EU AI Act: wat moet u als ondernemer
nu regelen op het gebied van AI?

De Europese AI-verordening, ook wel bekend als de EU AI Act, trad op 1 augustus 2024 in werking en wordt in fases uitgerold. Op 7 mei 2026 bereikten de Europese Raad en het Parlement een voorlopig akkoord over de Digital Omnibus, waarmee de zwaarste verplichtingen voor hoog-risico AI doorschuiven naar eind 2027. Voor de meeste mkb-ondernemers zijn de regels die nu al gelden of vanaf augustus 2026 in werking treden, het meest relevant. In dit artikel leest u welke verplichtingen op u van toepassing zijn en wat u nu moet regelen.

1. Wat is de EU AI Act?
2. De vier risicocategorieën
3. Welke regels uit de EU AI Act gelden nu al voor uw organisatie?
4. Wat verandert er vanaf 2 augustus 2026?
5. Welke sancties kunnen worden opgelegd?
6. Vijf stappen om uw organisatie voor te bereiden op de EU AI Act
7. Veelgestelde vragen (FAQ)
8. Contact opnemen

Wat is de EU AI Act?

De EU AI Act stelt regels aan de ontwikkeling, het op de markt brengen en het gebruik van AI-systemen. De wet werkt met een risicogerichte benadering: hoe groter het risico voor mensen en grondrechten, hoe strenger de eisen. De verordening geldt voor zowel aanbieders (de bouwers) als gebruikers van AI binnen de Europese Unie. Dat laatste is voor de meeste Nederlandse mkb-ondernemers het meest relevante onderdeel: u valt onder de wet als u AI gebruikt binnen uw bedrijfsvoering, ook als u de techniek niet zelf ontwikkelt.

De vier risicocategorieën

De wet deelt AI-systemen in vier categorieën in:

1. Verboden AI-praktijken. Bijvoorbeeld social scoring door overheden en AI-systemen die kwetsbare groepen manipuleren. Deze verboden gelden sinds 2 februari 2025.
2. Hoog-risico AI. Toepassingen in onder andere werving, kredietverlening en biometrie. Hiervoor gelden uitgebreide verplichtingen rond documentatie, risicobeheer, menselijk toezicht en transparantie.
3. Beperkt risico. AI met transparantievereisten, zoals chatbots en AI-gegenereerde content. Gebruikers moeten weten dat ze met AI van doen hebben.
4. Minimaal risico. Het overgrote deel van AI-toepassingen, zoals spamfilters en AI in standaardsoftware. Hier gelden geen specifieke verplichtingen.

Een voorbeeld uit de praktijk

Stel: u runt een installatiebedrijf met 35 medewerkers. Uw werkvoorbereider gebruikt Microsoft Copilot voor offertes (en leest deze altijd na voor verzending), op uw website staat een chatbot, en uw HR-collega gebruikt Copilot om cv’s samen te vatten en de geschiktheid van de kandidaten te beoordelen.

Drie toepassingen, drie verschillende risicocategorieën. De Copilot voor offertes valt onder minimaal risico, mits de werkvoorbereider eindverantwoordelijk blijft. De chatbot is beperkt risico: u moet bezoekers laten weten dat ze met een AI-systeem communiceren (Artikel 50). De Copilot voor cv-beoordeling valt onder hoog-risico AI (Annex III), omdat de toepassing in werving en selectie ligt, niet omdat de tool dat is. Voor alle drie geldt: de medewerkers moeten voldoende AI-geletterd zijn, en dat is een verplichting die vandaag al geldt.

Welke regels uit de EU AI Act gelden nu al voor uw organisatie?

Twee verplichtingen zijn sinds 2 februari 2025 actief:

• Verboden AI-praktijken (Artikel 5). AI-systemen die mensen manipuleren, kwetsbaarheden uitbuiten of voor social scoring worden gebruikt, zijn verboden. Voor de meeste mkb-ondernemers raakt dit de dagelijkse praktijk niet, maar wees alert bij AI in HR- of marketingtoepassingen.
• AI-geletterdheid (Artikel 4). Iedereen die binnen uw onderneming met AI-systemen werkt, moet voldoende basiskennis hebben van wat AI is, hoe het werkt en welke risico’s eraan verbonden zijn. Dat geldt of u nu Copilot, ChatGPT of AI-functies binnen uw CRM-software gebruikt.

De wet schrijft geen specifieke training, certificering of aantal uren voor. Artikel 4 is een inspanningsverplichting. Wat wel duidelijk is: de norm verschilt per rol, uw inspanning moet aantoonbaar zijn (documenteer wie welke training volgde) en het is geen eenmalig event. In de praktijk werkt een combinatie van basistraining voor iedereen die met AI werkt, plus rolspecifieke verdieping voor intensieve gebruikers.

