De EU AI Act is er echt niet alleen voor de grote techgiganten. Gebruik je ChatGPT, Copilot of een simpele chatbot? Dan gelden deze regels ook voor jou. Dit is wat je nu moet regelen.
❓ Wat is de EU AI Act?
De EU AI Act is de eerste bindende wet ter wereld die regels stelt aan het gebruik van kunstmatige intelligentie. Ze is in augustus 2024 in werking getreden en wordt stap voor stap verplicht voor bedrijven in alle EU-landen, groot én klein.
❓ Geldt de EU AI Act voor mijn MKB?
Ja. Gebruik je ChatGPT, Microsoft Copilot, een chatbot op je website of AI in je boekhoudpakket? Dan val je onder de wet. Als MKB-er ben je bijna altijd een zogeheten “deployer” dat betekent lichtere eisen dan voor techbedrijven, maar er zijn wel degelijk verplichtingen.
❓ Wat moet ik voor 2 augustus 2026 geregeld hebben?
Vóór 2 augustus 2026 moet je transparant zijn over AI-gebruik richting klanten (vooral chatbots), een AI-register bijhouden en aantoonbaar zorgen dat je medewerkers begrijpen wat AI is en hoe jij het inzet. Die laatste eis gold trouwens al sinds februari 2025.
Zeventig procent van de Nederlandse ondernemers heeft van de EU AI Act gehoord. Maar slechts 7 procent weet wat er concreet van hen verwacht wordt. Dat blijkt uit KVK-onderzoek uit 2025. De rest gokt erop dat het wel meevalt, of dat het toch voor grote techbedrijven is. Dat is een misverstand dat je geld gaat kosten.
De deadline van 2 augustus 2026 klinkt ver weg. Dat is ie niet. En een deel van de verplichtingen waaronder de AI-geletterdheidseis is al sinds februari 2025 van kracht. Niet over een jaar. Nu.
In dit stuk leg ik je uit wat de EU AI Act betekent als je een gewoon Nederlands bedrijf runt. Geen ellenlange juridische uitleg. Wel: wat jij concreet moet doen, wanneer, en waarom je daar nu mee begint.
is niet goed op de hoogte
van de EU AI Act
Jij bent bijna zeker een deployer en dat is goed nieuws
De EU AI Act maakt onderscheid tussen drie soorten partijen: aanbieders (die AI bouwen), deployers (die AI inzetten in hun bedrijf) en gebruikers. Jij bent als MKB-ondernemer vrijwel altijd een deployer. Je gebruikt ChatGPT om offerteteksten te schrijven. Je accountant werkt met Microsoft Copilot. Je webshop heeft een chatbot die klanten te woord staat.
Dat is goed nieuws, want deployers hebben het lichter dan aanbieders. Geen technische audits. Geen modelcertificering. Geen conformiteitsverklaring van honderd pagina’s. Maar en dit is het punt waar het bij veel ondernemers misgaat je hebt wél verplichtingen. Drie concrete: een AI-register, een AI-beleid, en aantoonbare AI-geletterdheid van je medewerkers.
Coolblue heeft een chatbot op hun website. Die helpt klanten met productadvies. Dat is beperkt-risico AI. Ze moeten dat transparant maken de klant moet weten dat hij met een AI praat. Jij ook, als je zoiets gebruikt. Een accountantskantoor dat Copilot inzet om belastingaangiftes te analyseren? Zelfde verhaal. Het gaat niet om de grootte van je bedrijf. Het gaat om wát je doet met AI.
AI-register
Welke tools gebruik je? ChatGPT, Copilot, LinkedIn Recruiter, AI in je boekhoudsoftware alles telt. Noteer per tool: doel, data, verantwoordelijke.
AI-beleid
Welke tools zijn goedgekeurd? Wat mag er in? Wie is eindverantwoordelijk? Een A4’tje met heldere afspraken volstaat.
AI-geletterdheid
Medewerkers die met AI werken moeten de risico’s kennen. Geen zware cursus een teambespreking met datum en namen is voldoende bewijs.
