In het kort
- Gebruik je AI-tools zoals ChatGPT, Claude of Copilot, dan ben je gebruiksverantwoordelijke. Je hebt drie plichten: je team AI-kennis laten opbouwen, geen verboden toepassingen gebruiken en AI-content labelen waar de wet dat vraagt.
- De zwaardere regels voor AI met een hoog risico, bijvoorbeeld bij het selecteren van sollicitanten, gelden pas vanaf 2 december 2027.
- Je hebt geen certificaat nodig, wel een overzicht van de AI die je gebruikt en wat je hebt gedaan om je team te ondersteunen.
Gebruik je AI-tools in plaats van ze te bouwen, dan vraagt de EU AI Act van je mkb-bedrijf minder dan de koppen doen vermoeden. De wet, in het Nederlands de AI-verordening, draait voor jou om drie plichten: AI-geletterdheid, geen verboden toepassingen en transparantie over AI-content. De rest geldt voor bedrijven die AI-systemen maken, of voor toepassingen met een hoog risico die voorlopig zijn uitgesteld.
Veel ondernemers weten dat nog niet. In een KVK-onderzoek van juni 2025 onder 651 ondernemers zei ongeveer de helft de AI Act niet te kennen, en 4 op de 10 wisten niet of de wet voor hen gold (KVK, 2025).
Dit artikel is geen juridisch advies. Het is onze vertaling van de regels naar de praktijk van mkb-bedrijven. Twijfel je over je eigen situatie, vraag het dan na bij een jurist.
Wat is de EU AI Act in één alinea?
De AI Act is de Europese wet voor kunstmatige intelligentie en geldt gefaseerd. Ze deelt AI in op risico: verboden toepassingen, toepassingen met een hoog risico, toepassingen waarbij je transparant moet zijn, en de rest. Op 27 juli 2026 trad de Digital Omnibus in werking, een pakket wijzigingen dat vooral de regels voor hoog risico uitstelt (Europese Commissie, 2026). Wat dat verandert, lees je in AI Act 2026: uitstel voor hoog risico, niet voor transparantie.
Welke rol heeft jouw bedrijf onder de AI Act?
Je rol bepaalt welke regels voor jou gelden. De overheid onderscheidt twee rollen: een aanbieder maakt of laat een AI-systeem maken, een gebruiksverantwoordelijke gebruikt een bestaand systeem (Ondernemersplein).
| Situatie | Rol |
|---|---|
| Je team schrijft teksten met ChatGPT of vat mails samen met Copilot | Gebruiksverantwoordelijke |
| Je laat een chatbot bouwen en zet hem onder je eigen naam op je site | Aanbieder van dat systeem |
| Je zet je eigen naam op een AI-systeem met een hoog risico, of past het wezenlijk aan | Aanbieder van dat systeem (artikel 25) |
| Je gebruikt een AI-tool van een leverancier om sollicitanten te rangschikken | Gebruiksverantwoordelijke van een systeem met hoog risico, vanaf december 2027 |
Bij een eigen naam of een wezenlijke aanpassing van een systeem met een hoog risico word je zelf aanbieder (AI Act, artikel 25). Dat is een andere categorie verplichtingen dan een tool gebruiken. Laat in zo'n geval een jurist meekijken.
Wat moet je als mkb-bedrijf nu doen voor de AI Act?
1. Zorg dat je team genoeg AI-kennis kan opbouwen (artikel 4). Dit geldt voor aanbieders en gebruiksverantwoordelijken, ook voor contractanten en freelancers die namens jou met AI werken. Sinds de Digital Omnibus hoef je geen bepaald niveau te garanderen, maar moet je de ontwikkeling wel ondersteunen.
Een certificaat is niet nodig; een interne registratie van trainingen en andere initiatieven volstaat (Europese Commissie, 2026). Het toezicht ligt bij nationale markttoezichthouders en loopt sinds 2 augustus 2026. Hoe je dit aanpakt, lees je in AI-geletterdheid in je organisatie.
2. Gebruik geen verboden toepassingen. Sinds 2 februari 2025 zijn bepaalde toepassingen verboden (Rijksoverheid, 2025). Voor een werkgever is vooral emotieherkenning op de werkvloer relevant: software die uit gezicht of stem afleidt hoe medewerkers zich voelen, mag niet, behalve om medische of veiligheidsredenen. Daarnaast gaat het om social scoring en misleidende manipulatie. Vanaf 2 december 2026 komen er twee verboden bij: AI die intieme beelden van herkenbare personen zonder toestemming maakt, en materiaal van seksueel kindermisbruik (AI Act, artikel 5).
3. Wees transparant over AI-content (artikel 50). Sinds 2 augustus 2026 gelden vier regels:
- Een chatbot of AI-assistent moet duidelijk maken dat het AI is. Deze plicht ligt bij de aanbieder, dus ook bij jou als je een chatbot laat bouwen en inzet.
- Een deepfake, dus beeld, audio of video die lijkt op bestaande personen of gebeurtenissen en ten onrechte echt lijkt, label je als je hem publiceert.
- Tekst die het publiek informeert over zaken van algemeen belang en door AI is gemaakt, label je tenzij een mens de tekst controleert en er redactioneel verantwoordelijk voor is. Alleen spelling en grammatica laten nakijken telt niet.
- Gebruik je emotieherkenning of biometrische categorisering op een plek waar het niet verboden is, dan informeer je de mensen die eraan worden blootgesteld.
