Gids 16 · 7 minuten
Wat betekent de EU AI Act voor een mkb-bedrijf?
Het korte antwoord
Gebruik je AI in je bedrijf, dan ben je volgens de AI Act gebruiksverantwoordelijke. Sinds 2 februari 2025 moet je maatregelen nemen zodat je mensen weten hoe het systeem werkt en waar het fout kan gaan, en sindsdien zijn een paar toepassingen verboden, zoals emotieherkenning op de werkplek. Sinds 2 augustus 2026 gelden de transparantieregels: wie deepfakes maakt of AI-tekst publiceert om het publiek te informeren, moet dat melden. De zware eisen voor hoog-risico-AI, bijvoorbeeld bij het selecteren van sollicitanten, gaan op 2 december 2027 in. Een agent die mail en aanvragen voorbereidt voor je eigen mensen valt daar meestal buiten.
De AI Act is een Europese verordening, dus hij geldt in Nederland rechtstreeks, zonder dat er eerst een Nederlandse wet voor nodig is. Hij is op 1 augustus 2024 in werking getreden en gaat in stappen gelden. In juli 2026 is een deel van die stappen verschoven door de Digital Omnibus on AI, een wijzigingsverordening die de regels voor hoog-risico-AI later laat ingaan.
In loondienst bereid ik als AI-lead een technisch bedrijf van zo'n 190 mensen voor op de AI Act. Wat ik daar zie, is dat het meeste werk zit in weten welke AI er eigenlijk gebruikt wordt en waarvoor. Voor een bedrijf van tien mensen is dat lijstje kort, en daarmee is het grootste deel van de klus al gedaan.
Wat wanneer geldt
De data na de wijziging van juli 2026. Wat voor een mkb-bedrijf dat AI gebruikt het meest telt, staat bovenaan.
- AI-geletterdheid
- sinds 2 februari 2025
- Wie AI aanbiedt of gebruikt, neemt maatregelen om de AI-geletterdheid van zijn mensen te ondersteunen. Sinds juli 2026 staat er uitdrukkelijk bij dat je geen bepaald niveau per persoon hoeft te garanderen.
- Verboden toepassingen
- sinds 2 februari 2025
- Onder meer manipulatie die mensen schade doet, social scoring, emotieherkenning op de werkplek en in het onderwijs (behalve om medische of veiligheidsredenen) en gezichtendatabanken vullen door foto's van internet te schrapen.
- Transparantie
- sinds 2 augustus 2026
- Mensen moeten weten dat ze met AI praten, deepfakes moeten als zodanig herkenbaar zijn, en AI-tekst die gepubliceerd wordt om het publiek te informeren over zaken van algemeen belang moet je melden, tenzij er een mens redactioneel verantwoordelijk voor is.
- Extra verbod
- vanaf 2 december 2026
- AI die zonder toestemming seksueel beeldmateriaal van herkenbare mensen maakt, of materiaal van kindermisbruik. Toegevoegd door de wijziging van juli 2026.
- Hoog risico (bijlage III)
- vanaf 2 december 2027
- Was 2 augustus 2026. Gaat over AI die meebeslist over mensen: werving en selectie, promotie of ontslag, prestaties beoordelen, kredietwaardigheid van particulieren, toegang tot onderwijs.
- Hoog risico in producten (bijlage I)
- vanaf 2 augustus 2028
- AI als veiligheidsonderdeel van producten die al onder Europese productregels vallen, zoals machines, liften of medische hulpmiddelen. Vooral een zaak voor fabrikanten.
Wanneer ben je gebruiksverantwoordelijke
De AI Act kent twee hoofdrollen. De aanbieder ontwikkelt een AI-systeem of laat het ontwikkelen en brengt het onder eigen naam op de markt of in gebruik. De gebruiksverantwoordelijke gebruikt een AI-systeem onder eigen verantwoordelijkheid. Alleen wie AI puur privé gebruikt, valt buiten die rol.
Gebruiken je mensen ChatGPT of Copilot voor hun werk, of laat je een agent je binnenkomende mail voorbereiden, dan ben jij dus gebruiksverantwoordelijke. Dat klinkt zwaarder dan het is. Voor gewone toepassingen komen je plichten neer op AI-geletterdheid en, als je AI-materiaal naar buiten brengt, de transparantieregels.
Laat je een agent speciaal voor je bedrijf bouwen, dan kun je formeel ook aanbieder zijn, omdat het systeem onder jouw naam in gebruik gaat. Bij een agent voor eigen werk zonder hoog risico voegt dat weinig toe aan wat je als gebruiksverantwoordelijke al regelt.
Wat een klein bedrijf met een agent voor eigen werk regelt
Stel: een agent leest je offerteaanvragen en zet een opzet klaar, en een collega kijkt die na voordat er iets naar de klant gaat. Dan is dit het werk.
01
Een lijst van de AI die je gebruikt
Welke programma's, wie ze gebruikt en waarvoor. Vergeet de AI-functies niet die stilletjes in je boekhoudpakket, je mailprogramma of je telefoon zijn verschenen.