Vier risiconiveaus en waar jij waarschijnlijk valt
De wet werkt met vier risiconiveaus. Hoe hoger het risico, hoe zwaarder de eisen. De meeste MKB-ers zitten in de categorie “minimaal” of “beperkt” risico. Maar check het zelf.
| Risiconiveau | Voorbeelden | Wat moet jij doen |
|---|---|---|
| 🚫 Verboden | Emotieherkenning personeel, social scoring | Niet gebruiken, punt. |
| ⚠️ Hoog risico | AI voor sollicitanten, krediet, zorg | Audit, documentatie, menselijk toezicht |
| 💬 Beperkt risico | Chatbot op website, AI-content | Transparant zijn: “je praat met een AI” |
| ✅ Minimaal risico | Spamfilter, aanbevelingen, ChatGPT voor teksten | Basismaatregelen, AI-beleid |
De hoog-risico categorie vraagt het meeste van je. Beoordeel je cv’s met AI? Bepaal je wie krediet krijgt? Dan kom je onder Bijlage III te staan. Er ligt een voorstel (Digital Omnibus, mei 2026) om deze verplichtingen naar december 2027 te schuiven maar dat is nog niet zeker. Bouw er niet op.
De deadlines op een rij
Artikel 4 over AI-geletterdheid loopt al meer dan een jaar en wordt veel te veel genegeerd.
Al verstreken 2 februari 2025
AI-geletterdheidsplicht + verbod op onaanvaardbare AI
2 augustus 2026
Transparantieplicht chatbots + hoog-risico verplichtingen Bijlage III
Mogelijk december 2027
Hoog-risico Bijlage III (Digital Omnibus nog niet definitief)
Geen papierwerk = geen bewijs. En geen bewijs? Dat wordt lastig als de Autoriteit Persoonsgegevens aanklopt. Een intern document en een teambespreking doen het ook maar zolang je het maar vastlegt.
Wat je nu concreet moet doen: vijf stappen
Geen theorie. Gewoon doen. Dit is het minimumprogramma voor een gemiddeld Nederlands MKB-bedrijf.
Maak een AI-register
Schrijf op welke AI-tools je gebruikt. ChatGPT, Microsoft Copilot, Grammarly, LinkedIn Recruiter, de AI in je boekhoudpakket, de chatbot op je website alles telt. Per tool noteer je: wat doet het, welke data gaat erin, wie is verantwoordelijk. Dat klinkt als veel werk. Het is een Excel-bestand van een uur.
Bepaal het risiconiveau per tool
Gebruik de tabel hierboven als leidraad. De meeste tools vallen in minimaal of beperkt risico. Hoog risico is echt voor AI die beslissingen neemt over mensen: aannemen, ontslaan, krediet verlenen. Twijfel je? De KVK heeft een handig stappenplan dat je verder helpt.
Schrijf een AI-beleid
Welke tools mogen medewerkers gebruiken? Welke data mag erin (klantgegevens: nee tenzij versleuteld of anoniem)? Wie is eindverantwoordelijke? Dit hoeft geen juridisch document te zijn. Een A4’tje met duidelijke afspraken is een AI-beleid.
Zorg voor aantoonbare AI-geletterdheid
Dit is al verplicht. Plan een teambespreking, stuur een intern memo, of gebruik een korte e-learning. Documenteer het: datum, wie erbij was, wat er besproken is. Dat is je bewijs als er ooit vragen komen.
Check je verboden AI
Gebruik je software die emoties van medewerkers meet, gedrag van mensen scoort op basis van persoonskenmerken, of gezichtsherkenning inzet buiten wettelijk toegestane gevallen? Dat is verboden. Niet “straks verboden”. Nu. Al sinds februari 2025.
💡 Tip
Begin met een simpel Excel-bestand: kolommen Tool, Doel, Welke data gaat erin, Risiconiveau, Wie is verantwoordelijk. Dat is al een AI-register. Kost je een uur.
⚠️ Let op
Emotieherkenningssoftware bij personeel is al verboden sinds februari 2025. Sommige HR-tools en videocall-software bieden dit aan als “feature”. Check je pakket.
De chatbot-eis van augustus 2026: wat dat precies betekent
Heb je een chatbot op je website? Dan geldt vanaf 2 augustus 2026 de transparantieplicht. Je klant moet weten dat hij niet met een mens praat. Dat lijkt logisch en voor veel bedrijven is het dat ook al. Maar “het staat in de kleine lettertjes van onze privacyverklaring” is niet voldoende. De melding moet duidelijk, begrijpelijk en tijdig zijn. Dus: aan het begin van het gesprek, niet ergens verstopt.
Gebruik je een AI-tool om content te genereren die eruitziet als menselijk werk teksten, afbeeldingen, video? Dan geldt ook een transparantieverplichting. Niet voor elke ChatGPT-prompt die je intern gebruikt, maar wel voor content die je publiceert waarbij een gemiddelde lezer zou kunnen denken dat het door een mens is gemaakt.
Deepfakes en synthetische media: Maak je reclame-uitingen met AI-gegenereerde gezichten of stemmen? Dan moet dat kenbaar zijn. De meeste MKB-toepassingen vallen hier niet onder maar wees je er bewust van.
