Op deze pagina
De vier risiconiveaus
| Risiconiveau | Wat het betekent | Voorbeelden |
|---|---|---|
| Onaanvaardbaar risico | Verboden | Sociale scores door overheden, manipulatie die kwetsbaarheden uitbuit, emotieherkenning op de werkplek en in het onderwijs, het ongericht verzamelen van gezichtsbeelden |
| Hoog risico | Strenge eisen aan risicobeheer, documentatie, datakwaliteit, menselijk toezicht en registratie | AI bij werving en selectie, beslissingen over promotie of ontslag, kredietbeoordeling, onderwijs, kritieke infrastructuur |
| Beperkt risico | Transparantieplicht | Chatbots en AI-agents die met mensen communiceren, door AI gemaakte beelden of teksten die echt lijken (deepfakes) |
| Minimaal risico | Geen extra verplichtingen | Spamfilters, AI in spellen, de meeste toepassingen voor interne efficiëntie |
De meeste AI-toepassingen in het mkb, zoals factuurverwerking, interne assistenten of samenvattingen, vallen onder minimaal risico. Een klantenservice-chatbot valt onder beperkt risico: transparantie is dan verplicht.
Tijdlijn: wanneer gelden welke regels?
| Datum | Wat gaat gelden |
|---|---|
| 1 augustus 2024 | De AI Act treedt in werking |
| 2 februari 2025 | Verboden toepassingen; de plicht tot AI-geletterdheid (artikel 4) |
| 2 augustus 2025 | Regels voor aanbieders van AI-modellen voor algemeen gebruik (zoals de grote taalmodellen); boetes voor verboden toepassingen |
| 27 juli 2026 | Het AI-omnibusbesluit treedt in werking: onder meer uitstel van de hoog-risicoregels en een afgezwakte plicht tot AI-geletterdheid |
| 2 augustus 2026 | Transparantieregels (artikel 50); toezicht en handhaving door nationale toezichthouders |
| 2 december 2027 | Regels voor zelfstandige hoog-risicosystemen (bijlage III), zoals AI bij werving en selectie |
| 2 augustus 2028 | Regels voor hoog-risico-AI in producten die al onder Europese productregels vallen (bijlage I) |
Wat betekent de AI Act voor jouw bedrijf?
De AI Act maakt onderscheid tussen aanbieders (wie een AI-systeem ontwikkelt of onder eigen naam op de markt brengt) en gebruiksverantwoordelijken (wie een AI-systeem gebruikt in de eigen organisatie). De meeste mkb-bedrijven zijn gebruiksverantwoordelijke. Voor hen zijn dit de belangrijkste punten:
- AI-geletterdheid: neem maatregelen die de AI-kennis van medewerkers ondersteunen. Sinds het omnibusbesluit hoef je geen bepaald niveau te garanderen, maar wel aantoonbaar iets te doen, zoals een training en duidelijke afspraken.
- Transparantie: zet je een chatbot of AI-agent in die met klanten of kandidaten communiceert, maak dan duidelijk dat het AI is.
- Verboden toepassingen: gebruik geen AI voor emotieherkenning bij medewerkers, of andere verboden toepassingen.
- Hoog risico: gebruik je AI bij werving, selectie of beslissingen over medewerkers, dan gelden vanaf 2 december 2027 strenge eisen, onder meer menselijk toezicht en het bewaren van logs.
- Overzicht: weet welke AI-systemen in je organisatie worden gebruikt, waarvoor en door wie.
Voorbeelden: in welke categorie valt mijn AI-toepassing?
| Toepassing | Waarschijnlijke categorie | Wat je moet doen |
|---|---|---|
| Medewerkers gebruiken ChatGPT of Copilot voor teksten | Minimaal risico | AI-geletterdheid ondersteunen, AVG volgen |
| AI leest inkoopfacturen en zet boekingen klaar | Minimaal risico | AVG volgen, menselijke controle op betalingen |
| Een chatbot beantwoordt klantvragen op de website | Beperkt risico | Duidelijk maken dat het AI is |
| Een AI-agent beantwoordt e-mails van klanten | Beperkt risico | Duidelijk maken dat het AI is |
| AI maakt productfoto's of video's die echt lijken | Beperkt risico | Aangeven dat het door AI is gemaakt |
| AI rangschikt sollicitanten of wijst ze af | Hoog risico | Strenge eisen vanaf 2 december 2027, menselijk toezicht |
| AI analyseert de emoties van medewerkers tijdens gesprekken | Verboden | Niet gebruiken |
Dit zijn indicaties. De precieze indeling hangt af van hoe de toepassing wordt gebruikt.
Veelgemaakte misverstanden
- "De AI Act geldt alleen voor grote techbedrijven." Nee, ook voor bedrijven die AI gebruiken, inclusief het mkb.
- "Alle AI is nu streng gereguleerd." Nee, de meeste toepassingen vallen onder minimaal risico.
- "Ik gebruik alleen software van een leverancier, dus het is hun probleem." Deels: de leverancier heeft eigen plichten, maar als gebruiker heb je ook verplichtingen, zoals transparantie en menselijk toezicht.
