De AI Act geldt voor elke organisatie die AI ontwikkelt of gebruikt, dus ook voor het mkb. Je verplichtingen hangen niet af van de grootte van je organisatie. Ze hangen af van wat je AI-toepassing doet en welke rol jullie zelf hebben. Voor de meeste toepassingen gaat het om AI-kennis bij medewerkers, open zijn tegenover klanten en weten welke systemen jullie gebruiken. Een zwaar compliancetraject is daar meestal niet voor nodig.
De AI Act in het kort
De AI Act (Verordening (EU) 2024/1689) is de Europese wet die AI-systemen indeelt naar risico. Hoe groter het risico voor mensen, hoe zwaarder de eisen. Een chatbot op je website moet vooral laten weten dat hij AI is. Een systeem dat sollicitanten selecteert, krijgt strenge eisen. Een paar toepassingen zijn helemaal verboden.
Het risico van de toepassing bepaalt wat je moet doen
De verordening kent vier risiconiveaus. Elke AI-toepassing in jullie organisatie valt in een van deze niveaus:
- Verboden: AI die mensen manipuleert, social scoring of realtime gezichtsherkenning in openbare ruimtes. Dit is al verboden sinds februari 2025.
- Hoog risico: zelfstandige systemen zoals cv-screening, kredietscoring, onderwijsbeoordeling en bepaalde biometrische toepassingen. Daarnaast AI die als veiligheidsonderdeel in gereguleerde producten zit, zoals medische hulpmiddelen en machines.
- Transparantierisico: systemen die rechtstreeks met mensen praten of content maken, zoals chatbots en beeldgeneratoren.
- Minimaal risico: de meeste zakelijke toepassingen, zoals documentverwerking, spamfilters of interne zoekfuncties. Voor deze groep stelt de AI Act geen eigen eisen. De AVG blijft natuurlijk wel gelden.
Je rol telt net zo zwaar als het risico
Naast het risico kijkt de AI Act naar je rol. Een aanbieder ontwikkelt een AI-systeem, of laat het ontwikkelen, en brengt het onder eigen naam op de markt of in gebruik. Een gebruiksverantwoordelijke (in het Engels de deployer) zet het systeem in binnen de eigen organisatie. Gebruiksverantwoordelijke zijn in plaats van aanbieder scheelt het grootste deel van je verplichtingen.
Bij maatwerk is dit verschil belangrijk. Laten jullie een AI-toepassing bouwen en zetten jullie die onder eigen naam in, dan kunnen jullie juridisch als aanbieder gelden, ook als een softwarepartner de code schrijft. Leg daarom per toepassing vast wie welke rol heeft. Gebruiken jullie alleen een standaardtool zoals Copilot, dan zijn jullie in de regel gebruiksverantwoordelijke.
Wat sinds 2026 geldt en wat later komt
De AI Act gaat in fases in. Het tijdschema is in 2026 aangepast. Met de Digital Omnibus (Verordening (EU) 2026/1744, van kracht sinds 27 juli 2026) heeft de EU de verplichtingen voor hoog-risico-AI uitgesteld. Zo ziet het schema er nu uit:
- Sinds 2 februari 2025: het verbod op bepaalde AI-praktijken en de plicht om te zorgen voor AI-geletterdheid (artikel 4). Na de Omnibus is artikel 4 een inspanningsverplichting. Jullie moeten je dus naar beste vermogen inspannen om medewerkers die met AI werken voldoende kennis te geven.
- Sinds 2 augustus 2026: de transparantieplicht uit artikel 50. Aanbieders moeten AI-systemen die direct met mensen praten zo ontwerpen dat de gebruiker weet dat hij met AI communiceert. Draaide een systeem al vóór die datum? Dan hebben aanbieders tot 2 december 2026 om specifiek aan de markeringsplicht te voldoen, dus om gegenereerde content machineleesbaar als AI te markeren.
- 2 december 2027: de verplichtingen voor hoog-risico-AI-systemen uit Annex III gaan in (eerder was dat 2 augustus 2026).
- 2 augustus 2028: de eisen voor hoog-risico-AI in gereguleerde producten (Annex I).
Het uitstel geldt alleen voor hoog-risico-AI. De transparantieplicht en de AI-geletterdheid gelden dus al. Wil je weten hoe regelgeving past in de rest van een AI-traject? Lees dan ons overzicht over AI-implementatie in organisaties, van eerste idee tot werkende toepassing.
Een voorbeeld: drie AI-toepassingen langs de AI Act
De verordening wordt een stuk concreter als je haar op je eigen toepassingen legt. Stel dat een ledenorganisatie met 80 medewerkers drie AI-toepassingen heeft of wil hebben:
- Documentverwerking die gegevens uit binnenkomende formulieren en facturen haalt en die als voorstel klaarzet voor een medewerker.
- Een chatbot op de website die leden helpt met vragen over contributie en lidmaatschap.
- Een tool die sollicitaties voorsorteert voor de afdeling HR.
