95% van de bedrijven overtreedt een AI-wet waarvan de meesten het bestaan niet kennen
Ik zat begin januari in een gesprek met een Fortune 500-CHRO – Chief Human Resources Officer – toen ze iets zei waardoor ik midden in een zin stilviel.
„Ons juridische team heeft ons verteld dat het veiliger is om de wet simpelweg niet na te leven.”
Ze was niet roekeloos. Ze was rationeel. Haar bedrijf gebruikt een AI-gestuurde screeningtool voor werving in New York City, wat betekent dat ze onder Local Law 144 vallen – een regeling die bedrijven verplicht om bias-audits openbaar te publiceren voor elke geautomatiseerde tool die helpt bij het nemen van personeelsbeslissingen. Haar advocaten hadden de rekensom gemaakt: de boete voor niet-naleving bedroeg 500 tot 1.500 dollar per overtreding. De straf voor naleving – het daadwerkelijk publiceren van de bias-audit – betekende dat advocaten van eisers een statistisch draaiboek kregen voor een rechtszaak wegens discriminatie.
Dat gesprek bracht iets op scherp waar ik al maanden omheen cirkelde. We hebben geen probleem met AI-ethiek. We hebben een probleem met AI-architectuur. En de audit van december 2025 door de New York State Comptroller heeft dat zojuist bewezen.
De audit die de illusie doorbrak
Op 2 december 2025 publiceerde New York State Comptroller Tom DiNapoli een audit over hoe het Department of Consumer and Worker Protection (DCWP) van New York City Local Law 144 had gehandhaafd. De resultaten waren vernietigend.
De controleurs van de stad zelf hadden naar 32 werkgevers gekeken en precies één geval van mogelijke niet-naleving gevonden. De accountants van de staat onderzochten dezelfde 32 bedrijven met strengere technische methoden. Zij troffen 17 overtredingen aan.
Dat is geen afrondingsfout. Dat is een kloof van 1.600% tussen wat de stad opmerkte en wat er daadwerkelijk gebeurde.
Ik herinner me dat ik het auditrapport om 23.00 uur op mijn laptop las, door de bevindingen scrolde en een mix van genoegdoening en bezorgdheid voelde. Genoegdoening omdat dit precies het soort falen was waar we onze klanten voor hadden gewaarschuwd – oppervlakkige AI-compliance die onder echte controle bezwijkt. Bezorgdheid omdat de omvang van het probleem erger was dan zelfs ik had verwacht.
Wanneer de stad 1 overtreding vindt en de staat 17 in dezelfde steekproef, dan is dat geen handhavingskloof – het is een handhavingsfictie.
De audit bracht iets aan het licht dat bijna lachwekkend gebrekkig was: 75% van de testoproepen naar de 311-hotline van de stad over AI-wervingskwesties werd verkeerd gerouteerd en bereikte het DCWP nooit. Het agentschap gaf toe dat het de technische expertise ontbeerde om te beoordelen of bedrijven daadwerkelijk geautomatiseerde besluitvormingstools gebruikten. Ze hebben niet één keer overlegd met het stads eigen Office of Technology and Innovation. Het hele handhavingsapparaat was functioneel gezien een potemkindorp.
Waarom de meeste bedrijven voor stilte kozen
Hier wordt het nog erger. Een studie van Cornell University, Data & Society en Consumer Reports onderzocht 391 werkgevers die onder Local Law 144 vallen. Daarvan hadden slechts 18 de vereiste bias-audits gepubliceerd. Slechts 13 hadden transparantiekennisgevingen geplaatst.
Dat betekent dat ongeveer 95% van de betrokken werkgevers de wet simpelweg negeerde.
Mijn team en ik hebben een week besteed aan het doornemen van die studie, waarbij we de bevindingen vergeleken met wat we wisten over de AI-tools die deze bedrijven gebruikten. We hadden een doorlopende discussie op kantoor over de vraag of dit massale nalatigheid was of iets meer berekends. Mijn CTO dacht dat het gemakzucht was – bedrijven waren er simpelweg nog niet aan toegekomen. Ik was het daar niet mee eens.
Ik denk dat de meeste van deze bedrijven de audits intern hebben uitgevoerd, de cijfers zagen en in paniek raakten.