- "De hoog-risicoregels gelden pas in 2027, dus ik hoef niets te doen." De transparantieregels en de verboden gelden al, en voorbereiden op 2027 kost tijd.
Benieuwd wat dit voor jouw bedrijf oplevert?
In 45 minuten kijken we samen waar AI in jouw bedrijf tijd oplevert. Gratis en vrijblijvend.
De AI Act en de AVG
De AI Act komt bovenop de AVG, niet in plaats daarvan. Verwerkt een AI-toepassing persoonsgegevens, dan gelden de regels van de AVG gewoon: een grondslag, niet meer gegevens dan nodig, een verwerkersovereenkomst, en bij een hoog risico een gegevensbeschermingseffectbeoordeling (DPIA). Veel bedrijven hebben met de AVG al een goede basis gelegd die ook voor de AI Act bruikbaar is.
Boetes
De AI Act kent hoge boetes. Voor het gebruik van verboden toepassingen kan de boete oplopen tot €35 miljoen of 7% van de wereldwijde jaaromzet, als dat hoger is. Voor andere overtredingen gelden lagere maxima. Voor het mkb gelden de lagere bedragen. Hoe de boetes in Nederland precies worden opgelegd, wordt geregeld in de Uitvoeringswet AI-verordening.
Wie houdt toezicht in Nederland?
Nederland kiest voor een gecombineerd model. De Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur krijgen een coördinerende rol, en bestaande toezichthouders in sectoren, zoals de AFM en DNB, houden toezicht binnen hun eigen terrein. Op de grote AI-modellen voor algemeen gebruik houdt het AI-bureau van de Europese Commissie toezicht. De Nederlandse uitvoeringswet was in 2026 in consultatie.
Hoe bereid je je voor op de AI Act?
- Maak een overzicht van alle AI-toepassingen in je organisatie: welke tools, waarvoor, door wie en met welke gegevens.
- Bepaal per toepassing het risiconiveau.
- Regel transparantie bij chatbots en AI-agents die met mensen communiceren.
- Stel een AI-gebruiksbeleid op en geef medewerkers een training.
- Controleer bij hoog-risicotoepassingen, zoals AI bij werving, of je leverancier aan de eisen gaat voldoen, en hoe je menselijk toezicht regelt.
- Leg alles vast, zodat je kunt laten zien wat je hebt gedaan.
Veelgestelde vragen over de AI Act
Wat is de AI Act?
De AI Act is de Europese wet die regels stelt aan het ontwikkelen en gebruiken van AI, ingedeeld naar risico. Sommige toepassingen zijn verboden, hoog-risicotoepassingen moeten aan strenge eisen voldoen, en voor chatbots geldt een transparantieplicht.
Geldt de AI Act ook voor kleine bedrijven?
Ja. De AI Act geldt voor alle organisaties die AI aanbieden of gebruiken, ongeacht hun grootte. Voor het mkb zijn er wel lagere boetes en enkele verlichte verplichtingen.
Moet ik melden dat mijn chatbot AI is?
Ja. Sinds 2 augustus 2026 moeten AI-systemen die met mensen communiceren duidelijk maken dat iemand met AI praat, tenzij dat al overduidelijk is.
Is ChatGPT gebruiken toegestaan onder de AI Act?
Ja. Het gebruik van algemene AI-assistenten voor gewone taken valt meestal onder minimaal risico. Let wel op de AVG bij persoonsgegevens, en op de plicht om de AI-geletterdheid van medewerkers te ondersteunen.
Wanneer is AI hoog risico?
Onder meer als AI wordt gebruikt bij werving en selectie, bij beslissingen over promotie of ontslag, bij kredietbeoordeling, in het onderwijs of in kritieke infrastructuur. De eisen voor deze toepassingen gelden vanaf 2 december 2027.
Is AI-training verplicht onder de AI Act?
De AI Act verplicht organisaties om maatregelen te nemen die de AI-geletterdheid van medewerkers ondersteunen. Een training is een goede manier om dat te doen. Sinds juli 2026 hoeft geen bepaald niveau meer te worden gegarandeerd. Lees meer over AI-workshops en trainingen.
Wat moet ik nu als eerste doen?
Maak een overzicht van de AI-toepassingen in je organisatie, regel transparantie bij chatbots, stel een kort AI-gebruiksbeleid op en zorg dat medewerkers weten wat wel en niet mag. Voor de meeste mkb-bedrijven is dat genoeg om nu aan de regels te voldoen.
Wat is het verschil tussen een aanbieder en een gebruiksverantwoordelijke?
Een aanbieder ontwikkelt een AI-systeem of brengt het onder eigen naam op de markt. Een gebruiksverantwoordelijke gebruikt een AI-systeem in de eigen organisatie. De meeste bedrijven zijn gebruiksverantwoordelijke, met minder plichten dan een aanbieder.
Wat is het AI-omnibusbesluit?
Het AI-omnibusbesluit (Verordening (EU) 2026/1744) is een aanpassing van de AI Act, in werking sinds 27 juli 2026. Het stelt onder meer de hoog-risicoregels uit naar december 2027 en augustus 2028, en zwakt de plicht tot AI-geletterdheid af.