De boetes zijn geen papieren tijger
Verboden AI
Hoog-risico overtredingen
Transparantie-overtredingen
Voor een klein MKB-bedrijf is het maximum van toepassing op jouw omzet, niet op die Europese maxima. Maar ook 1,5 procent van je jaaromzet is geen bedrag om luchtig over te doen. En los van de boetes: de reputatieschade als klanten of medewerkers ontdekken dat je verboden AI hebt ingezet is groter dan welk geldbedrag ook.
De Autoriteit Persoonsgegevens is in Nederland aangewezen als toezichthouder. Ze handhaven al actief op de AVG en de AI Act geeft ze extra bevoegdheden. De AP heeft expliciet aangegeven dat ze niet alleen achter grote techbedrijven aan gaan.
Slechts 7% van de Nederlandse ondernemers is goed op de hoogte van de EU AI Act
– terwijl de eerste deadlines al verstreken zijn. Wie nu begint, loopt voor op 93% van de concurrentie.
De AI Act is geen bureaucratisch corvee. Het is een kans om serieus na te denken over hoe jij AI inzet, welke risico’s dat met zich meebrengt en hoe je je klanten en medewerkers daarin meeneemt. Die bedrijven die dat goed doen, bouwen vertrouwen. En vertrouwen is in de huidige markt geen bijzaak.
Veelgestelde vragen over de EU AI Act
❓ Wat is het verschil tussen de EU AI Act en de AVG?
De AVG gaat over persoonsgegevens: hoe je ze verzamelt, opslaat en verwerkt. De EU AI Act richt zich op systemen die besluiten nemen of mensen beïnvloeden ongeacht of persoonsgegevens een rol spelen. In werkelijkheid overlappen deze wetten elkaar flink. Zodra jouw AI-systeem persoonsgegevens verwerkt, val je onder allebei. De AP handhaaft beide. Het grootste verschil? De AVG focust op rechten van individuen. De AI Act focust op systeemeisen en risicoklassen. Simpel gezegd: de AVG stelt “dit zijn de rechten van jouw klant”. De AI Act zegt “dit zijn de eisen aan jouw tools”.
❓ Moet ik als zzp’er ook voldoen aan de EU AI Act?
Ja, ook als zzp’er val je onder de AI Act zodra je AI-tools inzet. Goed nieuws: voor kleine gebruikers zijn de regels behapbaar. Jij als freelance tekstschrijver die ChatGPT gebruikt? Weinig aan de hand minimaal risico. Let op: als je AI inzet voor het beoordelen van sollicitanten of als je AI-tools bij klanten implementeert, wordt het serieuzer. De basisvereisten zijn eigenlijk logisch: weet welke tools je gebruikt, snap hoe AI werkt, en wees transparant naar klanten. Voor de meeste zzp’ers volstaat een simpel AI-register en een korte beleidsnota.
❓ Wat kost het als ik niks doe zijn de boetes echt zo hoog?
Ja, de maximale boetes zijn flink tot €35 miljoen of 7% van de wereldwijde omzet voor verboden AI. Maar eerlijk: die maxima zijn voor grove, opzettelijke overtredingen door grote spelers. Een gemiddeld MKB-bedrijf dat gewoon nalatig is geweest en geen AI-beleid heeft? De AP begint eerder met een waarschuwing of last onder dwangsom. Toch: “het valt wel mee” is riskant. De AP heeft bij de AVG duidelijk gemaakt dat ze ook kleine ondernemers beboeten als iets structureel fout zit. En dan heb je nog de reputatieschade die doet vaak meer pijn dan de boete zelf.
❓ Hoe maak ik een AI-beleid als ik geen juridische afdeling heb?
Een AI-beleid hoeft echt niet ingewikkeld te zijn het is gewoon een paar afspraken op papier. Stel jezelf drie vragen: welke AI-tools gebruiken we? Wat mag erin en wat niet? Wie is eindverantwoordelijke als het fout gaat? Schrijf de antwoorden in Word, laat je team het lezen en bewaar het met een datum. Klaar. De KVK biedt gratis stappenplannen aan. Gebruik je AI voor gevoeliger dingen personeelsbeslissingen, klantbeoordelingen dan is het handig om even met een jurist te brainstormen. Een uur kost een paar honderd euro en bespaart je later veel gedoe.
Begin vandaag. Niet volgende maand.
Een uur werk een AI-register in Excel is het verschil tussen compliant en niet. De wet wacht niet op je agenda.
0 reacties