De EU AI Act is de eerste grote AI-regulering ter wereld. De wet is op 1 augustus 2024 in werking getreden en geldt sinds februari 2025 stap voor stap. Voor veel mkb-eigenaren klinkt het als “alweer regels” die pas over een paar jaar relevant worden.
Dat is deels waar. Voor de meeste mkb-AI-toepassingen valt de impact mee. Voor enkele specifieke use-cases is het substantieel. Deze post: wat precies voor jou geldt, en wat je in 2026 moet hebben geregeld.
Wanneer geldt wat?
- 2 februari 2025: het verbod op bepaalde AI-toepassingen gaat in, en bedrijven die AI inzetten moeten werken aan de AI-kennis van hun mensen (AI-geletterdheid).
- 2 augustus 2025: regels voor aanbieders van algemene AI-modellen (zoals de modellen achter ChatGPT, Claude en Gemini), plus de regels voor toezicht en boetes.
- 2 augustus 2026: de transparantieregels gaan gelden, zoals melden dat iemand met een chatbot praat en deepfakes labelen.
- 2 december 2027: de eisen voor hoog-risico AI, zoals AI bij werving en selectie of kredietbeoordeling. Dit stond eerst op augustus 2026, maar is uitgesteld.
- 2 augustus 2028: de eisen voor hoog-risico AI die in producten zit waarvoor al Europese productregels gelden (bijvoorbeeld machines of medische hulpmiddelen).
Dat uitstel komt uit de zogeheten Digital Omnibus on AI, een aanpassing van de AI Act die op 27 juli 2026 in werking is getreden. Daarin is ook de plicht rond AI-geletterdheid wat versoepeld: je moet maatregelen nemen om de AI-kennis van je mensen te ondersteunen, maar je hoeft geen bepaald niveau te garanderen.
De vier risicocategorieën
De EU AI Act deelt AI-systemen in vier categorieën:
1. Verboden: AI-toepassingen die in de EU simpelweg niet mogen. Voorbeelden: social scoring (mensen beoordelen op hun gedrag of persoonlijkheid, met nadelige gevolgen), emotieherkenning op de werkvloer, real-time gezichtsherkenning in de openbare ruimte door de politie (op een paar uitzonderingen na), manipulatieve technieken die schade veroorzaken.
2. Hoog-risico: AI in kritieke domeinen. Onderwijstoetsing, werving & selectie, credit-scoring, kritieke infrastructuur, rechtshandhaving. Strenge eisen: risk management, datagovernance, transparantie, menselijke oversight, logging.
3. Beperkt-risico: AI waar transparantie belangrijk is. Chatbots, deepfakes, AI-gegenereerde content. Eis: duidelijk maken dat een gebruiker met AI te maken heeft.
4. Minimaal-risico: de meeste AI-toepassingen. Spam-filters, inventarisbeheer, productiviteit-tools. Geen specifieke verplichtingen onder de AI Act.
Voor de meeste mkb valt alles in categorie 3 of 4. Maar het hangt af van wat je doet.
Hoe bepaal je jouw categorie?
Beantwoord deze vier vragen voor een eerste inschatting:
1. Gebruik je AI voor HR of recruitment-beslissingen? Zo ja → hoog-risico. Denk aan AI die cv’s selecteert, kandidaten scoort, interviews analyseert. Hier moet je aan de eisen van hoog-risico voldoen, vanaf 2 december 2027.
2. Gebruik je AI voor credit-scoring of financiële beslissingen over personen? Zo ja → hoog-risico, ook vanaf 2 december 2027.
3. Gebruik je AI die met klanten/gebruikers communiceert (chatbot, voice-assistant)? Zo ja → beperkt-risico. Eis: duidelijke disclosure dat het AI is. Een simpel regeltje “dit is een AI-assistent” bij het begin van de chat is vaak al genoeg.
4. Gebruik je AI die media genereert (afbeeldingen, tekst, video) die als echt of menselijk kunnen worden ervaren? Zo ja → beperkt-risico. Eis: disclosure dat content AI-gegenereerd is, in elk geval bij deepfakes (zie hieronder).
Als je geen ja op 1-4 hebt, zit je waarschijnlijk in minimaal-risico en gelden er weinig specifieke AI Act-eisen voor jou (al geldt AVG natuurlijk wel).
Wat moet je regelen per categorie?
Minimaal-risico
Weinig AI-specifieke eisen. Wel:
- AVG compliance voor persoonsgegevens die door AI worden verwerkt
- Interne governance: wie weet wat voor AI er draait?