De reden is structureel. Local Law 144 vereist dat u „impact ratios” publiceert – in wezen vergelijkt u de selectiepercentages van verschillende demografische groepen en controleert u of deze voldoen aan de vier-vijfdenregel van de EEOC. Als uw tool mannen selecteert met een percentage van 60% en vrouwen met 40%, is dat een verhouding van 0,67 – onder de drempel van 0,80 die wijst op een potentiële ongerechtvaardigde benadeling (disparate impact).
Het probleem? De meeste AI-wervingstools die zijn gebouwd op algemene taalmodellen zullen voor deze test zakken. Niet omdat ze kwaadwillig bevooroordeeld zijn, maar omdat ze zijn getraind op data op internetschaal die decennia aan maatschappelijke vooroordelen weerspiegelen. Wanneer u de cijfers eerlijk doorrekent, komt de bias naar voren. En wanneer u die cijfers publiceert, heeft u een juridisch bewijsstuk gecreëerd.
Die CHRO die ik sprak, was niet cynisch. Ze beschreef de rationele reactie op een systeem waarin de tools zelf bewijs van discriminatie genereren zodra u ze controleert.
Wat er gebeurt als u AI bouwt op onderbuikgevoel
Ik moet iets uitleggen over hoe de meeste enterprise-AI vandaag de dag feitelijk werkt, want dat is de wortel van deze hele crisis.
Het dominante model in de markt op dit moment is wat ik de „Wrapper Economy” noem. Een consultancybureau neemt een basismodel – GPT-4, Claude, Gemini –, wikkelt er een dunne laag van aangepaste prompts en API-aanroepen omheen en verkoopt het als oplossing aan een onderneming. CV-screening, schadeverwerking, risicobeoordeling – de wrapper verzorgt de interface, maar het denkwerk gebeurt binnen een model dat niemand binnen de onderneming controleert, controleert of volledig begrijpt.
Deze modellen werken door het statistisch meest waarschijnlijke volgende woord in een reeks te voorspellen. Ze opereren op wat ik semantische aannemelijkheid zou noemen – wat juist klinkt –, niet op forensische realiteit – wat daadwerkelijk juist is.
Ik heb dit met vallen en opstaan geleerd. Vroeg in het bestaan van Veriprajna, voordat we ons volledig aan onze huidige architectuur hadden verbonden, deden we een test waarbij we een toonaangevend LLM vroegen om een reeks cv's te beoordelen terwijl het „gender negeerde”. Het discrimineerde nog steeds. Niet openlijk – het markeerde „vrouwelijk” niet als een minpunt. Maar het bevoordeelde systematisch cv's die bepaalde universiteiten vermeldden, bepaalde zinsconstructies gebruikten en bepaalde buitenschoolse activiteiten noemden – die in de trainingsdata van het model allemaal statistisch gecorreleerd waren met gender.
Een LLM vertellen om „gender te negeren” is hetzelfde als iemand vertellen niet aan roze olifanten te denken. De correlaties zitten ingebakken in de gewichten. U kunt zich met prompts niet uit structurele vooroordelen redden.
Wanneer Colorado of de EU u vraagt om uit te leggen waarom uw AI een nadelige beslissing heeft genomen, kan een wrappersysteem u alleen een verhaal achteraf bieden – een plausibel klinkend narratief over waarom het denkt dat het heeft besloten wat het heeft besloten. Dat is geen uitleg. Dat is een hallucinatie over het eigen redeneren. Ik heb uitgebreid over dit probleem geschreven in de interactieve versie van ons onderzoek, waarin we toelichten hoe deze „auditabiliteitskloof” uitpakt binnen verschillende regelgevingskaders.
Het compliance-trilemma waar niemand over praat
Dit is wat me 's nachts wakker houdt: het gaat niet langer alleen om New York.
Tegen medio 2026 zullen bedrijven die in meerdere Amerikaanse staten en in Europa actief zijn, te maken krijgen met ten minste vier overlappende – en technisch tegenstrijdige – AI-regelgevingen:
Local Law 144 van New York City eist dat u intersectionele bias-statistieken publiceert, uitgesplitst naar ras en geslacht. Colorado's SB 24-205, van kracht vanaf juni 2026, vereist een bredere norm van „redelijke zorgvuldigheid” en verplichte melding aan de procureur-generaal als u algoritmische discriminatie ontdekt. Illinois HB 3773 verbiedt het gebruik van postcodes als proxies voor beschermde klassen – een techniek waar veel tools voor bias-mitigatie juist op leunen. En de Europese AI-verordening (EU AI Act) vereist gedetailleerde documentatie over de herkomst van trainingsdata en „conformiteitsbeoordelingen” voor hoogrisicosystemen.
