De AI Act voor het MKB: wat je wel en niet hoeft te regelen
LAATST BIJGEWERKT ·
Volgens een KVK-onderzoek van juni 2025 weet de helft van de ondernemers niet dat de AI Act bestaat en is 7% er goed van op de hoogte. Dit artikel is voor de andere 93%.
Wat de AI Act is, in drie zinnen
De AI Act is de Europese verordening 2024/1689 die regels stelt aan het ontwikkelen en gebruiken van AI-systemen, gepubliceerd in het Publicatieblad van de EU. Hoe groter het risico van een toepassing voor mensen, hoe strenger de regels. De verordening geldt rechtstreeks in Nederland, zonder aparte Nederlandse wet.
De vier risicoklassen en waar MKB-gebruik meestal valt
De AI Act deelt toepassingen in op risico. Dit is de tabel die je moet kennen:
| Risicoklasse | Voorbeeld | Wat het voor jou betekent |
|---|---|---|
| Verboden | Sociale scoring, manipulatie van kwetsbare groepen, emotieherkenning op de werkvloer | Niet doen. Geldt sinds 2 februari 2025. |
| Hoog risico | AI die sollicitanten selecteert, kredietwaardigheid beoordeelt, medewerkers beoordeelt | Zware eisen: risicobeheer, documentatie, menselijk toezicht, registratie. Vooral voor de leverancier; de gebruiker heeft eigen plichten. |
| Beperkt risico | Chatbots, gegenereerde tekst of beeld richting het publiek | Transparantie: zeg dat het AI is. |
| Minimaal risico | Orders uit PDF's lezen, conceptmails opstellen, documenten samenvatten, planning ondersteunen | Geen specifieke eisen naast de algemene geletterdheidsplicht. |
Bijna alle procesautomatisering in het MKB valt in de laatste rij. Een AI-stap die orderregels uit een PDF haalt, beslist niets over een mens. Let op zodra AI iets doet met sollicitanten, personeelsbeoordeling of kredietbeslissingen: dan schuif je naar hoog risico.
Wat sinds 2 februari 2025 geldt
Twee onderdelen zijn al van kracht:
- Verboden toepassingen (artikel 5). Voor een normaal MKB-bedrijf niet relevant, tenzij je overweegt om emoties van medewerkers te meten of mensen te scoren op gedrag. Niet doen.
- AI-geletterdheid (artikel 4). Iedereen die namens jouw bedrijf AI gebruikt, moet daar voldoende kennis van hebben. Dat geldt ook bij Copilot of ChatGPT. Hoe je dat aanpakt staat in ons artikel over AI-geletterdheid volgens artikel 4.
Wat vanaf augustus 2026 geldt en wie handhaaft
Op 2 augustus 2026 wordt het grootste deel van de verordening van toepassing, waaronder de regels voor hoog-risicosystemen en de transparantieplichten. In Nederland bereiden de Autoriteit Persoonsgegevens (AP) en de RDI samen het toezicht voor; wie precies wat controleert, legt de Uitvoeringswet vast. Check de actuele stand op autoriteitpersoonsgegevens.nl.
Verwacht geen inspecteur aan de deur in de eerste maand. Verwacht wel dat een klant, een accountant of een verzekeraar je gaat vragen: "Welke AI gebruiken jullie, en hoe is dat geregeld?" Op die vraag wil je een antwoord hebben.
Vijf dingen die je nu regelt
Dit is de volgorde die wij bij klanten aanhouden. Samen kost het een bedrijf van 30 medewerkers twee tot vier dagdelen.
- Maak een AI-register. Eén lijst: welke tools en automatiseringen gebruiken we, waarvoor, welke data gaat erin, in welke risicoklasse valt het, wie is verantwoordelijk. Een tabel in SharePoint volstaat.
- Regel de geletterdheid. Een korte training voor iedereen die AI gebruikt, afgestemd op de rol. Leg presentie en inhoud vast.
- Stel je leveranciers de juiste vragen. Waar draait het model, wordt onze data gebruikt voor training, is er een verwerkersovereenkomst, in welke risicoklasse plaatst de leverancier het product zelf.
- Houd een mens aan de knop. Bij elke automatisering die iets doet richting een klant of medewerker: een goedkeuringsstap. Dat is geen wettelijke eis voor minimaal risico, maar het is de beste bescherming die er is, en het staat mooi in je register.
- Leg het vast op één A4. Een AI-beleid: wat mag, wat niet, wie keurt goed, waar meld je een fout.
Wat je níet hoeft
- Geen conformiteitsbeoordeling of CE-markering, tenzij je zelf een hoog-risicosysteem ontwikkelt of verkoopt.
- Geen registratie in de EU-databank voor gewone toepassingen.
- Geen aparte AI-functionaris. Iemand in het MT is verantwoordelijk; dat is genoeg.
- Geen verbod op ChatGPT. Wel: afspraken over welke data erin mag en op welk account.
- Geen certificaat voor geletterdheid. De wet vraagt kennis, niet een diploma.
Hoe het eruitziet in een proces
Stel je een automatisering voor als een rij van vier blokken: Order per mail → AI leest regels → Controlescherm → Order in ERP. In AI Act-termen is het tweede blok een AI-systeem met minimaal risico. Het derde blok, het controlescherm, is je menselijke toezicht. Het register beschrijft alle vier. De kern: de mens zit tussen de AI en het systeem dat iets uitvoert.
Checklist
| Onderdeel | Klaar? |
|---|---|
| AI-register met tools, doel, data, risicoklasse en eigenaar | [ ] |
| Geletterdheidstraining gegeven en vastgelegd | [ ] |
| Leveranciersantwoorden over regio, training en verwerkersovereenkomst | [ ] |
| Goedkeuringsstap in elke automatisering richting klant of medewerker | [ ] |
| AI-beleid op één A4, gedeeld met het team | [ ] |
| Check: gebruiken we AI bij werving, beoordeling of krediet? Zo ja: hoog risico, extra advies | [ ] |
VEELGESTELDE VRAGEN
Veelgestelde vragen
Geldt de AI Act ook voor een bedrijf dat alleen ChatGPT of Copilot gebruikt?
Ja. Wie AI-systemen gebruikt, valt onder de geletterdheidsplicht van artikel 4, ook als je alleen een chattool gebruikt. De zwaardere verplichtingen gelden alleen voor hoog-risicotoepassingen.
Moet ik als MKB-bedrijf een AI-register bijhouden?
Het is geen wettelijke verplichting voor gewone toepassingen, maar wel de eenvoudigste manier om aan te tonen dat je weet welke AI je gebruikt, waarvoor en wie verantwoordelijk is.
Wie handhaaft de AI Act in Nederland?
In Nederland bereiden de Autoriteit Persoonsgegevens (AP) en de Rijksinspectie Digitale Infrastructuur (RDI) samen het toezicht op de AI Act voor. Check de actuele stand op autoriteitpersoonsgegevens.nl.