02
Uitleg voor wie ermee werkt
Wat doet het systeem, waar gaat het vaker mis, en wanneer moet je het wantrouwen. Een uur uitleg en een A4 met afspraken is voor de meeste kleine bedrijven genoeg. Een certificaat is niet nodig. Houd wel bij wie de uitleg heeft gehad, dan kun je laten zien wat je gedaan hebt.
03
Afspraken over gegevens
Welke gegevens mogen in welk programma, en welke nooit. Dat hoort bij de AVG, en in de praktijk regel je het in hetzelfde gesprek als de AI Act.
04
Een mens bij wat naar buiten gaat
Een offerte of mail die een collega nakijkt en zelf verstuurt, hoef je niet als AI-tekst te markeren. Zet je een chatvenster op je site waarin klanten met AI praten, dan moet duidelijk zijn dat het AI is.
05
Een grens bij beslissingen over mensen
Gebruik je AI om sollicitanten te selecteren of medewerkers te beoordelen, dan zit je in hoog risico, met vanaf december 2027 eisen als menselijk toezicht, logboeken bewaren en je personeelsvertegenwoordiging vooraf informeren. Voor een klein bedrijf is het verstandigste om daar geen AI voor te gebruiken.
Let op
Uitstel geldt alleen voor hoog risico
Over de Digital Omnibus is veel geschreven, en het beeld dat soms blijft hangen is dat de AI Act is uitgesteld. Uitgesteld zijn de regels voor hoog-risico-AI. AI-geletterdheid en de verboden gelden al sinds februari 2025, en de transparantieregels sinds augustus 2026. Alleen voor het machineleesbaar markeren van AI-beeld, -geluid en -tekst krijgen aanbieders van systemen die al voor 2 augustus 2026 op de markt waren tot 2 december 2026 de tijd.
Sinds augustus 2026 kunnen nationale toezichthouders handhaven. Voor AI-geletterdheid staat er geen vaste boete in de wet. Gaat er iets mis met een systeem en blijkt niemand te weten hoe het werkt, dan weegt dat wel mee.
Zelf doen
Wat je vandaag zelf kunt afwerken
Vink af wat je hebt gedaan. Er wordt niets bewaard, bij een volgend bezoek staat de lijst weer leeg. Dat is een keuze: iets opslaan in je browser om een vinkje te onthouden staat slecht op een site die uitlegt waarom je zo weinig mogelijk van je bezoekers wilt weten.
0 / 5
Of je laat het doen
AI-agents laten bouwen voor je bedrijf
Bij elke agent die ik bouw, lever ik een korte uitleg voor je team mee: wat hij doet, waar hij fout kan gaan en wie er meekijkt.
doorlooptijd proef in 1 week, bouwen in 1 tot 4 weken · vaste prijs vooraf
Vragen
Wat mensen hier nog over vragen
Staat je vraag er niet bij? Mail me, dan schrijf ik hem erbij. Binnen één werkdag antwoord. Meestal dezelfde dag.
Ja. Wie AI voor zijn werk gebruikt, is gebruiksverantwoordelijke, ongeacht de grootte van het bedrijf. Bij dagelijks gebruik betekent dat vooral zorgen dat je mensen weten hoe het werkt en waar het fout kan gaan, en melden dat iets door AI gemaakt is als je het als nieuws of deepfake naar buiten brengt.
Gedeeltelijk. In juli 2026 is de Digital Omnibus on AI in werking getreden. Die schuift de regels voor hoog-risico-AI op naar 2 december 2027, en voor AI in producten naar 2 augustus 2028. AI-geletterdheid, de verboden en de transparantieregels zijn niet uitgesteld.
Nee. De wet vraagt dat je maatregelen neemt om de AI-geletterdheid van je mensen te ondersteunen, passend bij wat ze met AI doen. Een korte uitleg, schriftelijke afspraken en een lijstje van wie wat heeft gehad is voor een klein bedrijf meestal voldoende. Volgens de Europese Commissie is een interne registratie van trainingen en uitleg voldoende als bewijs.
Meestal niet. Hoog risico gaat over AI die meebeslist over mensen, zoals sollicitanten selecteren, prestaties beoordelen of kredietwaardigheid bepalen. Een agent die een offerte-opzet maakt die een collega nakijkt, valt daar niet onder.
Op de AI-modellen voor algemeen gebruik houdt de Europese Commissie toezicht. Voor de rest wijst Nederland toezichthouders aan; op het gebruik van persoonsgegevens, ook door AI, let de Autoriteit Persoonsgegevens. Voor een klein bedrijf maakt het weinig uit wie het is: wat je moet regelen blijft hetzelfde.
Waar dit op gebaseerd is
Volgende stap
Zullen we eens kijken waar bij jou de uren weglekken?
Een gesprek van drie kwartier, bij jou op locatie. Je krijgt sowieso een lijstje mee met wat ik zou aanpakken, of je nu met mij verder gaat of niet.
Binnen één werkdag antwoord. Meestal dezelfde dag. · Je spreekt Kaz, niet een callcenter.