots en slimme machines?

Physical AI is kunstmatige intelligentie die in de fysieke wereld handelt: robots, autonome voertuigen, drones en slimme machines die zelf waarnemen, beslissen en bewegen. Wie zulke producten ontwikkelt of op de markt brengt, krijgt tegelijk te maken met de AI Act, de Machineverordening, de Cyber Resilience Act (CRA), de Data Act, de AVG en het nieuwe productaansprakelijkheidsrecht.

In dit artikel leest u welke regels gelden en waar u nu al rekening mee moet houden.

Wat is physical AI?

Physical AI (ook wel embodied AI) combineert sensoren, software en mechanica. Denk aan een cobot aan de productielijn, een autonome magazijnrobot of een landbouwmachine die zelf gewassen herkent. Het verschil met "gewone" AI is dat fouten niet alleen digitaal zijn. Een verkeerde beslissing kan fysieke schade of letsel veroorzaken. Juist daarom stapelt de Europese regelgeving zich hier op.

Valt mijn robot onder de AI Act?

Vaak wel. Een AI-systeem dat een veiligheidscomponent is van een product onder Europese productwetgeving, zoals machines, geldt als hoog-risico AI. Door de Digital Omnibus is de deadline verschoven: voor AI in producten die al onder Europees productveiligheidsrecht vallen (Annex I) gelden de hoog-risico-verplichtingen vanaf 2 augustus 2028. Dat lijkt ver weg, maar risicobeheer, technische documentatie, menselijk toezicht en conformiteitsbeoordeling moeten al in het ontwerp worden meegenomen. Achteraf repareren is duur.

Welke rol speelt de Machineverordening?

De nieuwe Machineverordening (EU) 2023/1230 vervangt de Machinerichtlijn en geldt vanaf 20 januari 2027. De verordening houdt expliciet rekening met machines met zelflerend gedrag. Voor bepaalde machines met AI-veiligheidsfuncties is een beoordeling door een aangemelde instantie nodig. Samen met de AI Act bepaalt zij of u de CE-markering mag aanbrengen.

Waarom is de Cyber Resilience Act relevant?

Elke robot met software en een netwerkverbinding is een "product met digitale elementen" onder de CRA. Sinds 11 september 2026 geldt de meldplicht voor actief uitgebuite kwetsbaarheden en ernstige incidenten. Vanaf 11 december 2027 gelden de volledige eisen: security by design, kwetsbaarheidsbeheer en beveiligingsupdates gedurende de ondersteuningsperiode. Een gehackte robot is namelijk ook een veiligheidsrisico.

Wat betekent de Data Act voor slimme machines?

Physical AI verzamelt continu gebruiksdata. Op grond van de Data Act moeten gebruikers van verbonden producten toegang krijgen tot die data en deze met derden kunnen delen. Voor producten die vanaf 12 september 2026 op de markt komen, moet die toegang al in het ontwerp zijn ingebouwd. Dat raakt uw verdienmodel, uw contracten en uw bedrijfsgeheimen.

Wanneer speelt de AVG een rol?

Zodra camera's, microfoons of sensoren personen kunnen identificeren, verwerkt de machine persoonsgegevens. Denk aan een robot die medewerkers registreert of een drone die beelden maakt. Dan gelden de AVG-beginselen, zoals privacy by design, dataminimalisatie en soms een DPIA.

Wie is aansprakelijk als een robot schade veroorzaakt?

De nieuwe Productaansprakelijkheidsrichtlijn (EU) 2024/2853 moet uiterlijk 9 december 2026 zijn omgezet. Software en AI gelden daarin uitdrukkelijk als product. Ook het niet leveren van noodzakelijke beveiligingsupdates kan een product gebrekkig maken. Daarmee raken de CRA en het aansprakelijkheidsrecht elkaar direct.

Hoe helpt BG.legal?

Het team IE, IT, AI & Privacy van BG.legal, gevestigd op de Brainport Industries Campus in Eindhoven en in 's-Hertogenbosch, adviseert tech- en maakbedrijven over de volledige regelgevingsstapel rond physical AI. Wij voeren compliance checks uit op de AI Act, CRA, Data Act en AVG, beoordelen contracten met toeleveranciers en afnemers, en beschermen uw innovaties met octrooien en andere IE-rechten. Zo weet u welke regels op uw product van toepassing zijn en in welke volgorde u ze aanpakt.

Veelgestelde vragen

Is elke robot hoog-risico onder de AI Act? 

Nee. Alleen als de AI een veiligheidscomponent is van een product dat onder Annex I valt, of als de toepassing onder Annex III valt. Een classificatie per product is nodig. Maar wat is een 'veiligheidscomponent' in de zin van deze regelgeving?

Moet ik nu al iets doen als de AI Act-deadline pas in 2028 ligt? 

Ja. De CRA-meldplicht geldt al, de Machineverordening volgt in januari 2027 en ontwerpkeuzes zijn later moeilijk terug te draaien.

Geldt de CRA ook voor industriële machines? 

Ja, als de machine digitale elementen bevat en een data- of netwerkverbinding heeft.

Van wie zijn de data die mijn machine verzamelt? 

Onder de Data Act heeft de gebruiker recht op toegang tot product- en gebruiksdata. Als fabrikant kunt u die data niet meer exclusief voor uzelf houden. "Eigendom" van data is juridisch niet mogelijk. En dus komt veel aan op contracten.