De AI Act voor het mkb: wat moet je nu doen?

De AI Act (Verordening (EU) 2024/1689, in het Nederlands de AI-verordening) geldt ook voor het mkb, maar wat de wet vraagt hangt af van je rol. Voor de meeste mkb-bedrijven is het antwoord kort: je gebruikt AI die anderen maken, dus je bent gebruiker, en je plichten zijn AI-geletterdheid, een paar transparantieregels en extra zorg als je AI ooit inzet bij sollicitaties of kredietbeslissingen.

De wet kent twee rollen. Een aanbieder ontwikkelt een AI-systeem, of laat het ontwikkelen, en brengt het onder eigen naam op de markt of in gebruik. Een gebruiksverantwoordelijke, hier kortweg gebruiker, zet een AI-systeem onder eigen gezag in. Werk je met ChatGPT, Copilot of de AI-functies in je boekhoudpakket, dan ben je gebruiker. Laat je een chatbot voor je website bouwen en draai je die onder je eigen merk, dan kun je aanbieder van die chatbot zijn.

Eén bedrijf kan beide rollen hebben. Een webshop die intern Copilot gebruikt, is gebruiker van Copilot. Verkoopt dezelfde webshop ook een app met een zelfgebouwde AI-functie, dan is hij aanbieder van die functie. Een gebruiker kan ook aanbieder worden: door zijn eigen naam op een hoog-risicosysteem te zetten, of door een systeem zo anders in te zetten dat het hoog risico wordt.

De AI Act deelt AI in naar de schade die het kan doen. Een paar praktijken zijn verboden, een vaste lijst van toepassingen is hoog risico en streng gereguleerd, AI die met mensen praat of echt ogende content maakt heeft transparantieplichten, en al het andere is minimaal risico.

Het niveau hangt af van het gebruik, niet van de tool. ChatGPT dat een nieuwsbrief opstelt, valt onder minimaal risico. Hetzelfde model dat sollicitanten rangschikt, is een hoog-risicotoepassing uit bijlage III, en vanaf 2 december 2027 heb je dan als gebruiker plichten: menselijk toezicht door iemand die er verstand van heeft, de logs bewaren en medewerkers en sollicitanten informeren. Een systeem uit bijlage III dat alleen een beperkte procedurele taak doet en de beslissing niet wezenlijk beïnvloedt, kan buiten de hoog-risicoregels vallen.

Een mkb-bedrijf komt zelden in de buurt van een verboden praktijk, met één uitzondering die je moet nagaan: software die op het werk emoties van medewerkers afleest uit gezicht of stem, is sinds 2 februari 2025 verboden, tenzij het om medische of veiligheidsredenen gebeurt.

Artikel 4 geldt sinds 2 februari 2025. In de oorspronkelijke tekst moesten aanbieders en gebruikers maatregelen nemen om "zoveel als mogelijk" te zorgen voor "een toereikend niveau van AI-geletterdheid" bij hun personeel. De Digital Omnibus on AI, Verordening (EU) 2026/1744, herschreef dat per 27 juli 2026: aanbieders en gebruikers "nemen maatregelen om de ontwikkeling van AI-geletterdheid" van hun personeel en anderen die namens hen met AI werken "te ondersteunen". En: "Deze verplichting houdt niet in dat aanbieders of gebruiksverantwoordelijken een bepaald niveau van AI-geletterdheid moeten waarborgen voor personen."

De plicht is dus zachter, maar niet verdwenen. Je moet nog steeds maatregelen nemen die passen bij de kennis van je mensen, de context waarin de tools worden gebruikt en de mensen die ermee te maken krijgen. Je wordt beoordeeld op de maatregelen die je nam, niet op de vraag of elke medewerker een vast niveau haalde. De Europese Commissie en de lidstaten moeten bedrijven, vooral het mkb, daarbij nu ondersteunen, en de Commissie publiceert praktijkvoorbeelden.

Voor een mkb-bedrijf zien redelijke maatregelen er zo uit:

• Een korte sessie voor iedereen die AI gebruikt: wat de tools wel en niet kunnen, waarom ze dingen verzinnen en welke gegevens er nooit in mogen.
• Meer diepgang voor wie met AI werk doet dat anderen raakt: wie klanten met hulp van AI te woord staat, sollicitanten beoordeelt of AI-content publiceert.
• Schriftelijke spelregels die iedereen kan vinden: welke tools zijn toegestaan, welke gegevens erbuiten blijven en wanneer een mens de output controleert.
• Een opfrissing als tools of taken veranderen, en een introductie voor elke nieuwe collega.

