De AI Act voor bedrijven: wat verandert er, en wat moet je nu al doen?

Wat is de AI Act?

De AI Act is Europese wetgeving die het gebruik van AI-systemen reguleert op basis van risico. Hoe groter het risico dat een AI-toepassing vormt voor mensen, hoe strenger de eisen. De wet geldt niet alleen voor bedrijven die AI ontwikkelen, maar ook voor bedrijven die AI-systemen gebruiken (de wet noemt dit "deployers"), dus ook voor een MKB-bedrijf dat een AI-tool inzet en niet zelf bouwt.

De risico-indeling, kort samengevat

De AI Act deelt AI-toepassingen in naar risiconiveau. De meeste AI-automatisering die wij bouwen, zoals documentverwerking, interne workflows en AI agents voor sales of klantenservice, valt in de categorie beperkt of minimaal risico. Dat betekent niet dat de wet niet relevant is, wel dat de verplichtingen behapbaar zijn.

• Onaanvaardbaar risico: verboden. Denk aan sociale scoring van burgers of manipulatieve AI die mensen bewust misleidt. Dit soort toepassingen mag simpelweg niet.
• Hoog risico: toegestaan, met strenge eisen. Denk aan AI bij sollicitatieselectie, kredietbeoordeling of medische diagnostiek. Hier gelden eisen rond documentatie, menselijk toezicht en transparantie.
• Beperkt risico: vooral transparantieplicht. Denk aan chatbots: gebruikers moeten weten dat ze met AI praten, niet met een mens.
• Minimaal risico: de meeste toepassingen die bedrijven nu gebruiken (tekstgeneratie, interne automatisering, data-analyse), met weinig tot geen extra verplichtingen.

Wat geldt er al, en wat komt eraan

De AI Act wordt gefaseerd van kracht. Verboden praktijken (onaanvaardbaar risico) gelden al. Verplichtingen rond algemene AI-modellen, de grote taalmodellen waar veel toepassingen op draaien, zijn ook al ingegaan. De zwaarste verplichtingen, specifiek voor hoogrisico-systemen, worden gefaseerd van kracht met een tijdlijn die doorloopt tot en met 2027 voor sommige categorieën. Voor de meeste bedrijven is de belangrijkste, al geldende verplichting op dit moment: AI-geletterdheid. Daarover hebben we een aparte, uitgebreide pagina.

Wat betekent dit concreet voor een MKB-bedrijf?

Drie dingen om nu al te checken, ongeacht in welke risicocategorie je toepassingen vallen.

• Weet welke AI-systemen je gebruikt. Niet alleen de tools die de organisatie officieel heeft aangeschaft, maar ook wat teams zelf zijn gaan gebruiken. Je kunt niet voldoen aan regels voor iets waar je geen zicht op hebt.
• Zorg voor transparantie waar dat moet. Gebruik je een chatbot op je website? Dan moet voor de bezoeker duidelijk zijn dat het geen mens is.
• Regel AI-geletterdheid binnen je team. Dit is een concrete, nu al geldende verplichting.

Waarom dit ook een kans is, niet alleen een verplichting

Bedrijven die hun AI-gebruik nu al ordenen, die weten wat ze gebruiken, waarom, en met welke controle, staan er sowieso beter voor, los van de wet. De AI Act dwingt een discipline af (documentatie, overzicht, menselijke controle bij risicovolle beslissingen) die de meeste organisaties toch al zouden moeten hebben voordat ze AI breed inzetten.