Dit zijn niet zomaar verschillende regels. Ze zijn op bepaalde punten architectonisch incompatibel.
Een datamaskeringstechniek die u gebruikt om te voldoen aan het postcodeverbod in Illinois, kan de door de EU vereiste representativiteit van data tenietdoen. Een bias-audit die voldoet aan het New Yorkse kader voor ras en geslacht, kan falen volgens de norm van Colorado als deze niet ook rekening houdt met leeftijd en arbeidsbeperking. En geen van deze kaders accepteert „we hebben GPT-4 gebruikt en enkele vangrails toegevoegd” als een conformiteitsbeoordeling.
Een investeerder zei me vorig jaar: „Gebruik gewoon GPT en zet er een compliancelaag bovenop.” Ik vroeg hem: Welke compliancelaag? Voor welke jurisdictie? Getest aan welke metrieken? Hij had geen antwoord, omdat dat er simpelweg niet is. U kunt compliance niet vastschroeven op een systeem dat nooit is ontworpen om auditeerbaar te zijn.
Wat we in plaats daarvan daadwerkelijk bouwen
Bij Veriprajna hebben we al vroeg een gok gewaagd die destijds eenzaam aanvoelde: we hebben het wrappermodel volledig verworpen. Geen dunne API-lagen. Geen prompt-engineering-als-product. In plaats daarvan bouwen we wat ik Deep AI noem – systemen die vanaf de grond af zijn ontworpen voor determinisme, traceerbaarheid en soevereine controle.
Het kernidee is een neuro-symbolische architectuur – een systeem dat de „stem” scheidt van het „brein”. Het neurale netwerk verzorgt patroonherkenning: het lezen van cv's, het ontleden van documenten, het identificeren van relevante kenmerken. Maar elke beslissing passeert een symbolische logica-laag – hard gecodeerde regels die zijn afgeleid van daadwerkelijke wetgeving, industriële ontologieën en domeinrestricties – voordat deze de gebruiker bereikt.
Wanneer Illinois zegt dat u geen postcodes mag gebruiken als proxy voor ras, probeert onze symbolische laag dit niet simpelweg te vermijden. Het blokkeert het, deterministisch, en legt exact vast welke regel is geactiveerd en waarom. Wanneer een toezichthouder om uitleg vraagt, genereren we geen plausibel verhaal. We leveren een traceerbare logische keten van invoer tot uitvoer.
Het verschil tussen een wrapper en Deep AI is het verschil tussen „het model zei het” en „hier is de exacte regel, de exacte invoer en het exacte logische pad dat tot deze beslissing heeft geleid”.
We staan ook op wat we soevereine infrastructuur noemen – het implementeren van modellen op de eigen cloud van de klant, zonder gevoelige data via openbare API's te sturen. Wanneer u personeelsdossiers of kandidaat-informatie naar een externe API stuurt, kan die data worden gelogd, opgenomen in toekomstige trainingsruns of worden blootgesteld via beveiligingslekken waar u geen zicht op hebt. Voor een bedrijf dat onderworpen is aan de AVG (GDPR), CCPA en nu deze AI-specifieke regelgeving, is dat een onaanvaardbaar risico.
Voor het volledige technische overzicht van hoe deze architecturen werken – de op grafen gebaseerde traceerbaarheid, de op fysica geïnspireerde verificatielagen, de edge-native implementatiemodellen – verwijs ik u naar ons gedetailleerde onderzoeksrapport. De techniek is diepgaand, maar het principe is eenvoudig: elke uitvoer moet bewijsbaar correct zijn, niet waarschijnlijk correct.
„Maar is dit geen overkill?”
Mensen vragen me dit voortdurend. Meestal is het iemand die voor het wrappermodel is gevallen en denkt dat ik de zaken overcompliceer.
Hier is mijn antwoord: de New York State Comptroller heeft zojuist aangetoond dat zelfs een welwillende toezichtstoets – uitgevoerd door het agentschap van de stad zelf – met een foutmarge van 1.600% opereerde. De staatsaccountants troffen 17 overtredingen aan waar de stad er slechts 1 vond. En dat bij een steekproef van slechts 32 bedrijven.