De handhaving van Artikel 4 door Nederlandse toezichthouders start vanaf 2 augustus 2026. Dat geeft u nog enkele maanden om uw aanpak op orde te brengen. Echter: bij incidenten kan ook nú al civielrechtelijke aansprakelijkheid ontstaan.

Wat verandert er vanaf 2 augustus 2026?

Hoewel de zwaarste verplichtingen voor hoog-risico AI door de Omnibus zijn doorgeschoven naar eind 2027, treden er vanaf augustus 2026 wel belangrijke zaken in werking:

• Handhaving van Artikel 4 (AI-geletterdheid) en Artikel 5 (verboden praktijken) door Nederlandse markttoezichthouders.
• Transparantieverplichtingen onder Artikel 50. Voor watermerken op bestaande generatieve AI-systemen geldt een korte overgangstermijn tot 2 december 2026.

Er wordt in de EU AI Act niet exact voorgeschreven hoe u de transparantieverplichtingen kenbaar moet maken. Wel geldt dat de informatie duidelijk, begrijpelijk en op het moment van interactie moet worden gegeven. Een vermelding in de algemene voorwaarden of een privacybeleid op een website is daarom meestal niet voldoende. Bij een AI chatbot kunt u bijvoorbeeld denken aan het plaatsen van een duidelijke melding boven het chatvenster, in de openingsboodschap of naast de naam van de chatbot. AI-gegenereerde afbeeldingen kunnen gemarkeerd worden met een klein label of er kan ‘AI-genereerd’ in het onderschrift worden vermeld.

Welke sancties kunnen worden opgelegd?

Veel publicaties benadrukken vooral de maximale boetes. De wet kent echter meerdere manieren om te handhaven.

Administratieve boetes kennen drie niveaus: tot 35 miljoen euro of 7% wereldwijde jaaromzet voor verboden AI-praktijken, tot 15 miljoen euro of 3% voor de meeste andere overtredingen (waaronder Artikel 4 en Artikel 50) en tot 7,5 miljoen euro of 1% voor het verstrekken van onjuiste informatie aan toezichthouders. Voor het mkb is het tweede niveau in de praktijk het meest relevant. Voor ’mkb-bedrijven en startups geldt dat de toezichthouder het laagste van de twee bedragen (vast bedrag of percentage) hanteert.

Niet-financiële maatregelen zijn minstens zo belangrijk. De wet geeft toezichthouders expliciet de bevoegdheid om waarschuwingen op te leggen, corrigerende maatregelen te bevelen (een AI-systeem aanpassen, het gebruik staken, of in het uiterste geval van de markt halen) en besluiten te publiceren. De Autoriteit Persoonsgegevens publiceert nu al standaard haar onderzoeken en boetes onder de AVG. Dezelfde lijn wordt onder de AI Act voortgezet.

Reputatieschade en civielrechtelijke aansprakelijkheid vormen voor veel mkb-bedrijven de zwaarste consequentie. Een gepubliceerd besluit met uw bedrijfsnaam erin werkt door in klantrelaties, tenders en personeelswerving. Daarnaast kan een sollicitant die door een AI-systeem ten onrechte is afgewezen direct een vordering instellen, los van wat de toezichthouder doet.

Vijf stappen om uw organisatie voor te bereiden op de EU AI Act

1. Breng in kaart welke AI-tooling uw organisatie gebruikt. Denk niet alleen aan Copilot en ChatGPT, maar ook aan AI-functies in CRM, recruitment- en boekhoudpakketten.
2. Beoordeel de risicoclassificatie per toepassing. Wordt AI gebruikt voor beslissingen die mensen raken? Dan kan een toepassing als hoog-risico gelden.
3. Investeer in AI-geletterdheid en leg het vast. Train medewerkers en documenteer wie wat heeft gevolgd.
4. Leg afspraken vast in een AI-beleid. Welke tools zijn toegestaan, welke data mag worden ingevoerd en wie is verantwoordelijk?
5. Zorg voor transparantie naar klanten en medewerkers. Communiceer helder over AI-inzet in klantcommunicatie en HR-processen.

Wilt u weten waar uw organisatie staat rond AI en de EU AI Act?

Met een AI Nulmeting maken wij inzichtelijk hoe AI binnen uw organisatie wordt gebruikt, waar de belangrijkste aandachtspunten liggen en welke vervolgstappen logisch zijn.
Bekijk een voorbeeldrapport van de AI Nulmeting