AI-verordening voor het mkb: wat je nu wel en niet moet regelen

Twee misverstanden over wat er nu geldt

De AI-verordening, in de praktijk vaker AI Act genoemd, gaat in fasen in. Daardoor bestaan er twee hardnekkige misverstanden. Het eerste: alles geldt al, dus je moet nu een compliance-traject optuigen. Het tweede: het gaat alleen over hoog-risicosystemen, dus voor een gewoon bedrijf met ChatGPT speelt er niets. Allebei onjuist. Sinds 2 februari 2025 gelden het verbod op een aantal AI-toepassingen en de plicht om medewerkers AI-geletterd te maken. Sinds 2 augustus 2026 gelden daarnaast de transparantieregels: chatbots moeten zich als AI melden en AI-content moet herkenbaar zijn. Dat raakt vrijwel elk bedrijf dat AI gebruikt.

Tegelijk is het zwaarste deel juist uitgesteld. Eind juli 2026 werd de digitale omnibus van kracht, de wijzigingsverordening die de verplichtingen voor hoog-risicosystemen doorschuift. Stand-alone hoog-risicosystemen, zoals AI die sollicitanten beoordeelt of kredietwaardigheid inschat, hoeven pas op 2 december 2027 aan de eisen te voldoen. Voor AI die is ingebouwd in gereguleerde producten, zoals machines of medische hulpmiddelen, is dat 2 augustus 2028. Wie je vertelt dat je vandaag een volledig risicomanagementsysteem nodig hebt, loopt dus op de zaken vooruit. Wat nu geldt is kleiner en voor de meeste mkb-bedrijven in een paar weken te regelen.

Regel één: aantoonbare AI-geletterdheid

De plicht tot AI-geletterdheid geldt al sinds 2 februari 2025 en is de meest onderschatte. Gebruikt je bedrijf AI, dan moet je zorgen dat medewerkers die ermee werken voldoende begrijpen wat het kan, waar het de fout in gaat en welke regels erbij horen. De wet schrijft geen cursus of diploma voor. Het is een inspanningsverplichting: je moet kunnen laten zien dat je er serieus werk van maakt, passend bij hoe jullie AI inzetten. Voor vijf mensen die ChatGPT gebruiken voor mails is dat iets anders dan voor een webshop met een klantenservicebot.

Aantoonbaar is hier het sleutelwoord. Een goede afspraak die nergens is vastgelegd telt niet mee op het moment dat een klant, verzekeraar of toezichthouder ernaar vraagt. De meeste fouten die wij bij klanten zien komen niet door onwil maar door onduidelijkheid, zoals een medewerker die klantgegevens in een gratis tool plakt omdat niemand ooit heeft gezegd dat dat niet de bedoeling is. Een middag werk is genoeg om dit fatsoenlijk vast te leggen. Hoe je AI-output op kwaliteit controleert voordat die naar buiten gaat, lees je in AI-teksten schrijven voor je bedrijf.

• Leg op één A4 vast welke AI-tools jullie gebruiken en waarvoor
• Plan een korte teamsessie over mogelijkheden, risico's en huisregels
• Spreek af dat er geen klant- of persoonsgegevens in gratis AI-tools gaan
• Laat AI-output door een mens controleren voordat die naar buiten gaat
• Bewaar de afspraken en herhaal de sessie bij nieuw AI-gebruik

Regel twee: transparantie richting klanten

Heb je een chatbot op je website, dan moet die sinds 2 augustus 2026 bij het eerste contact duidelijk maken dat de klant met AI praat. Niet weggestopt in de voorwaarden, maar zichtbaar in het gesprek zelf, bijvoorbeeld met de openingszin: je chat met onze digitale assistent. Alleen als het voor een normale gebruiker overduidelijk is dat het om AI gaat, mag de melding achterwege blijven, en daar zou je niet op gokken. De meeste platforms hebben er inmiddels een standaardinstelling voor. Welke chatbots dit netjes geregeld hebben, lees je in beste AI-chatbot voor bedrijven.

Voor AI-content geldt een markeringsplicht. De plicht om content machineleesbaar te watermerken ligt vooral bij de makers van de AI-tools zelf, dus die hoef je niet zelf te bouwen. Wat wel op jouw bordje ligt: gebruik je AI voor levensechte beelden, video of audio, zoals een nagemaakte stem, dan moet je er duidelijk bij vermelden dat het AI is. Voor systemen die voor 2 augustus 2026 al op de markt waren geldt een overgangstermijn tot 2 december 2026, maar voor jouw eigen publicaties is de lijn simpel: wek geen valse indruk.

Regel drie: check je tools op verboden toepassingen

Sinds februari 2025 zijn bepaalde AI-toepassingen in de EU verboden, en daar staan de hoogste boetes op: tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet. De kans dat jij als mkb-bedrijf bewust zoiets bouwt is klein. Het risico zit in tools die je koopt of al gebruikt. Software die sollicitanten beoordeelt met emotieherkenning in een videogesprek bijvoorbeeld, of een systeem dat medewerkers scoort op gedrag buiten het werk. Loop daarom één keer je lijst met tools na en vraag leveranciers of hun product onder de AI-verordening valt en in welke categorie.

Verboden zijn onder meer emotieherkenning op de werkvloer en in het onderwijs, social scoring van burgers en systemen die mensen manipuleren op een manier die schade veroorzaakt. Voor de duidelijkheid: ChatGPT gebruiken voor teksten, een chatbot die klantvragen beantwoordt of AI die je mail sorteert valt hier niet onder. Dat zijn toepassingen met beperkt of minimaal risico, waarvoor hooguit de transparantieregels gelden. Wat erbij komt kijken zodra je AI zelfstandig laat handelen, lees je in AI-agents voor bedrijven. De check is in een middag klaar, maar je moet hem wel één keer doen.

Wat pas later speelt en wat je kunt negeren

De hoog-risicoverplichtingen spelen pas vanaf 2 december 2027, en dan alleen als je zulke systemen aanbiedt of gebruikt: AI die beslist over sollicitaties, kredieten, verzekeringen of toegang tot onderwijs. Gebruik je zulke software, dan komen er tegen die tijd gebruikersplichten bij, zoals menselijk toezicht. De verordening houdt bovendien rekening met kleinere bedrijven: mkb'ers krijgen vereenvoudigde technische documentatie en voor boetes geldt het laagste van de twee maxima, een percentage van je omzet in plaats van het miljoenenbedrag. Paniekverhalen over torenhoge boetes voor een bakker met een chatbot kloppen dus niet.

Wat je gerust kunt negeren: dure compliance-pakketten als je alleen ChatGPT en een chatbot gebruikt, certificeringen die volledige conformiteit beloven, en adviseurs die met de deadline van 2026 wapperen voor verplichtingen die pas eind 2027 gelden. Wat je niet negeert is de kans: wie de drie basisregels op orde heeft, kan AI met een gerust hart breder inzetten. Welke processen zich daarvoor lenen, lees je in AI voor het mkb. Wil je hulp bij zowel de spelregels als de toepassing, dan kijken we in een AI-consultancytraject wat er voor jouw bedrijf geldt en wat het oplevert.