Wat gebeurt er als de procureur-generaal van Colorado begint te onderzoeken? Wat gebeurt er als de EU begint met haar conformiteitsbeoordelingen? Wat gebeurt er als de advocaat van een eiser de besluitvormingslogboeken van uw model opvraagt en ontdekt dat uw „bias-mitigatie” bestond uit een systeemprompt met de tekst „wees alsjeblieft eerlijk”?
Dit is geen hypothese. De audit van de Comptroller adviseerde expliciet om over te stappen van passieve, klachtgestuurde handhaving naar proactief, onderzoeksgestuurd toezicht. Het DCWP stemde ermee in deze aanbeveling over te nemen. Het tijdperk van „niemand controleert het” is voorbij.
Er is nog een tegenwerping die ik vaak hoor: „We wachten gewoon tot de regelgeving is uitgekristalliseerd voordat we investeren.” Ik begrijp die impuls. Maar uit het onderzoek van Cornell bleek dat de bedrijven die wachtten – de 95% die niet voldeed – nu op een groeiende berg juridische risico's zitten zonder enige infrastructuur om die aan te pakken. Wanneer de handhaving toeneemt, hebben ze geen maanden meer om conforme systemen te bouwen. Ze hebben dan nog maar enkele weken.
De nacht waarin de cijfers mijn mening veranderden
Ik wil een moment delen dat mijn kijk op dit probleem fundamenteel heeft veranderd.
Ongeveer acht maanden geleden voerden we een proof-of-concept uit voor een klant in de financiële dienstverlening. Ze wilden testen of hun bestaande AI-screeningtool – een product van een bekende leverancier, gebouwd op een toonaangevend LLM – kon slagen voor een gesimuleerde LL144-audit. Mijn team zette de test op, berekende de impact ratios en stuurde me de resultaten rond 21.00 uur.
Ik had marginale afwijkingen verwacht – verhoudingen van 0,75 of 0,78, dichtbij genoeg om met enige herkalibratie te worden opgelost. In plaats daarvan vonden we impact ratios tot wel 0,58 voor bepaalde intersectionele categorieën. Niet in de buurt van de drempelwaarde. Niet op te lossen met prompt-tuning. Structureel, fundamenteel bevooroordeeld op manieren die onzichtbaar waren voor de mensen die de tool dagelijks gebruikten.
Ik zat in mijn werkkamer naar die cijfers te staren en besefte iets waar de hele sector mee geconfronteerd moet worden: de tools die de meeste bedrijven momenteel gebruiken, zouden zakken voor hun eigen bias-audits. Het niet-nalevingspercentage van 95% gaat er niet alleen over dat bedrijven de wet negeren. Het gaat over bedrijven die zagen wat naleving aan het licht zou brengen en besloten dat ze het liever niet wilden weten.
Dat is geen regelgevend probleem. Dat is een technisch falen.
Waar dit nu naartoe gaat
De audit van december 2025 is niet het einde van de groeipijnen van AI-regelgeving. Het is het begin van haar volwassenwording. Toezichthouders leren van hun fouten. De volgende generatie handhaving zal niet leunen op 311-hotlines en zelfgerapporteerde verklaringen. Het zal forensische tools gebruiken om te onderzoeken wat uw AI daadwerkelijk doet – niet wat uw complianceteam zegt dat het doet.
Voor ondernemingen betekent dit dat het venster voor het maken van architectuurbeslissingen zich sluit. U kunt determinisme niet achteraf inbouwen in een probabilistisch systeem. U kunt auditeerbaarheid niet vastschroeven op een black box. U kunt niet voldoen aan vier tegenstrijdige rechtsgebieden met één enkele prompt-template.
De bedrijven die in 2026 en daarna zullen gedijen, zijn degene die nu de moeilijkere keuze maken: systemen bouwen waarin elke beslissing een traceerbare, auditeerbare en verdedigbare logische keten heeft. Niet omdat het gemakkelijk is. Niet omdat het goedkoop is. Maar omdat het de enige architectuur is die standhoudt bij contact met een toezichthouder die echt weet waar hij naar moet zoeken.
Het tijdperk van AI gebouwd op onderbuikgevoel is voorbij. Wat ervoor in de plaats komt, wordt gedefinieerd door bedrijven die bereid zijn zekerheid in te bouwen in systemen die de rest van de sector op waarschijnlijkheid heeft gebouwd.
De CHRO met wie ik in januari sprak, belde me vorige week terug. Haar juridische team had de audit van de Comptroller gelezen. Ze adviseerden niet langer om de wet te negeren. Ze vroegen hoe snel we konden implementeren.
