Wat de AI Act betekent voor je bedrijf

De AI Act is de Europese AI-verordening: Verordening (EU) 2024/1689. In het Nederlands heet hij ook wel de AI-verordening. Hij trad in werking op 1 augustus 2024 en geldt rechtstreeks in alle lidstaten, dus zonder dat Nederland hem eerst in een eigen wet hoeft om te zetten. Wel regelt elk land zelf het toezicht en de sancties.

De wet werkt met risico's. Hoe groter het risico voor de gezondheid, veiligheid en grondrechten van mensen, hoe strenger de regels. Een spamfilter valt er nauwelijks onder. Een systeem dat beslist wie wordt uitgenodigd voor een sollicitatiegesprek wel.

De AI Act geldt voor iedereen die AI op de Europese markt brengt of in de EU gebruikt, ook als het bedrijf erachter buiten de EU zit. Hij komt naast de AVG, niet in plaats daarvan. Werk je met persoonsgegevens, dan gelden beide.

De regels gaan gefaseerd in, en in juli 2026 is de wet aangepast door de Digital Omnibus over AI (Verordening (EU) 2026/1744). Verderop staat de tijdlijn zoals die nu geldt.

De AI Act deelt AI-toepassingen in naar risico. Daarnaast zijn er aparte regels voor de grote AI-modellen zelf.

1. Onaanvaardbaar risico: verboden

Sinds 2 februari 2025 is een beperkte lijst toepassingen verboden (artikel 5). Daaronder vallen onder meer:

• Manipulatie of misleiding die mensen schade kan berokkenen
• Misbruik maken van kwetsbaarheden, bijvoorbeeld door leeftijd of een beperking
• Social scoring: mensen beoordelen op hun gedrag of persoonlijkheid, met nadelige gevolgen
• Ongericht gezichtsbeelden verzamelen voor gezichtsherkenning
• Emoties herkennen op de werkvloer en in het onderwijs, op uitzonderingen na

Voor een gemiddeld mkb-bedrijf is de kans klein dat je hier iets van doet. Check het wel, zeker bij tools die medewerkers of klanten analyseren.

De Digital Omnibus voegde daar een verbod aan toe op AI-systemen die niet-consensuele intieme beelden of beelden van seksueel kindermisbruik maken. Dat verbod geldt vanaf 2 december 2026.

2. Hoog risico: strenge eisen

Hoog risico zijn AI-systemen die een veiligheidsonderdeel zijn van producten met eigen Europese regels, zoals medische hulpmiddelen, machines en speelgoed (Bijlage I). En AI-systemen in gevoelige toepassingen (Bijlage III), onder meer:

• Werk en personeel: werving en selectie, beoordelen, promoveren, ontslaan, taken toewijzen en monitoren
• Onderwijs: toelating, beoordeling en toezicht bij toetsen
• Toegang tot essentiële diensten, zoals de beoordeling van kredietwaardigheid
• Biometrie, kritieke infrastructuur, rechtshandhaving, migratie en rechtspraak

Niet alles in die domeinen is automatisch hoog risico. Doet een systeem alleen een beperkte, voorbereidende taak en stuurt het de beslissing niet wezenlijk, dan kan het erbuiten vallen (artikel 6). Maakt het systeem profielen van mensen, dan geldt die uitzondering niet. Twijfel je, laat het dan beoordelen door een jurist.

3. Beperkt risico: transparantie

Voor chatbots, deepfakes en door AI gemaakte content gelden transparantieregels (artikel 50). Mensen moeten weten dat ze met AI praten of naar AI-content kijken. Die regels gelden sinds 2 augustus 2026.

4. Minimaal risico: geen nieuwe regels

Spamfilters, AI in spelletjes, een tool die je mail samenvat of een offerte opzet: de meeste toepassingen in een gemiddeld bedrijf vallen hier. Daarvoor gelden geen extra eisen, behalve de maatregelen voor AI-geletterdheid die voor elke organisatie gelden.

En de grote AI-modellen?

Voor de makers van AI-modellen voor algemene doeleinden, zoals OpenAI, Google en Anthropic, gelden sinds 2 augustus 2025 eigen regels. Die regels zijn voor hen, niet voor jou als gebruiker.

Je verplichtingen hangen af van je rol. De AI Act noemt er een paar, maar voor bijna elk bedrijf gaat het om twee.