Content van vóór 2 augustus 2026 hoeft niet met terugwerkende kracht gelabeld te worden (Europese Commissie, 2026). Wanneer je wat labelt, lees je in het artikel over AI-content labelen.
Wat hoef je niet te doen?
- Geen certificaat of keurmerk voor AI-geletterdheid. Volgens de Commissie is dat niet nodig.
- Geen zware regels voor hoog risico, als je geen AI inzet voor die doelen. Het gaat om gebieden als biometrie, werk en personeelsbeheer, onderwijs en essentiële diensten (Ondernemersplein). Een team dat teksten schrijft met ChatGPT valt daar niet onder.
- Zelf geen watermerk op AI-output zetten. Het machineleesbaar markeren van gegenereerde content is een plicht voor de aanbieder van de tool, niet voor de gebruiker.
- Niet alles labelen. Een label is nodig voor deepfakes en voor AI-tekst over zaken van algemeen belang zonder redactionele controle. Een productbeschrijving of nieuwsbrief over je aanbod gaat doorgaans niet over zaken als politiek, volksgezondheid, milieu of veiligheid, de voorbeelden die de Commissie noemt.
- Boetes zijn begrensd. De maximale boete voor de meeste verplichtingen is €15 miljoen of 3% van de wereldwijde jaaromzet. Voor kleine en middelgrote bedrijven geldt de lagere van de twee (AI Act, artikel 99). Bij artikel 4 moeten sancties volgens de Commissie evenredig zijn, met aandacht voor aard en ernst van de overtreding.
Wat zijn de deadlines van de AI Act?
| Datum | Wat | Status (23 oktober 2026) |
|---|---|---|
| 2 februari 2025 | Verboden toepassingen en de plicht tot AI-geletterdheid (artikel 4) | Geldt al |
| 2 augustus 2026 | Algemene toepassing, waaronder de transparantieregels van artikel 50 | Geldt al |
| 2 december 2026 | Twee extra verboden. Uiterste datum voor het markeren van AI-output door aanbieders van systemen die al op de markt waren | Komt eraan |
| 2 december 2027 | AI met een hoog risico in toepassingen zoals werving en krediet (Annex III) | Uitgesteld |
| 2 augustus 2028 | AI met een hoog risico in producten zoals machines en speelgoed (Annex I) | Uitgesteld |
De eerste twee data zijn dus geen toekomst meer. Heb je nog niets geregeld, begin dan nu met artikel 4 en artikel 50.
Bronnen: artikel 113 en de Commissie-FAQ over artikel 50. Let op bij oudere bronnen: sommige overheidspagina's noemen nog 2 augustus 2026 of 2 augustus 2027 voor hoog risico. Dat is achterhaald door de Digital Omnibus.
In Nederland ligt het toezicht nog niet definitief vast. Het kabinet bracht op 20 april 2026 een voorstel voor een uitvoeringswet in consultatie, waarin bestaande toezichthouders binnen hun eigen domein toezicht houden en de Autoriteit Persoonsgegevens en de RDI coördineren (Rijksoverheid, 2026). Controleer de actuele stand voordat je erop bouwt.
Wat kun je morgen doen?
- Maak een lijst van de AI die je gebruikt. Tool, waarvoor, met welke data en wie ermee werkt. Vraag het ook na bij teams die zelf tools hebben aangezet.
- Controleer op verboden toepassingen. Zit er software bij die emoties van medewerkers afleidt, of mensen scoort op gedrag?
- Spreek af wanneer jullie AI-content labelen en wie AI-teksten controleert. Eén zin in je richtlijnen is een goed begin.
- Kies wie het onderwerp bij jullie beheert. Bij een eigenaar blijft het niet liggen bij één enthousiaste collega.
- Plan hoe je team leert. Begin met een basis voor iedereen en verdiep per rol.
Hoe helpen onze workshops hierbij?
In onze workshops leert je team werken met AI-tools als ChatGPT, Copilot, Gemini of Claude. We stemmen de oefeningen af op de tool die jullie gebruiken. Een goed startpunt is Starten met AI; voor het MT is er de sessie AI introduceren in je organisatie.
Elke deelnemer krijgt een deelnamebevestiging en jij krijgt een deelnemerslijst. Samen met de datum en de inhoud van de sessie is dat een onderdeel van je interne registratie, zoals de Commissie die noemt. Het is geen certificaat dat de wet eist, en het bewijst niet in zijn eentje dat je aan artikel 4 voldoet: daarvoor telt ook welke AI je gebruikt, wie welke kennis nodig heeft en wat je afspreekt. Hoe je dat dossier opbouwt, lees je in AI-geletterdheid in je organisatie.
Wil je dat je team dit kan? Bekijk de training AI-geletterdheid.
Bronnen
- Europese Commissie (27 juli 2026), AI Omnibus enters into force
- Europese Commissie, AI Literacy: Questions & Answers
- Europese Commissie (bijgewerkt 24 juli 2026), Transparency obligations under Article 50 of the AI Act
- Verordening (EU) 2024/1689 in de versie na de Digital Omnibus, via de AI Act Service Desk: artikel 5, artikel 25, artikel 99, artikel 113
- Ondernemersplein, Regels voor het werken met veilige AI
- Rijksoverheid (3 februari 2025), Europese verboden op ongewenste AI-toepassingen ingegaan
- Rijksoverheid (20 april 2026), Kabinet zet stap met toezicht op Europese AI-regels
- KVK (11 september 2025), KVK onderzoek: ondernemers zetten nauwelijks stappen rond Europese AI-wetgeving
