Wat betekent de EU AI Act voor het MKB?

Wat regelt de AI Act eigenlijk?

De AI-verordening, Verordening (EU) 2024/1689, kijkt niet naar de techniek maar naar wat je ermee doet. Hoe groter de kans op schade, hoe zwaarder de eisen. De wet deelt AI daarom in vier bakken in.

• Onaanvaardbaar risico: verboden. Denk aan sociale scoring door overheden of het uitlezen van emoties van werknemers op de werkvloer.
• Hoog risico: mag wel, maar met veel eisen. Denk aan AI die kandidaten selecteert of kredietwaardigheid beoordeelt.
• Transparantierisico: mag, mits je open bent. Denk aan chatbots en aan beeld of video die je met AI maakt.
• Minimaal risico: geen extra eisen. Hier valt het overgrote deel van wat een MKB-bedrijf doet.

Die vierde bak is groter dan mensen denken. Een tool die je offertes samenvat, je mail sorteert of je facturen inleest zit daar.

Ben je aanbieder of gebruiksverantwoordelijke?

Dit is de belangrijkste vraag van de hele wet, want alle zware verplichtingen hangen aan de eerste rol. Een aanbieder ontwikkelt een AI-systeem en brengt het onder eigen naam op de markt. Een gebruiksverantwoordelijke zet een bestaand systeem in. Koop je een tool en gebruik je hem zoals bedoeld, dan ben je dat.

• Aanbieder: OpenAI, Google, Microsoft, Anthropic, en het softwarebedrijf dat een AI-functie in zijn product bouwt en verkoopt.
• Gebruiksverantwoordelijke: het accountantskantoor dat facturen laat inlezen, de installateur met een chatbot op de site, de HR-afdeling die cv's laat samenvatten.
• Allebei tegelijk: het bedrijf dat een eigen AI-tool bouwt en die ook aan klanten verkoopt.

Let op: je kunt van rol wisselen zonder het door te hebben. Zet je je eigen merk op een systeem met een hoog risico, verander je waar het voor bedoeld is, of pas je het wezenlijk aan, dan ben je aanbieder. De feitelijke situatie bepaalt je rol, niet je contract.

Wanneer gaat wat in?

De AI Act komt in stukken binnen. In juli 2026 is een deel van de planning verschoven met de digitale omnibus, Verordening (EU) 2026/1744, gepubliceerd op 24 juli 2026 en in werking sinds 27 juli 2026. Dit is de stand van zaken.

Uitstel is geen afstel. Gebruik je AI voor werving, opleiding of kredietbeoordeling, dan heb je nu ruim een jaar extra. Genoeg om het rustig te doen.

Wat wordt er praktisch van je verwacht als je AI gebruikt?

Voor een gewoon MKB-bedrijf dat geen AI met een hoog risico gebruikt, komt het neer op drie dingen.

1. AI-geletterdheid. Artikel 4 vraagt dat je je mensen helpt begrijpen wat AI is en waar het misgaat. Sinds de digitale omnibus is dit uitdrukkelijk een inspanningsverplichting: geen niveau per persoon garanderen, wel aantoonbaar iets doen. Nederlandse toezichthouders handhaven dit vanaf 2 augustus 2026.
2. Transparantie richting klanten. Een chatbot maakt zichtbaar dat hij AI is. Beeld, geluid of video dat er echt uitziet maar dat niet is, vermeld je. Publiceer je AI-tekst over onderwerpen van algemeen belang, dan geldt hetzelfde, tenzij een mens hem heeft nagekeken en er redactioneel verantwoordelijk voor is.
3. Overzicht van je AI. De wet schrijft voor een gewone gebruiker geen register voor, maar zonder lijst kun je de eerste twee punten niet aantonen. Eén tabel met tool, doel en gebruiker is genoeg.

Wat geldt er juist niet voor jou?

Er wordt veel bij elkaar geveegd wat niet bij elkaar hoort. Dit hoef je niet als je alleen bestaande AI-tools gebruikt.

• Een conformiteitsbeoordeling, CE-markering en technisch dossier. Dat is werk voor de aanbieder van het systeem.
• Registratie in de Europese databank voor systemen met een hoog risico.
• De verplichtingen voor aanbieders van AI-modellen voor algemene doeleinden. Die liggen bij de makers van de modellen.
• Een verplichte AI-functionaris of AI-afdeling. De verordening schrijft geen functie voor.
• De eisen voor AI met een hoog risico, zolang je die niet gebruikt. Een chatbot voor klantvragen of een tool die facturen inleest valt daar in de regel niet onder.

Checklist: wat je deze maand kunt regelen

1. Maak een lijst van elke AI-tool die in je bedrijf wordt gebruikt, ook wat mensen op eigen initiatief gebruiken.
2. Zet per tool neer waar hij voor dient, wie hem gebruikt en of er persoonsgegevens in gaan.
3. Geef iedereen die met AI werkt een korte uitleg over wat het is en waar het misgaat. Leg vast wie erbij was en wanneer.
4. Controleer of een chatbot op je site zichtbaar maakt dat hij AI is.
5. Vermeld het bij beeld of video die je met AI maakt en naar buiten brengt.
6. Zet een herinnering in de agenda voor het voorjaar van 2027 als je AI inzet voor werving, opleiding of kredietbeoordeling.

Dit is een halve dag werk voor een bedrijf van twintig man. In de workshops van Beterzo komt die lijst pas boven tafel als mensen durven te zeggen wat ze echt gebruiken.

Veelgestelde vragen

Val ik onder de AI Act als ik alleen ChatGPT gebruik?

Ja, maar licht. Je bent dan gebruiksverantwoordelijke en OpenAI is de aanbieder. Voor jou blijft over dat je mensen AI-geletterd moeten zijn en dat je open bent als klanten met AI te maken krijgen. De eisen voor systemen met een hoog risico, de CE-markering en het technisch dossier liggen bij de aanbieder, niet bij jou.

Hoeveel training is nodig voor AI-geletterdheid?

De wet noemt geen aantal uren, geen certificaat en geen vaste opleiding. Sinds de digitale omnibus is het uitdrukkelijk een inspanningsverplichting: je ondersteunt de ontwikkeling van kennis, je garandeert geen niveau per persoon. In de praktijk komt het neer op een korte sessie per rol, afspraken op papier en een deelnemerslijst.

Moet ik erbij zetten dat een tekst met AI is gemaakt?

Alleen bij tekst die je publiceert over onderwerpen van algemeen belang, en ook dan niet als een mens de tekst heeft nagekeken en er redactioneel verantwoordelijk voor is. Voor een offerte, een interne notitie of een klantmail geldt dit niet. Bij beeld, geluid en video die echt lijken maar het niet zijn, vermeld je het wel.

Wanneer word ik zelf aanbieder van een AI-systeem?

Als je je eigen merk zet op een systeem met een hoog risico, als je zo'n systeem wezenlijk aanpast, of als je het voor een ander doel inzet dan bedoeld. Dan verschuiven de zware verplichtingen naar jou. Bouw je een eigen tool op een bestaand model en verkoop je die, dan geldt hetzelfde.

Wie houdt in Nederland toezicht op de AI Act?

De Autoriteit Persoonsgegevens heeft de coördinerende rol, samen met de Rijksinspectie Digitale Infrastructuur. Daarnaast houden sectorale toezichthouders toezicht binnen hun eigen domein, bijvoorbeeld in de financiële sector en de zorg. Voor de meeste MKB-bedrijven is de AP het eerste aanspreekpunt, omdat AI en persoonsgegevens in de praktijk vrijwel altijd samenvallen.