Over iets minder dan vier maanden treedt het hoog-risico-deel van de EU AI Act in werking. Op 2 augustus 2026 om precies te zijn. En juist onderwijsinstellingen staan in die categorie, voor zover zij AI gebruiken bij toetsing, toelating of beoordeling. Een rondgang langs de dertien universiteiten in Nederland laat zien dat maar vijf van hen een publiek toegankelijk en volledig AI-beleid hebben. De rest werkt nog aan iets, of niet.
Dat is geen detail. Vanaf februari 2025 is AI-geletterdheid training voor personeel al wettelijk verplicht. Vanaf augustus komen de hoog-risico-eisen voor systemen zelf. Wie dan nog met een concept-notitie zit, is simpelweg te laat.
Wie loopt voorop, wie loopt achter
Uit onderzoek van Relaible blijkt dat Universiteit Twente het meest uitgewerkte resource-portaal heeft. Studenten en docenten vinden er uitleg over verantwoord gebruik, beschikbare tools, en regels rond toetsing. Ook Universiteit Leiden en Utrecht University scoren goed, met UU als enige die expliciet een high-risk AI-categorisatie hanteert, direct aansluitend op de EU-terminologie.
De VU Amsterdam kondigde vorig jaar een nieuw raamwerk aan voor generatieve AI in onderwijs, goedgekeurd door het college van bestuur. Dat document biedt faculteiten richtlijnen voor hun eigen beleid, maar laat de invulling aan de faculteit over. Dat is pragmatisch, maar maakt toezicht ingewikkeld.
De andere acht universiteiten hebben interne documenten, losse mails aan docenten, en soms een pagina op intranet. Publieke beleidskaders die studenten of externe stakeholders kunnen raadplegen? Zelden.
Wat staat er op het spel
De AI Act kent vier risicocategorieën. Unacceptable risk is verboden, denk aan social scoring. High risk is toegestaan maar alleen onder strikte voorwaarden. Daaronder valt volgens Annex III van de Act onder andere AI voor student-toelating, beoordeling van examens, en toewijzing van onderwijsprogramma's.
Praktisch betekent dat: als je universiteit een AI-tool gebruikt om essays automatisch te scoren, of om te voorspellen wie kans heeft op studievertraging en daar interventies aan koppelt, dan ben je high-risk operator. Dat brengt verplichtingen mee. Risicoanalyse, data-governance, menselijke oversight, transparantie richting student, logging, en een conformiteitsbeoordeling.
Dit is geen formaliteit. Het is dezelfde categorie waar Anthropic voor werkt met zijn veiligheidsvangnetten. Alleen bij onderwijs ligt de verantwoordelijkheid bij de instelling, niet bij het AI-bedrijf.
Studenten lopen voor, instellingen lopen achter
Tegelijkertijd laat onderzoek van de Review of Artificial Intelligence in Education zien dat studenten en docenten AI massaal gebruiken. Vooral voor praktische ondersteuning: tekst-generatie, redigeren, les-voorbereiding. Beide groepen melden hogere efficiency en kwaliteit. Maar beide groepen maken zich zorgen over betrouwbaarheid en ethiek van AI-output.
Het paradoxale is: studenten gebruiken tools die hun universiteit nog niet eens geformaliseerd heeft. Dat geeft een schaduw-AI-gebruik. De tool is actief, de policy loopt achter, en de student weet niet zeker wat wel en niet mag. Dat is precies het soort onduidelijkheid dat tot conflicten leidt in toetsweken.
Wat elke universiteit nu zou moeten doen
Er zijn vier stappen die eigenlijk geen uitstel meer verdragen, zeker niet met de AI Act-deadline in augustus:
- Een AI-register opzetten. Breng alle gebruikte en geteste AI-systemen in kaart, wie verantwoordelijk is, welke data erin gaat, welke risico-classificatie ze hebben.
- AI-geletterdheid operationaliseren. Niet alleen een uurtje module, maar gerichte training per functiegroep. Een tentamencoördinator heeft andere kennis nodig dan een docent of beleidsmedewerker.
- DPIA's voor high-risk tools. Elke tool die in de Annex III-categorie valt krijgt een data protection impact assessment, inclusief waar de persoonsgegevens terecht komen. Zie ook mijn eerdere stuk over persoonsgegevens en AI.
- Publiek toegankelijk beleid. Niet op intranet, niet verstopt achter een login. Studenten moeten weten wat is toegestaan, docenten weten wat ze mogen vragen.
Een voorzichtige positieve noot
Het is niet allemaal kommer en kwel. Het UU-beleidsportaal toont dat gestructureerd nadenken over AI-compliance wel degelijk kan binnen een universitaire context. Twente's resource-hub laat zien dat onderwijs-oriëntatie en compliance elkaar kunnen versterken in plaats van uitsluiten.
De vraag is of de andere acht universiteiten hun beleid nog op tijd klaar krijgen. Augustus komt sneller dan iedereen denkt. En toezichthouders zullen de eerste maanden streng kijken, juist omdat onderwijs zo'n zichtbare sector is. Een incident waarbij een student onterecht wordt afgewezen op basis van een ongetoetste AI-voorspelling kan het nieuws halen op een manier die jaren nazweemt.
De deadline dicteert het tempo
Universiteiten hebben een unieke dubbelrol. Ze leren studenten hoe AI werkt, ze onderzoeken ethische kaders ervoor, en ze moeten tegelijk binnen diezelfde kaders opereren. Dat lukt alleen als de bestuurlijke laag net zo hard loopt als de onderzoekslaag. Het goede nieuws: er zijn genoeg blauwdrukken beschikbaar. Het slechte nieuws: zonder iemand met mandaat en tempo blijft beleid hangen in consultatierondes. En die zijn nu op.