• De aanbieder (provider) ontwikkelt een AI-systeem, of laat het ontwikkelen, en brengt het onder eigen naam op de markt of in gebruik. OpenAI is aanbieder van ChatGPT, Microsoft van Copilot.
• De gebruiksverantwoordelijke (deployer) gebruikt een AI-systeem onder eigen verantwoordelijkheid in een professionele context. Gebruik je ChatGPT voor je werk, dan ben jij dat.

De meeste mkb-bedrijven zijn gebruiksverantwoordelijke. Maar let op drie situaties.

Je verkoopt software met AI erin

Bouw je AI in je eigen product en verkoop je dat aan klanten, dan ben je aanbieder van dat systeem.

Je laat iets op maat bouwen

Laat je een AI-systeem voor je eigen organisatie bouwen en gebruik je het onder je eigen naam, dan kun je zelf als aanbieder gelden. Leg dan vooraf vast wie welke verplichting oppakt: documentatie, testen, menselijk toezicht.

Je past een hoog-risicosysteem aan

Zet je je naam op een hoog-risicosysteem, verander je het wezenlijk, of gebruik je een gewoon AI-systeem voor een hoog-risicodoel, dan kun je volgens artikel 25 zelf als aanbieder gelden, met de zwaardere plichten die daarbij horen. Een voorbeeld: je laat een algemene chatbot cv's beoordelen en een shortlist maken. Dan gebruik je AI voor werving en selectie, en dat valt in de regel onder hoog risico. Overweeg je zoiets, laat dan vooraf een jurist meekijken.

Altijd

• AI-geletterdheid (artikel 4): maatregelen nemen zodat je mensen, en anderen die namens jou met AI werken, genoeg weten om het verantwoord te gebruiken. Sinds de Digital Omnibus is de tekst anders geformuleerd: je hoeft geen niveau per persoon te garanderen. Een certificaat is niet nodig. Hoe je dat regelt, lees je op AI-geletterdheid.
• Geen verboden toepassingen (artikel 5): check of niets wat je gebruikt in de lijst hierboven valt. Emotieherkenning bij je personeel is bijvoorbeeld verboden.

Transparantie, sinds 2 augustus 2026

• Maak je een deepfake, dus beeld, geluid of video die echt lijkt maar door AI is gemaakt of bewerkt? Dan maak je duidelijk dat het AI is.
• Publiceer je door AI geschreven tekst om het publiek te informeren over zaken van algemeen belang, dan vermeld je dat. Tenzij een mens de tekst heeft gecontroleerd en er redactioneel verantwoordelijk voor is.
• Gebruik je emotieherkenning of biometrische categorisering, waar dat mag, dan informeer je de mensen om wie het gaat.

Bij hoog risico, vanaf 2 december 2027

Gebruik je een hoog-risicosysteem uit Bijlage III, bijvoorbeeld voor werving en selectie, dan vraagt artikel 26 onder meer:

• Gebruik het systeem volgens de gebruiksinstructies van de aanbieder
• Wijs menselijk toezicht toe aan mensen met de juiste kennis, bevoegdheid en ondersteuning
• Zorg dat de invoerdata relevant en representatief is, voor zover je die zelf beheert
• Houd in de gaten hoe het werkt, en meld risico's en ernstige incidenten
• Bewaar de automatische logs minstens zes maanden
• Informeer werknemers en hun vertegenwoordiging voordat je zo'n systeem op de werkvloer inzet
• Vertel mensen dat er over hen een besluit wordt genomen met hulp van een hoog-risicosysteem

Sommige organisaties, zoals overheden, moeten daarnaast vooraf beoordelen wat het systeem betekent voor de grondrechten van mensen (artikel 27). Gebruik of overweeg je een hoog-risicosysteem, laat dan een jurist meekijken welke plichten precies voor jullie gelden.

Ben je aanbieder, dan hangt het weer af van het risico.

Bij beperkt risico

• Een chatbot of andere AI die met mensen praat, maak je zo dat mensen weten dat ze met AI te maken hebben, tenzij dat overduidelijk is
• Content die je AI-systeem maakt (tekst, beeld, audio, video), markeer je machineleesbaar als AI-gemaakt. Voor systemen die al vóór 2 augustus 2026 op de markt waren, geldt die plicht vanaf 2 december 2026

Bij hoog risico

Dan gelden de zwaarste eisen, vanaf 2 december 2027 voor Bijlage III en 2 augustus 2028 voor AI in producten (Bijlage I). Denk aan risico- en kwaliteitsbeheer, goede data, technische documentatie, ingebouwd menselijk toezicht, een conformiteitsbeoordeling met CE-markering en blijven monitoren na de lancering. Dat is een project op zich, en geen klus voor een vrijdagmiddag. Laat je daarbij juridisch adviseren.