De organisatie zet elke toepassing in een eenvoudig register. Dat kun je als sjabloon overnemen:
| Toepassing | Rol | Risiconiveau | Wat regelen |
|---|---|---|---|
| Documentverwerking | Aanbieder (maatwerk onder eigen naam) | Minimaal | AVG-toets, verwerkersovereenkomst, controle door een medewerker, uitleg aan het team |
| Chatbot voor leden | Aanbieder of gebruiksverantwoordelijke | Transparantie | Bij het eerste contact melden dat het om AI gaat, de melding toegankelijk maken, een route naar een mens |
| Sollicitaties voorsorteren | Meestal gebruiksverantwoordelijke | Hoog (Annex III) | Leverancier toetsen, menselijk toezicht inrichten, voorbereiden op de eisen van december 2027 |
Het register laat zien waar het werk zit. De documentverwerking valt onder minimaal risico. Daar zit de zorg vooral in privacy en kwaliteit, niet in de AI Act. Voor de chatbot geldt dat de melding duidelijk en herkenbaar moet zijn, uiterlijk bij de eerste interactie. Voor organisaties met hoge eisen aan toegankelijkheid betekent dat ook dat de melding voldoet aan WCAG.
De wervingstool vraagt de meeste aandacht. Toch is ook die beslissing nuchter te nemen. Misschien levert het voorsorteren van sollicitaties weinig tijd op vergeleken met de verplichtingen die erbij horen. Dan is het eerlijke advies om die toepassing nu niet in te voeren en eerst te beginnen bij de documentverwerking. Daar zitten veel herhaling, een makkelijk te controleren uitkomst en weinig regeldruk.
Vul voor je eigen register per toepassing ook in welke data erin gaat, wie de uitkomst controleert en wie eigenaar is. Die drie vragen zijn vaak lastiger te beantwoorden dan de risicoklasse. Hoe je de data daarvoor op orde brengt, lees je in de checklist voor AI op eigen data.
Wat je bij de bouw meteen goed regelt
Veel van wat de AI Act vraagt, wordt eenvoudiger als het vanaf het begin in de software zit. Achteraf toevoegen kost meestal meer tijd. Bij maatwerk bouwen we daarom een paar dingen vanaf de eerste sprint in:
- De mens beslist. De AI doet een voorstel en de vakspecialist neemt de beslissing. Vooraf leggen we samen criteria vast voor een goed antwoord, zodat de kwaliteit meetbaar is.
- Herleidbare antwoorden. De data blijft binnen de eigen omgeving van de klant. Per vraag gaat alleen mee wat nodig is, en het antwoord verwijst naar de bron waarop het is gebaseerd.
- Rollen en rechten, tweefactorauthenticatie en een audit trail. Deze drie richten we liefst meteen in, omdat ze moeilijk achteraf in te bouwen zijn.
Bij Letselinzicht, het platform voor letselschadeberekeningen dat we sinds 2025 samen met Helder bij Letselschade ontwikkelen, werkt het zo in de praktijk. Het systeem herkent bonnen en facturen en doet een voorstel, en de jurist houdt de controle. Audit-logs leggen vast wat er is gebeurd. Elke AI-stap levert zijn resultaat in een vast formaat aan. Daardoor kunnen we een model vervangen door een nieuwere versie zonder de rest van de applicatie aan te passen.
Daarnaast blijft de AVG gelden. Verwerkt een AI-toepassing persoonsgegevens, dan horen een verwerkersovereenkomst en een privacytoets daarbij, en soms ook een DPIA.
Veelgestelde vragen
Geldt de AI Act ook als we alleen ChatGPT of Copilot gebruiken?
Ja, maar dan beperkt. Jullie zijn dan gebruiksverantwoordelijke en moeten je vooral inspannen voor voldoende AI-kennis bij medewerkers. De meeste eisen aan het model zelf liggen bij de aanbieder van dat model.
Hoe hoog zijn de boetes voor het mkb?
Artikel 99 noemt tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet voor verboden praktijken, en tot 15 miljoen euro of 3 procent voor transparantie- en deployer-verplichtingen. Voor mkb-bedrijven geldt het laagste van die twee bedragen.
Moeten we teksten die met AI zijn geschreven labelen?
Meestal niet. De labelplicht voor AI-tekst geldt alleen voor tekst die wordt gepubliceerd om het publiek te informeren over zaken van algemeen belang. Deepfakes moeten wel altijd als zodanig herkenbaar zijn.
Is de AI Act uitgesteld?
Gedeeltelijk. Alleen de verplichtingen voor hoog-risico-AI-systemen schuiven op. Het verbod op bepaalde AI-praktijken, de AI-geletterdheid en de transparantieplicht gelden al.
Rustig in kaart brengen
De AI Act is voor de meeste organisaties goed te doen als jullie per toepassing weten welke rol jullie hebben en in welke risicoklasse de toepassing valt. Begin met het register en kies daarna een eerste toepassing met weinig risico en veel herhaling.
Wil je weten welke AI-toepassingen bij jullie kansrijk zijn, en wat daar bij de wet en in de bouw voor nodig is? Met de gratis AI-implementatiescan krijg je meteen een eerste beeld. Daarna kun je kiezen voor een AI Discovery op locatie. Lees meer over onze aanpak voor AI-implementatie op eigen bedrijfsdata, met menselijke controle.