De AI-verordening in gewone taal voor mkb-ondernemers

De Europese AI-verordening, ook wel AI Act genoemd, is de eerste brede wet over kunstmatige intelligentie. Voor veel ondernemers voelt hij als iets voor grote techbedrijven. Maar ook een bedrijf van twintig mensen dat AI gebruikt voor facturen, mail of planning heeft ermee te maken. Het goede nieuws: voor de meeste mkb-toepassingen valt het mee. In dit artikel lees je in gewone taal wat er geldt, wat er in juli 2026 is veranderd en wat je nu moet doen.

Dit artikel is geen juridisch advies. Twijfel je over jouw situatie, vraag het dan na bij een jurist.

Wat is de AI-verordening?

De AI-verordening is Verordening (EU) 2024/1689. Hij is op 1 augustus 2024 in werking getreden en gaat stap voor stap gelden, volgens de tijdlijn op artificialintelligenceact.eu.

De wet werkt met risico's. Hoe groter het risico van een AI-toepassing voor mensen, hoe strenger de regels. Grofweg zijn er vier niveaus:

• Verboden toepassingen. Bijvoorbeeld sociale scoring of emotieherkenning op de werkvloer, behalve om medische of veiligheidsredenen.
• Hoog risico. Bijvoorbeeld AI voor werving en selectie of voor beslissingen over werknemers.
• Transparantieverplichtingen. Bijvoorbeeld chatbots en door AI gemaakte beelden.
• Overige toepassingen. Hiervoor gelden weinig extra regels.

De meeste toepassingen in een mkb-bedrijf, zoals facturen verwerken, mail sorteren of rapportages maken, vallen in die laatste categorie.

Ben je aanbieder of gebruiker?

De wet maakt onderscheid tussen de aanbieder, die een AI-systeem ontwikkelt en op de markt brengt, en de gebruiksverantwoordelijke, die het systeem onder eigen verantwoordelijkheid gebruikt. In de Engelse tekst heet dat de deployer.

Als mkb-bedrijf ben je meestal gebruiksverantwoordelijke. De zwaarste plichten liggen bij de aanbieder. Laat je een AI-systeem op maat bouwen en gebruik je het onder je eigen naam, ga dan wel na welke rol je hebt. Dat is niet altijd zwart-wit.

Wat geldt er nu al?

Sinds 2 februari 2025

• Verboden praktijken. De verboden toepassingen mogen niet meer worden gebruikt.
• AI-geletterdheid. Aanbieders en gebruiksverantwoordelijken moeten maatregelen nemen voor de AI-geletterdheid van hun personeel, volgens artikel 4. In gewone taal: de mensen die met AI werken, moeten genoeg weten om het verantwoord te doen.

Sinds 2 augustus 2026

• Transparantie. Artikel 50 geldt. Aanbieders moeten AI-systemen die rechtstreeks met mensen communiceren zo ontwerpen dat mensen weten dat ze met AI praten, tenzij dat duidelijk is uit de context. Gebruiksverantwoordelijken moeten melden als beeld, geluid of video door AI is gemaakt of bewerkt en echt lijkt (een deepfake). Ook tekst die met AI is gemaakt en wordt gepubliceerd om het publiek te informeren over zaken van algemeen belang, moet als zodanig herkenbaar zijn, tenzij een mens de tekst heeft gecontroleerd en er redactioneel verantwoordelijk voor is.

Wat is er in juli 2026 veranderd?

De EU heeft de verordening aangepast met de zogenoemde Digital Omnibus on AI, Verordening (EU) 2026/1744, gepubliceerd op 24 juli 2026. Volgens een toelichting van ICTRecht zijn dit voor het mkb de belangrijkste wijzigingen:

• Hoog risico later. De regels voor hoog-risicosystemen uit bijlage III, waaronder werving en personeelsbeheer, gelden vanaf 2 december 2027 in plaats van 2 augustus 2026. Voor AI in producten die al onder Europese productregels vallen, is dat 2 augustus 2028.
• AI-geletterdheid soepeler. De plicht blijft, maar het gaat nu om het nemen van maatregelen, niet om het garanderen van een bepaald niveau per medewerker. Daarnaast moeten de Commissie en de lidstaten vooral mkb-bedrijven hierbij helpen.
• Lichtere eisen voor het mkb. Onder meer eenvoudigere technische documentatie voor aanbieders en voorrang bij zogeheten regulatory sandboxes.

Let op: niet alle informatie is al bijgewerkt. De pagina over de AI Act op Ondernemersplein noemde bij het schrijven van dit artikel nog 2 augustus 2027 voor hoog-risicosystemen. Controleer data dus altijd in de tekst van de verordening zelf of bij een actuele bron.

Wanneer wordt het hoog risico?

Voor een mkb-bedrijf is vooral punt 4 van bijlage III belangrijk. Hoog risico zijn onder meer AI-systemen die bedoeld zijn om:

• vacatures gericht te tonen, sollicitaties te filteren of kandidaten te beoordelen;
• beslissingen te nemen over promotie of ontslag;
• taken toe te wijzen op basis van gedrag of persoonlijke kenmerken;
• prestaties en gedrag van werknemers te monitoren en te beoordelen.

Gebruik je zo'n systeem, dan heb je vanaf 2 december 2027 extra plichten volgens artikel 26. Je moet het systeem gebruiken volgens de instructies, menselijk toezicht regelen door mensen die daarvoor zijn toegerust, de werking in de gaten houden, de logs minstens zes maanden bewaren en werknemers en hun vertegenwoordigers vooraf informeren.

Een agent die facturen verwerkt of mail sorteert, valt hier niet onder. Een tool die cv's rangschikt wel.

Hoe hoog zijn de boetes?

Artikel 99 noemt maximale boetes tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet voor verboden praktijken, en tot 15 miljoen euro of 3 procent voor andere overtredingen. Voor grote bedrijven geldt het hoogste van de twee. Voor het mkb en start-ups geldt juist het laagste van de twee.

Wat doe je nu?

1. Maak een lijst van je AI-gebruik. Welke tools en agents gebruiken jij en je team, waarvoor, en met welke gegevens? Vergeet de losse chattools niet die mensen zelf gebruiken.
2. Bepaal per toepassing de risicocategorie. Valt iets onder bijlage III, zoals werving of beoordeling van personeel? Dan heb je tot 2 december 2027 om je voor te bereiden.
3. Regel AI-geletterdheid. Zorg dat de mensen die met AI werken weten wat het kan, waar het fouten maakt en wat ze er niet mee mogen. Leg vast wat je hebt gedaan.
4. Wees open naar klanten. Laat je een AI-agent zelfstandig met klanten communiceren, zeg dan dat het AI is.
5. Vergeet de AVG niet. De AI-verordening komt bovenop de privacyregels, niet in plaats daarvan.

Wat nog onzeker is

Niet alles is al uitgewerkt. De Europese normen waarmee aanbieders kunnen aantonen dat ze aan de eisen voldoen, zijn volgens Ondernemersplein nog in ontwikkeling, en de tijdlijn bevat nog meerdere richtsnoeren van de Commissie die in 2027 moeten verschijnen. Houd daarom de officiële bronnen in de gaten, zeker als je een toepassing hebt die tegen hoog risico aan zit.

Tot slot

Voor de meeste mkb-toepassingen vraagt de AI-verordening vooral overzicht, uitleg aan je team en openheid naar klanten. Tideform houdt bij het bouwen van agents rekening met deze regels: je krijgt overzicht van welke AI waar draait en wat hij mag, en beslissingen over mensen blijven bij mensen.