Artikel 50 geldt sinds 2 augustus 2026. Anders dan de hoog-risicoregels is het niet uitgesteld: de Omnibus gaf alleen makers van generatieve tools die al op de markt waren tot 2 december 2026 om hun output te markeren. Dit zijn de plichten, en wie ze draagt:

• Chatbots en spraakassistenten moeten mensen vertellen dat ze met AI te maken hebben, tenzij dat duidelijk is. Die plicht ligt bij de aanbieder: liet je een chatbot bouwen en draai je die onder je eigen naam, dan ligt die plicht bij jou (artikel 50, lid 1).
• Tools die beeld, geluid, video of tekst genereren, moeten hun output machineleesbaar markeren. Dat is de taak van de maker van de tool, niet van jou (artikel 50, lid 2).
• Gebruik je emotieherkenning of biometrische categorisering, dan moet je de mensen informeren die eraan worden blootgesteld (artikel 50, lid 3).
• Publiceer je deepfakes, echt ogende AI-beelden, -audio of -video van mensen, plaatsen of gebeurtenissen die voor echt kunnen doorgaan, dan meld je dat ze met AI zijn gemaakt. Bij duidelijk artistiek, satirisch of fictief werk volstaat een lichte vermelding (artikel 50, lid 4).
• AI-tekst die je publiceert om het publiek te informeren over zaken van algemeen belang, moet je als AI-tekst herkenbaar maken, tenzij een mens hem heeft nagekeken en iemand redactionele verantwoordelijkheid draagt (artikel 50, lid 4).

De melding moet duidelijk zijn, uiterlijk bij het eerste contact komen en toegankelijk zijn (artikel 50, lid 5). Voor een chatbot op je website betekent dat een openingsbericht als "Hoi, ik ben de AI-assistent van Bakker Installaties. Je kunt altijd om een collega vragen.", niet een zin verstopt in de privacyverklaring. Wie je chatbot ook bouwde: controleer dat hij dit doet.

Ben je een chatbot aan het plannen? Onze gids over wat een AI-chatbot voor je website kost behandelt ook privacy en deze plicht om te zeggen dat het een bot is. Via AI & automatisering bouwen we assistenten die antwoorden uit je eigen documenten, vanaf €2.500, te beginnen met een pilot op je eigen gegevens.

De AI Act trad op 1 augustus 2024 in werking en gaat stap voor stap gelden. De Digital Omnibus on AI, op 24 juli 2026 gepubliceerd in het Publicatieblad en sinds 27 juli 2026 van kracht, schoof de hoog-risicodata op en voegde twee verboden toe. De datum voor transparantie bleef staan.

In Nederland stelde het kabinet in april 2026 voor dat de Autoriteit Persoonsgegevens (AP) toezicht houdt op verboden praktijken, de transparantieplichten en de meeste hoog-risicotoepassingen. Sectortoezichthouders houden hun eigen domein, zoals de AFM en DNB voor financiële instellingen en de productinspecties voor AI in machines en medische hulpmiddelen. De Rijksinspectie Digitale Infrastructuur (RDI) wordt centraal contactpunt, en de AP en RDI coördineren samen. De uitvoeringswet die hun deze bevoegdheden geeft, lag tot 1 juni 2026 in consultatie en was bij onze controle in oktober 2026 nog niet aangenomen. Zoals het kabinet zelf schreef: een latere Nederlandse wet zet de verplichtingen niet stil, want de verordening is rechtstreeks van toepassing.

De boetes staan in artikel 99: tot €35 miljoen of 7% van de wereldwijde jaaromzet voor verboden praktijken, tot €15 miljoen of 3% voor de meeste andere plichten, waaronder transparantie- en gebruikersplichten, en tot €7,5 miljoen of 1% voor misleidende informatie aan toezichthouders. Voor mkb-bedrijven en start-ups geldt het laagste van de twee bedragen als maximum. Voor AI-geletterdheid noemt de wet geen vast boetebedrag; daarvoor stelt de nationale wet passende sancties vast.

Hiervoor heb je geen complianceafdeling nodig. Een bedrijf van vijf tot vijftig mensen werkt deze zes stappen in een paar weken af, naast het gewone werk.

Kom je bij het inventariseren AI tegen die sollicitanten selecteert, medewerkers monitort of de kredietwaardigheid van klanten beoordeelt, markeer dat dan: dat zijn hoog-risicotoepassingen met meer plichten vanaf 2 december 2027. En onthoud dat de AI Act naast de AVG staat, niet in de plaats ervan: persoonsgegevens in prompts hebben nog steeds een grondslag nodig en, bij een externe leverancier, een verwerkersovereenkomst.

Hulp nodig? Via ons IT-advies helpen we je je AI-tools in kaart te brengen en een gebruiksbeleid te schrijven dat past bij hoe je team werkt. Het eerste gesprek van 15 minuten is gratis; daarna is het €110 per uur, of een adviesproject met vaste prijs vanaf €750. Je kunt ons ook eerst een vraag over AI stellen.