De AI Act is de Europese wet die regels stelt aan het maken en gebruiken van AI, en hij geldt ook voor het mkb. Ook als je AI alleen gebruikt en niet zelf bouwt. Sinds 2 augustus 2026 is het grootste deel van de wet van toepassing. Voor de meeste kleine bedrijven komt het neer op drie dingen: weet welke AI je gebruikt, zorg dat je mensen er verstandig mee werken, en vertel klanten wanneer ze met AI te maken hebben.
Wat is de AI Act?
De AI Act heet officieel Verordening (EU) 2024/1689. Hij is op 1 augustus 2024 in werking getreden en geldt rechtstreeks in alle EU-landen, dus zonder aparte Nederlandse wet. De AI Act werkt met risiconiveaus. Hoe groter het risico van een AI-toepassing voor de veiligheid of de grondrechten van mensen, hoe strenger de regels.
- Verboden AI: toepassingen die de EU onaanvaardbaar vindt, zoals sociale scoring van mensen of manipulatie die misbruik maakt van kwetsbaarheden.
- Hoog risico: AI die meebeslist over iemands kansen, zoals bij werving en selectie, kredietbeoordeling of onderwijs. Daarvoor gelden zware eisen.
- Beperkt risico: vooral transparantieplichten, bijvoorbeeld bij chatbots en door AI gemaakte beelden of teksten.
- Minimaal risico: de meeste alledaagse toepassingen, zoals een spamfilter. Daarvoor gelden geen extra regels, behalve de algemene plicht tot AI-geletterdheid.
Welke data gelden er? De stand in oktober 2026
De AI Act gaat in stappen gelden. In 2026 is de planning aangepast door de zogeheten AI-omnibus (Verordening (EU) 2026/1744). Die is op 24 juli 2026 gepubliceerd en op 27 juli 2026 in werking getreden. De omnibus verschuift vooral de regels voor hoog-risico-AI. De andere data blijven staan.
| Datum | Wat gaat er gelden? | Status |
|---|---|---|
| 1 augustus 2024 | Inwerkingtreding van de AI Act | Gebeurd |
| 2 februari 2025 | Verboden AI-praktijken en de plicht tot AI-geletterdheid | Geldt al |
| 2 augustus 2025 | Regels voor AI-modellen voor algemene doeleinden (zoals de modellen achter ChatGPT), toezicht en boetes | Geldt al |
| 2 augustus 2026 | Het grootste deel van de wet, waaronder de transparantieplichten van artikel 50, en het begin van de handhaving | Geldt al |
| 2 december 2026 | Nieuwe verboden, onder meer op AI die seksuele deepfakes zonder toestemming maakt | Komt eraan |
| 2 december 2027 | Regels voor hoog-risico-AI uit bijlage III (bijvoorbeeld werving en HR, krediet, onderwijs) | Verschoven door de omnibus |
| 2 augustus 2028 | Regels voor hoog-risico-AI in producten uit bijlage I (zoals machines en medische hulpmiddelen) | Verschoven door de omnibus |
Lees je ergens dat de AI Act “is uitgesteld”? Dat klopt maar voor een deel. AI-geletterdheid, de verboden en de transparantieplichten gelden gewoon.
Geldt de AI Act ook voor mijn mkb-bedrijf?
Ja. De AI Act maakt geen uitzondering voor kleine bedrijven. Wel kijkt de wet naar je rol. Er zijn twee rollen die voor het mkb het meest voorkomen:
Aanbieder
Je bent aanbieder als je een AI-systeem ontwikkelt of laat ontwikkelen en onder je eigen naam op de markt brengt. Bouw je bijvoorbeeld een AI-tool die je aan klanten verkoopt, dan ben je aanbieder. Voor aanbieders gelden de meeste plichten.
Gebruiksverantwoordelijke
De meeste mkb-bedrijven zijn gebruiksverantwoordelijke (in het Engels: deployer). Je gebruikt dan een AI-systeem van een ander onder je eigen verantwoordelijkheid. Denk aan een chatbot op je site, een tool die offertes of teksten schrijft, of AI in je klantenservice. De plichten zijn hier lichter, maar ze zijn er wel.
Let op: pas je een gekocht AI-systeem flink aan, of zet je het onder je eigen naam in de markt, dan kun je zelf aanbieder worden.
Wat moet je als mkb nu regelen?
1. Maak een overzicht van je AI-tools
Begin met een lijst. Welke AI-tools gebruikt je bedrijf, wie gebruikt ze en waarvoor? Vergeet de tools niet die medewerkers op eigen houtje gebruiken, zoals een gratis chatbot in de browser. Zonder dit overzicht kun je niet bepalen in welke risicoklasse iets valt.
