EU AI Act voor het MKB: wat moet u doen vóór 2 augustus 2026?

Waarom de EU AI Act ook voor uw bedrijf geldt

Veel ondernemers denken dat de EU AI Act alleen voor techbedrijven of grote corporates is. Dat is een misverstand. De wet geldt voor elk bedrijf dat AI-systemen inzet — of u nu ChatGPT gebruikt voor uw e-mails, LinkedIn Recruiter voor het vinden van kandidaten, of Copilot in uw Microsoft 365-omgeving.

U bent dan een deployer: een organisatie die een AI-systeem toepast in een professionele context. En deployers hebben zelfstandige wettelijke verplichtingen, ongeacht hoe groot uw bedrijf is.

Wat is er al verplicht? (Artikel 4 — AI-geletterdheid)

Sinds 2 februari 2025 zijn deployers verplicht om te zorgen dat medewerkers die met AI-systemen werken, voldoende kennis hebben van:

• Hoe de AI-tool werkt (globaal technisch begrip)
• Welke risico's eraan verbonden zijn
• Hoe ze verantwoord met de tool omgaan
• Wanneer de output van de AI gecheckt moet worden door een mens

Dit hoeft geen formele opleiding te zijn — ook een intern document, een teambespreking of een e-learning voldoet — als u het maar aantoonbaar kunt maken. Zonder documentatie bent u in overtreding.

Wat moet er klaarliggen vóór 2 augustus 2026?

Per 2 augustus 2026 treden de verplichtingen voor hoog-risico AI en transparantie-eisen volledig in werking. Voor de meeste MKB-bedrijven betekent dit een verplicht basispakket:

• 1AI-register: een overzicht van alle AI-tools die uw bedrijf gebruikt, met naam, doel, aanbieder, risiconiveau en welke data er ingaat.
• 2AI-beleid: een intern document dat beschrijft hoe uw organisatie omgaat met AI — wie mag wat gebruiken, welke data mag erin, hoe u kwaliteit borgt.
• 3Aantoonbare training: bewijs dat medewerkers die AI gebruiken geïnformeerd zijn over de risico's (artikel 4). Dit kan een e-learning zijn, een gespreksverslag of een intern certificaat.
• 4Transparantie naar klanten: als uw bedrijf AI inzet in communicatie met klanten (chatbot, gegenereerde e-mails), moet u dit melden.
• 5Verwerkersovereenkomsten: controleer of uw AI-leveranciers een data processing agreement (DPA) bieden en teken deze waar nodig.

Wat is hoog-risico AI en geldt dat voor mij?

Hoog-risico AI-systemen zijn systemen die worden ingezet in specifieke sectoren of toepassingen die een direct effect hebben op mensenrechten, veiligheid of kansen. Denk aan:

• HR en recruitment: AI die sollicitanten rangschikt, beoordeelt of selecteert (bijv. ATS-systemen met AI, HireVue)
• Financiële dienstverlening: AI die kredietwaardigheid beoordeelt of fraudedetectie doet
• Zorg: AI in medische hulpmiddelen of diagnose-ondersteuning
• Onderwijs: AI die studenten beoordeelt of toegang tot opleidingen bepaalt

Als uw bedrijf zulke systemen gebruikt, zijn er extra verplichtingen: technische documentatie, risicobeoordelingen, menselijk toezicht, en in sommige gevallen registratie in de EU AI-databank vóór gebruik.

Wat zijn de boetes bij niet-naleving?

De toezichthouders zijn er — in Nederland is de Autoriteit Persoonsgegevens (AP) aangewezen als nationale toezichthouder voor de AI Act. De boetes zijn niet gering:

• Gebruik van verboden AI: tot €35 miljoen of 7% van de wereldwijde jaaromzet
• Niet naleven van hoog-risico verplichtingen: tot €15 miljoen of 3%
• Onjuiste informatie verstrekken: tot €7,5 miljoen of 1,5%

Voor MKB zijn de percentages vrijwel altijd relevanter dan de absolute bedragen. Een bedrijf met €2 miljoen omzet riskeert bij ernstige overtredingen een boete van €140.000.

Hoe begin ik? Een praktisch 4-stappenplan

Stap 1: inventariseer uw AI-tools (30 minuten)

Maak een lijst van alle AI-tools die uw bedrijf gebruikt. Denk breder dan alleen ChatGPT: ook Copilot in Word/Excel, AI in uw boekhoudpakket, LinkedIn Recruiter, Grammarly, en AI-chatbots op uw website tellen mee.

Stap 2: classificeer het risico (1 uur)

Bepaal per tool of het minimaal risico, beperkt risico, of hoog risico is. Gebruik hiervoor de gratis checker op actcheck.nl — dit doet de classificatie automatisch op basis van uw antwoorden.

Stap 3: stel uw basisdocumentatie op (1 middag)

Maak een AI-register (lijst van tools met risicoclassificatie) en een beknopt AI-beleid. Het hoeft geen roman te zijn — een eenpager per tool en een A4-document als beleid voldoen voor de meeste MKB-bedrijven.

Stap 4: train uw medewerkers (1-2 uur)

Informeer medewerkers over de tools die zij gebruiken en de risico's ervan. Documenteer dat dit is gedaan. Een e-mail met bevestiging, een verslag van een teamoverleg, of een e-learning-certificaat zijn alle geldig bewijs.