Voor het mkb zijn er een paar tegemoetkomingen, zoals een vereenvoudigde vorm van de technische documentatie en voorrang bij de testomgevingen (regulatory sandboxes) van toezichthouders.

De Digital Omnibus over AI werd op 16 juni 2026 door het Europees Parlement en op 29 juni 2026 door de Raad aangenomen, op 8 juli 2026 ondertekend en trad op 27 juli 2026 in werking. Dit is de tijdlijn zoals die nu geldt:

• 1 augustus 2024: de AI Act treedt in werking
• 2 februari 2025: verboden toepassingen en AI-geletterdheid
• 2 augustus 2025: regels voor de makers van AI-modellen voor algemene doeleinden, plus de regels over toezicht en sancties
• 27 juli 2026: de Digital Omnibus treedt in werking; artikel 4 krijgt een nieuwe tekst
• 2 augustus 2026: transparantie (artikel 50) en de meeste overige regels; toezicht door nationale toezichthouders
• 2 december 2026: watermerkplicht voor AI-systemen die al op de markt waren, en het nieuwe verbod op AI voor niet-consensuele intieme beelden
• 2 december 2027: hoog risico in gevoelige toepassingen (Bijlage III), oorspronkelijk 2 augustus 2026
• 2 augustus 2028: hoog risico in producten (Bijlage I), oorspronkelijk 2 augustus 2027

Let op: veel artikelen op internet zijn van vóór de Digital Omnibus en noemen nog 2 augustus 2026 voor hoog risico. Dat klopt niet meer. Check bij twijfel de actuele stand bij de Rijksoverheid of een jurist.

Nederland regelt het toezicht in de Uitvoeringswet AI-verordening. Die lag van 20 april tot en met 1 juni 2026 in internetconsultatie en was in oktober 2026 nog niet aangenomen. In het voorstel worden de Autoriteit Persoonsgegevens (AP) en de Rijksinspectie Digitale Infrastructuur (RDI) de coördinerende toezichthouders. Daarnaast houden bestaande toezichthouders toezicht in hun eigen sector, zoals de AFM en DNB bij financiële instellingen.

De AI Act zelf noemt deze maximale boetes (artikel 99):

• Verboden toepassingen: tot € 35 miljoen of 7 procent van de wereldwijde jaaromzet, als dat hoger is
• De meeste andere verplichtingen: tot € 15 miljoen of 3 procent van de wereldwijde jaaromzet
• Voor mkb-bedrijven en startups geldt het laagste van de twee bedragen (artikel 99 lid 6)

Voor AI-geletterdheid noemt de AI Act geen eigen boetebedrag. Het Nederlandse concept kiest daar voor herstelsancties zoals een last onder dwangsom, niet voor een boete. Dat kan in het wetgevingsproces nog veranderen.

Geen reden voor paniek, wel voor een middag werk. Laat je niet gek maken. Start small.

1. 01Maak een lijst van alle AI die jullie gebruiken: tools als ChatGPT en Copilot, maar ook AI-functies in je bestaande software.
2. 02Schrijf per toepassing op waarvoor je het gebruikt en wie ermee werkt.
3. 03Bepaal je rol per toepassing: gebruiksverantwoordelijke of aanbieder. Verkoop je software met AI of laat je iets op maat bouwen, kijk dan extra goed.
4. 04Check of er niets verbodens tussen zit, zoals emotieherkenning bij je personeel.
5. 05Markeer alles wat raakt aan beslissingen over mensen: werving, beoordeling van personeel, kredietwaardigheid. Dat is mogelijk hoog risico, vanaf 2 december 2027. Laat dat door een jurist beoordelen.
6. 06Regel AI-geletterdheid per rol: een basis voor iedereen, verdieping voor wie dagelijks met AI werkt of erover beslist.
7. 07Leg spelregels vast in een kort AI-beleid: welke tools, welke data, waar een mens controleert.
8. 08Check transparantie: maak je deepfakes of publiceer je AI-tekst over zaken van algemeen belang? Vermeld dat.
9. 09Gebruik zakelijke licenties met een verwerkersovereenkomst; de AVG blijft gewoon gelden. Meer daarover in ChatGPT en de AVG.
10. 10Leg vast wat je hebt gedaan, en zet een datum in de agenda om het over een jaar opnieuw te bekijken.