Beperkt-risico (chatbots, gen-AI content)
Concrete eisen:
Disclosure bij chatbots. De eerste interactie moet duidelijk maken dat het een AI is. “Hoi, ik ben Sam, de AI-assistent van [bedrijf]” is een duidelijk voorbeeld. Geen disclosure = boete mogelijk.
AI-gegenereerde content labelen. Maak je met AI beeld, geluid of video die echt lijkt en bestaande mensen, plekken of gebeurtenissen nabootst (een deepfake), dan moet je vermelden dat het met AI is gemaakt. Voor AI-tekst waarmee je het publiek informeert over zaken van algemeen belang geldt dat ook, tenzij een mens de tekst heeft nagekeken en er verantwoordelijk voor is. Deze regels gelden vanaf 2 augustus 2026.
Interne documentatie. Leg vast welke AI-tools je gebruikt, waarvoor, en welke data erin gaat. Simpel document (Google Doc volstaat).
Hoog-risico
Substantieel werk. Als je hierin valt, is het verstandig externe compliance-hulp in te schakelen. De meeste eisen liggen bij de aanbieder van het systeem. Gebruik je een hoog-risico systeem van een ander, dan moet je vooral zorgen voor menselijk toezicht, logs bewaren, het systeem volgens de instructies gebruiken en betrokkenen informeren. Kort samengevat, de eisen voor aanbieders:
- Risk management systeem: gedocumenteerde risico-analyse
- Data governance: bronnen, kwaliteit, bias-analyse
- Technische documentatie: hoe werkt het systeem
- Record keeping: logging van beslissingen voor audit
- Menselijke oversight: mens kan altijd ingrijpen
- Accuracy, robustness, cybersecurity: technische eisen
- Conformity assessment: beoordeling of het systeem aan de eisen voldoet, meestal door de aanbieder zelf, soms door een externe instantie
Praktische stappen voor een standaard mkb
Als je in beperkt-risico valt (bijv. je gebruikt een chatbot op je site of genereert content met AI), dan zijn dit de stappen:
Stap 1: Inventarisatie Maak een lijstje van alle AI-tools die je gebruikt, intern én extern. Intercom AI, ChatGPT abonnement, Canva AI, Zapier AI-stappen, etc.
Stap 2: Chatbot-disclosure Check elke klantgerichte chatbot of AI-tool: staat er duidelijk dat het AI is? Voeg anders één regel toe.
Stap 3: Content-disclosure beleid Maak interne richtlijn: welke AI-gegenereerde content label je (“Deze afbeelding is AI-gegenereerd”) en welke niet (tekst die door een mens is geredigeerd hoef je niet per se te labelen).
Stap 4: Interne AI-inventaris Maak een simpel document dat beschrijft welke AI-tools je gebruikt, waar, voor wat, en welke data erin gaat. Dit is niet verplicht maar zeer verstandig voor governance.
Stap 5: Medewerkers informeren Korte training (team-meeting) over wat mag en niet mag: welke data mag wel/niet in ChatGPT, wat doen we met output, wanneer labelen. Dit is ook de basis voor de plicht rond AI-geletterdheid die sinds februari 2025 geldt.
Handhaving en boetes
De boetes onder de AI Act kunnen hoog oplopen: tot 35 miljoen euro of 7% van de wereldwijde omzet voor verboden AI-gebruik, tot 15 miljoen euro of 3% voor andere overtredingen. Voor mkb geldt het laagste van die twee bedragen. Voor mkb in beperkt-risico-categorie zijn boetes in 2026 waarschijnlijk gering, maar de trend is strenger. Autoriteit Persoonsgegevens (AP) in Nederland is al proactief aan het toezien.
Wat wij adviseren
Voor AI-first agencies zoals wij en voor mkb die AI serieus gebruikt: zie compliance niet als obstakel maar als hygiëne. Drie principes:
- Transparantie standaard: gebruikers mogen altijd weten dat ze met AI praten
- Interne documentatie: iemand moet weten welke AI er draait en waar
- Data-governance: niet elke data mag in elke AI
Met die drie op orde val je in 2026 niet op als laggard, maar ook niet als overcompliant-verlamd.
Wanneer ben je niet-zelfsturend?
Externe hulp inschakelen als:
- Je valt in hoog-risico categorie
- Je bedrijfsomvang >€50M of >250 FTE
- Je bouwt zelf AI-producten die je aan derden levert
- Je hebt internationale gebruikers buiten EU
Verder
Onzeker over jouw AI Act-status? We brengen samen in kaart welke AI je gebruikt en welke gegevens erin gaan. Voor een juridisch oordeel heb je een jurist nodig. Bel 06 81 38 36 01 of plan een gesprek.
Tags
Geschreven door
Agensea
Het team van Agensea: websites en software op maat en online marketing, vanuit Zeeland.