Boetes voor AI washing zijn hier: is uw AI-claim de volgende?

Het probleem

De SEC heeft twee beleggingsondernemingen samen $400,000 aan boetes opgelegd omdat zij over hun AI gelogen hadden. Niet omdat ze slechte AI bouwden. Maar omdat ze beweerden AI te hebben die ze nooit daadwerkelijk hadden gebouwd.

In maart 2024 klaagde de SEC Delphia (USA) Inc. en Global Predictions Inc. aan wegens het afleggen van valse verklaringen over hun gebruik van kunstmatige intelligentie. Delphia vertelde klanten dat het een "voorspellend algoritmisch model" gebruikte dat bestedingspatronen en socialmediagegevens analyseerde om "te voorspellen welke bedrijven en trends op het punt staan door te breken." De examinateurs van de SEC ontdekten dat Delphia die gegevens nooit daadwerkelijk in zijn beleggingsproces had geïntegreerd. Het bedrijf bleef deze claims maken van 2019 tot 2023 — zelfs nadat de SEC hen er in 2021 had gewaarschuwd ermee te stoppen.

Global Predictions noemde zichzelf de "eerste gereguleerde AI-financieel adviseur." Toen toezichthouders technische documentatie vroegen om die bewering te onderbouwen, kon het bedrijf die niet overleggen. Delphia betaalde $225,000. Global Predictions betaalde $175,000.

Dit waren geen ingewikkelde fraudeconstructies. Het waren marketingclaims die voorliepen op de technische realiteit. En ze vertegenwoordigen een nieuwe categorie ondernemingsrisico waar uw juridische en complianceteams nu van op de hoogte moeten zijn. Als uw bedrijf ergens zegt "aangedreven door AI" — op uw website, in beleggersmateriaal, in klantpitches — dan loopt u bloot aan exact hetzelfde handhavingsrisico. De SEC gebruikte bestaande antifraudewetgeving, geen nieuwe AI-specifieke regels. Dat betekent dat het juridische kader om uw bedrijf te bestraffen er vandaag al is.

Waarom dit belangrijk is voor uw bedrijf

De $400,000 aan SEC-boetes was slechts het openingsgeschut. Meerdere federale agentschappen zoeken nu actief naar AI-claims die ze kunnen aanvechten.

De FTC lanceerde "Operation AI Comply" om misleidende AI-claims in de consumenteneconomie aan te pakken. In januari 2025 sloot de FTC DoNotPay — een dienst die zichzelf op de markt bracht als "de eerste robotadvocaat ter wereld" — omdat het bedrijf niet kon aantonen dat zijn AI daadwerkelijk een menselijke advocaat kon vervangen. De FTC ging ook achter Evolv Technologies aan wegens vermeende misrepresentatie van hoe goed de AI-sensoren wapens in scholen konden detecteren.

Het Ministerie van Justitie kondigde zijn "Justice AI"-initiatief aan. Federale aanklagers zullen nu beoordelen in hoeverre uw bedrijf AI-risico's kan beheersen als onderdeel van corporate compliance-beoordelingen. Hun is opgedragen zwaardere straffen te eisen wanneer AI wordt gebruikt om witteboordencriminaliteit mogelijk te maken.

Hier is wat dit betekent voor uw bedrijfsresultaten:

• Reguleringsboetes zijn de vloer, niet het plafond. De boete van $225,000 voor Delphia is klein vergeleken bij de reputatieschade en verloren omzet die volgen op een publieke handhavingsactie.
• Uw AI-leveranciers creëren uw aansprakelijkheid. De FTC heeft vastgesteld dat wanneer een AI-tool dient als "instrumentality" voor misleiding, zowel de aanbieder als de zakelijke klant verantwoordelijk gehouden kan worden.
• Attorneys general van de staten doen mee. Zij gebruiken bestaande consumentenbeschermingswetgeving om AI-marketingclaims op staatsniveau te vervolgen.
• Bestuursblootstelling is reëel. Als uw bedrijf AI-gedreven capaciteiten claimt in SEC-filings of beleggerspresentaties, dragen uw bestuurders persoonlijke aansprakelijkheid onder bestaande antifrauderegels.

Dit is geen toekomstprobleem. De handhavingsinfrastructuur is gebouwd en actief.

Wat er werkelijk onder de motorkap gebeurt

De oorzaak van AI washing is een technisch misverstand over hoe moderne AI werkelijk werkt. De meeste AI-toepassingen van vandaag — inclusief die welke uw leveranciers u mogelijk verkopen — zijn gebouwd op systemen die het meest waarschijnlijke volgende woord in een reeks voorspellen. Ze verifiëren geen feiten. Ze genereren tekst die plausibel klinkt.

Denk aan autocomplete op uw telefoon, maar dan geschaald tot de grootte van het internet. Uw telefoon weet niet of het volgende woord waar is. Het weet alleen welk woord er meestal volgt. Large Language Models (LLM's) — de AI-systemen achter tools zoals ChatGPT — werken op precies dezelfde manier, alleen met meer data en meer wiskunde. Het model heeft geen intern begrip van waarheid. Het voorspelt de meest waarschijnlijke reeks tekens op basis van patronen in zijn trainingsdata.