2. Regel AI-geletterdheid
Sinds 2 februari 2025 moeten organisaties die AI-systemen aanbieden of gebruiken zorgen voor voldoende AI-geletterdheid bij hun medewerkers (artikel 4). De wet schrijft geen vast examen of certificaat voor. Het gaat erom dat mensen weten wat een tool kan, waar hij fouten maakt en wat niet mag, passend bij hun taak. Een korte interne training en een paar heldere afspraken op papier zijn voor veel kleine bedrijven een goed begin. Leg vast wat je hebt gedaan, zodat je het later kunt laten zien.
3. Wees transparant naar klanten
Sinds 2 augustus 2026 gelden de transparantieplichten van artikel 50. Praat een klant met een chatbot, dan moet duidelijk zijn dat het om AI gaat, tenzij dat al overduidelijk is. Ook door AI gemaakte of bewerkte beelden, audio en video die echt lijken (deepfakes) moeten als zodanig herkenbaar zijn. Werk je met een AI-klantenservice, zet dan aan het begin van het gesprek dat de klant met AI praat.
4. Kijk extra goed naar gevoelige toepassingen
Gebruik je AI bij werving en selectie, beoordeling van personeel of kredietbeslissingen? Dan zit je mogelijk in de hoog-risicocategorie. Die regels gelden voor bijlage III-systemen vanaf 2 december 2027. Als gebruiksverantwoordelijke moet je dan onder meer zorgen voor menselijk toezicht, het systeem volgens de gebruiksinstructies inzetten en logbestanden bewaren. Gebruik je AI voor HR, laat dan nu al altijd een mens het besluit nemen. Dan hoef je straks minder om te gooien.
5. Leg vast wat AI-agents zelfstandig doen
Laat je een AI-agent taken uitvoeren, zoals mails beantwoorden of afspraken inplannen? Schrijf dan op welke taken hij zelf mag doen en waar een mens moet meekijken. Dat helpt bij AI-geletterdheid en bij transparantie.
Wat als je je er niet aan houdt?
De AI Act kent boetes. Voor verboden AI-praktijken kan de boete oplopen tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet. Voor andere overtredingen liggen de maxima lager. Voor het mkb en start-ups geldt steeds het laagste van de twee bedragen. Sinds 2 augustus 2026 kunnen toezichthouders handhaven op onder meer de verboden, de transparantieregels en AI-geletterdheid.
Een eenvoudig stappenplan
- Zet alle AI-tools in een lijst, met gebruiker en doel.
- Bepaal per tool je rol (aanbieder of gebruiksverantwoordelijke) en de risicoklasse.
- Geef medewerkers een korte uitleg over de tools die ze gebruiken en leg dat vast.
- Pas chatbots en AI-content aan zodat klanten zien dat het AI is.
- Markeer gevoelige toepassingen (HR, krediet) en plan die vóór december 2027 door.
- Kijk elk half jaar of je lijst nog klopt.
Veelgestelde vragen
Geldt de AI Act ook als ik alleen ChatGPT gebruik?
Ja. Ook dan moet je zorgen voor voldoende AI-geletterdheid bij de mensen die ermee werken. Gebruik je ChatGPT voor gewone kantoortaken, dan blijft het daar meestal bij. Zet je de output ongewijzigd naar klanten, of gebruik je het voor beslissingen over mensen, kijk dan verder.
Is de AI Act uitgesteld?
Gedeeltelijk. Door de AI-omnibus gelden de regels voor hoog-risico-AI later: vanaf 2 december 2027 (bijlage III) en 2 augustus 2028 (bijlage I). De verboden, AI-geletterdheid en de transparantieplichten zijn niet uitgesteld.
Moet ik een AI-certificaat halen?
Nee. De wet vraagt voldoende AI-geletterdheid, geen specifiek certificaat. Een training of workshop kan helpen om dat aan te tonen.
Wie houdt toezicht in Nederland?
Nederland wijst meerdere toezichthouders aan. De Autoriteit Persoonsgegevens coördineert het toezicht op algoritmes en AI. Controleer de actuele verdeling bij de Rijksoverheid.
Bronnen
- Verordening (EU) 2024/1689 (AI Act), EUR-Lex
- AI Act Service Desk, Europese Commissie: tijdlijn na de Digital Omnibus
- Europese Commissie: AI-omnibus treedt in werking (27 juli 2026)
- Europese Commissie: AI Act, regulatory framework
Geraadpleegd op 25 oktober 2026. Dit artikel is algemene informatie en geen juridisch advies.
