De EU AI Act is geen wetgeving met één ingangsdatum. De verordening kent een gefaseerde inwerkingtreding waarbij verschillende verplichtingen op verschillende momenten van kracht worden. Wie nu pas begint met voorbereiden, heeft voor sommige deadlines al te laat gereageerd — maar voor de meest ingrijpende verplichtingen is er nog tijd.
De complete tijdlijn
AI Act in werking getreden
De verordening is officieel gepubliceerd in het EU-publicatieblad en in werking getreden. Vanaf dit moment loopt de klok voor alle deadlines.
Verboden AI-systemen + AI-geletterdheid (artikel 4)
Verboden toepassingen zijn per direct onwettig. Artikel 4 — de verplichting om medewerkers te informeren over AI-gebruik en AI-geletterdheid te bevorderen — is al van kracht. Handhaving is nu al mogelijk.
Voorbereidingsfase voor hoog-risico verplichtingen
Drie maanden voor de belangrijkste deadline. Bedrijven die hoog-risico AI gebruiken, moeten nu inventariseren, documenteren en processen aanpassen.
Hoog-risico AI-verplichtingen van kracht
Alle nieuwe hoog-risico AI-systemen moeten voldoen aan de volledige verplichtingen: technisch dossier, risicobeoordeling, menselijk toezicht, registratie in EU AI-databank, transparantie naar gebruikers.
Bestaande hoog-risico systemen moeten compliant zijn
Hoog-risico AI-systemen die vóór 2 augustus 2026 al in gebruik waren, krijgen een jaar extra de tijd om te voldoen. Maar ook dit vereist nu al actie.
AI-geletterdheid was verplicht per 2 februari 2025. Heeft u uw medewerkers nog niet geïnformeerd over het AI-gebruik in uw organisatie? Dan bent u al vijftien maanden in overtreding. De Autoriteit Persoonsgegevens kan dit nu al handhaven. Dit is het eerste punt om op orde te brengen.
Wat "hoog-risico" betekent voor het MKB in de praktijk
Hoog-risico AI-systemen zijn gedefinieerd in Bijlage III van de AI Act. De meest voorkomende toepassingen in het MKB zijn:
- CV-screening en kandidaatselectie — tools die automatisch sollicitanten rangschikken of selecteren
- Prestatiebeoordelingen via AI — systemen die medewerkersbeoordeling ondersteunen of bepalen
- Kredietscoring voor consumenten — ook voor kleine fintech-toepassingen
- Medische hulpmiddelen met AI-functie — ook als u ze inzet, niet alleen als u ze maakt
- Toegangscontrolesystemen — biometrische identificatie voor toegang tot gebouwen of systemen
Bent u gebruiker of aanbieder? De meeste MKB-bedrijven zijn deployer (gebruiker) van hoog-risico AI, niet de aanbieder. Als deployer heeft u minder verplichtingen dan de aanbieder, maar u moet wel het menselijk toezicht regelen, medewerkers informeren, klachten afhandelen en eventueel registreren in de EU AI-databank.
Meest urgente acties per deadline-fase
Nu meteen: artikel 4 — AI-geletterdheid
Informeer medewerkers over welke AI-tools de organisatie gebruikt, wat de risico's zijn en welk beleid geldt. Documenteer dit met een datum. Dit is al verplicht en de eenvoudigste overtreding voor de AP om vast te stellen.
Voor augustus 2026: AI-register bijhouden
Stel een intern register op van alle AI-tools die uw organisatie gebruikt. Classificeer welke tools hoog-risico zijn. U hoeft dit niet te publiceren, maar u moet het kunnen tonen bij een controle.
Voor augustus 2026: hoog-risico documentatie
Voor elk hoog-risico systeem dat u gebruikt: stel een risicobeoordeling op, beschrijf de menselijke toezichtsprocedures en bewaar de technische documentatie van de aanbieder.
Voor augustus 2026: verwerkersovereenkomsten
Controleer of uw AI-leveranciers een verwerkersovereenkomst of AI Act-specifieke contractuele bepalingen aanbieden. Zonder dit mist u bewijs van due diligence.
Wat als u de deadline mist?
De Autoriteit Persoonsgegevens is aangewezen als nationale markttoezichthouder. Bij een eerste overtreding is een waarschuwing met hersteltermijn gebruikelijk. Maar bij ernstige gevallen — of als de AP proactief onderzoek doet in uw sector — kunnen direct boetes volgen tot €15 miljoen of 3% van de jaaromzet.
Bovendien: als een medewerker of klant een klacht indient over uw gebruik van hoog-risico AI, is de AP verplicht dit te onderzoeken. Een ontbrekend register of ontbrekende documentatie maakt uw positie dan bijzonder zwak.
Check in 10 minuten wat u nog moet doen
De gratis ActCheck-checker bepaalt welke deadlines voor uw organisatie relevant zijn en welke stappen u nog moet zetten vóór augustus 2026.
Start de gratis check