Daarom "hallucineren" AI-systemen — ze genereren bronvermeldingen die niet bestaan, financiële cijfers die fout zijn, of rechtspraak die nooit is gewezen. In een gereguleerde omgeving is "grotendeels correct" juridisch hetzelfde als "onjuist." Een gehallucineerde juridische verwijzing creëert actieve juridische aansprakelijkheid voor uw organisatie.

Wat dit nog erger maakt: het merendeel van de "AI-oplossingen" die tegenwoordig aan ondernemingen worden verkocht, is wat de sector "wrappers" noemt. Dit zijn toepassingen die via een API — in feite een stekker — verbinding maken met een openbare AI-dienst en daar bovenop een gebruikersinterface plaatsen. Ze zijn ontworpen om kosten te minimaliseren, vaak ten koste van de nauwkeurigheid. Ze kunnen hun eigen redenering niet verifiëren. Ze geven simpelweg door wat het onderliggende model genereert, ongeacht of het waar is. Uw bedrijf zet vervolgens zijn naam en reputatie achter die output.

Wat werkt (en wat niet)

Laten we beginnen met wat u níét beschermt:

• Prompt engineering alleen. Uw instructies aan een AI zorgvuldig formuleren voorkomt niet dat hij hallucineert. Het vermindert de frequentie maar elimineert het risico niet.
• Dunne API-wrappers. Verbinding maken met een openbaar AI-model en uw eigen branding toevoegen geeft u nul controle over nauwkeurigheid, gegevensprivacy of audit trails. Deze wrappers zijn kwetsbaar voor foutieve invoer die verkeerde uitvoer veroorzaakt — een probleem dat "retrieval poisoning" heet.
• Handmatige steekproefcontroles. Als een mens een willekeurige steekproef van AI-output nakijkt, vang je de fouten in de output die je niet hebt nagetrokken niet. Het schept een vals gevoel van veiligheid.

Wat werkelijk werkt, is een fundamenteel andere architectuur. Zo functioneert hij in drie stappen:

1. Gegronde retrieval via knowledge graphs. In plaats van de AI losjes te laten zoeken naar gerelateerde informatie, bouwt u een gestructureerde kaart van uw domeinkennis — een Knowledge Graph. In juridische AI bijvoorbeeld verwijst elke rechterlijke uitspraak via specifieke relaties zoals CITES, OVERRULES of AFFIRMS naar andere uitspraken. Het systeem kan alleen verwijzen naar wat in deze geverifieerde structuur bestaat. Dit verandert retrieval van een statistische gok in een geverifieerd pad.

2. Multi-agentverificatie. In plaats van één AI-model te vragen onderzoek te doen, te verifiëren en te schrijven, verdeelt u het werk over gespecialiseerde agenten. Een "Research Agent" haalt de ruwe data op. Een "Verification Agent" controleert die tegen uw knowledge graph. Een "Writer Agent" produceert de definitieve output met uitsluitend geverifieerde feiten. Deze agenten controleren elkaars werk in cycli voordat een mens het resultaat te zien krijgt.

3. Soevereine implementatie op uw eigen infrastructuur. Uw AI draait binnen uw eigen firewall — on-premises of in een private cloud die geïsoleerd is van het openbare internet. Dit garandeert nul datalekken. Uw intellectuele eigendom, klantgegevens en bedrijfsecrets raken externe servers nooit. Dit is verplicht voor naleving van HIPAA, GDPR en CCPA.

Het audit trail-voordeel is wat deze aanpak verdedigbaar maakt. Elke output is herleidbaar tot specifieke brondocumenten via geverifieerde links. Wanneer een toezichthouder, auditor of wederpartij vraagt "hoe is uw AI tot deze conclusie gekomen," kunt u het exacte pad tonen — van brondata, via verificatie, naar de definitieve output. Dat is het verschil tussen een systeem dat u kunt verdedigen en een systeem dat uw volgende aansprakelijkheid wordt.

Uw governancekader zou het NIST AI Risk Management Framework voor tactische risicobeheersing moeten combineren met ISO/IEC 42001 voor certificeerbare, door derden gecontroleerde compliance. ISO 42001 is de enige certificeerbare internationale norm voor AI-managementsystemen. Een externe auditor kan uw compliance verifiëren — zodat u de documentatie heeft die u nodig heeft voor inkoopbeoordelingen, bestuursrapportages en indieningen bij toezichthouders.

Bouw ten slotte een AI Bill of Materials (AIBOM) — een volledig, machineleesbaar register van elk onderdeel van uw AI-systeem. Dit omvat trainingsdatasets, basismodellen, bibliotheken van derden en infrastructuurdetails. Uw AIBOM wordt de single source of truth die bewijst dat uw AI-claims overeenkomen met uw technische realiteit. Dat is precies de documentatie die Delphia en Global Predictions niet konden overleggen toen de SEC ten tonele verscheen.