De AI Act voor het mkb begint met een concrete vraag: welke AI-toepassing gebruik je, waarvoor en onder wiens verantwoordelijkheid? Daaruit volgen de regels die je moet beoordelen. Een tekstassistent, een sollicitatieselectie en een klantchat vragen verschillende controles. Begin bij de taak, zoals in onze gids voor AI-automatisering, en maak daarna de juridische beoordeling onderdeel van je keuze. De uitleg over AI-consultancy helpt om die onderzoeksvraag af te bakenen.
Bronnen gecontroleerd op 25-09-2026. Deze gids behandelt de EU AI Act voor Nederlandse bedrijven. De uitkomst voor jouw toepassing vraagt beoordeling van het concrete gebruik en de actuele wet.
Wat betekent de AI Act voor een mkb-bedrijf?
De AI Act stelt regels aan het aanbieden en gebruiken van AI. Voor je bedrijf draait de eerste beoordeling om je rol, het doel van de toepassing en de mensen die gevolgen van de uitkomst kunnen ondervinden. Een productnaam is daarvoor te grof: binnen hetzelfde pakket kunnen functies zitten met een andere taak en impact.
Behandel deze gids als een route naar de juiste vragen. Het is geen verklaring dat een toepassing voldoet. De praktische dossierindeling verderop is ons werkvoorstel; niet ieder genoemd document is voor elk bedrijf een afzonderlijke wettelijke verplichting.
Ben je gebruiker, aanbieder of allebei?
De wettelijke term voor een organisatie die een AI-systeem onder haar gezag gebruikt, is gebruiksverantwoordelijke, in het Engels deployer. Een aanbieder, of provider, ontwikkelt of laat een systeem ontwikkelen en brengt het onder eigen naam of merk op de markt of in gebruik. Ook laten bouwen kan dus relevant zijn. Deze rollen staan in artikel 3 van de AI Act.
Vraag bij inkoop wie welke rol vervult voor de concrete toepassing. “De leverancier regelt de AI Act” is geen taakverdeling. Je wilt weten wie de functie beschrijft, welke gebruiksgrenzen gelden en bij wie je terechtkunt als het gedrag verandert.
Neem een fictief installatiebedrijf. Het gebruikt een ingekochte assistent om conceptmails te schrijven. Daarnaast overweegt het een eigen klantenportaal met AI-antwoorden. Dat zijn aparte beoordelingen. Dat beide hetzelfde achterliggende model gebruiken, maakt hun doel, gebruikers en verantwoordelijkheden niet gelijk.
Leg bij maatwerk ook vast onder wiens naam het systeem in gebruik komt. Bespreek dat voordat je de opdracht tekent. Het bezit van broncode en je rol onder de AI Act zijn verschillende vragen; onze uitleg over code-eigendom en leveranciersafhankelijkheid behandelt de eerste.
Hoe bepaal je welke risicoregels passen?
Beschrijf het beoogde gebruik zo concreet dat iemand anders het kan toetsen. “Ondersteunt HR” helpt weinig. “Rangschikt sollicitanten zodat een recruiter bepaalt wie op gesprek komt” zegt wel wat de uitkomst doet. Werving, selectie en bepaalde personeelsbeslissingen staan in bijlage III.
| Voorbeeldfunctie | Eerste beoordelingsvraag | Praktisch bewijs om te verzamelen |
|---|---|---|
| Conceptmail voor een medewerker | Wie ziet en verzendt de tekst? | Werkinstructie en voorbeeld van controle |
| Websitechat met productinformatie | Begrijpt de bezoeker dat hij met AI praat? | Zichtbare melding en gesprekstest |
| Rangschikking van sollicitanten | Beïnvloedt de score wie wordt geselecteerd? | Doelbeschrijving, criteria en leveranciersbeoordeling |
| AI-functie in een product | Welke productwetgeving en veiligheidsfunctie zijn relevant? | Productdocumentatie en deskundige classificatie |
Dit zijn startvragen, geen automatische classificaties. Bijlage III kent onder voorwaarden uitzonderingen, bijvoorbeeld voor bepaalde voorbereidende taken zonder wezenlijke invloed op de beslissing. Profilering van personen binnen die bijlage valt niet onder die uitzondering. “Een mens kijkt ernaar” is op zichzelf onvoldoende onderbouwing. Zie artikel 6.
Controleer verboden gebruik apart. Het afleiden van emoties op de werkplek met een daarvoor bedoeld AI-systeem valt bijvoorbeeld onder een verbod, met uitzonderingen voor medische of veiligheidsredenen. Het gaat hier om emotieherkenning zoals wettelijk gedefinieerd, op basis van biometrische gegevens, niet om iedere analyse van geschreven feedback. Zie de verboden praktijken en de definities in artikel 3.
Laat een twijfelgeval beoordelen voordat je het met echte kandidaten, werknemers of klanten inzet. Bewaar daarbij de vraag waarop nog geen antwoord is. Een leeg vak met een eigenaar en vervolgstap is eerlijker dan een groene status op basis van een verkoopgesprek.
Welke ingangsdata gelden na de wijziging van 2026?
De AI Omnibus is aangenomen wetgeving. Verordening (EU) 2026/1744 verscheen op 24-07-2026 in het Publicatieblad en trad op 27-07-2026 in werking. De Europese Commissie bevestigt die inwerkingtreding. Sommige losse artikelpagina’s tonen nog oudere tekst; lees die samen met de wijzigingsverordening en de bijgewerkte officiële tijdlijn.
| Onderdeel | Relevante datum |
|---|---|
| Oorspronkelijke verboden en AI-geletterdheid | Sinds 02-02-2025; artikel 4 is inmiddels gewijzigd |
| Transparantie van artikel 50 | Sinds 02-08-2026 |
| Hoogrisico-eisen, hoofdstuk III secties 1 tot en met 3, bijlage III | 02-12-2027, behalve artikel 6 lid 5 |
| Diezelfde secties voor artikel 6 lid 1 en bijlage I | 02-08-2028 |
Voor aanbieders van generatieve systemen die vóór 02-08-2026 op de markt zijn gebracht, geldt voor artikel 50 lid 2 een overgang tot 02-12-2026. Die specifieke regeling staat in het gewijzigde artikel 111 lid 4. Dat is geen uitstel van heel artikel 50. De Commissie bevestigt de toepassing van de transparantieregels sinds augustus.
Dit overzicht selecteert relevante onderdelen, niet elke bepaling of overgangsregeling. Laat bij bestaande systemen ook de oorspronkelijke introductie en latere wijzigingen beoordelen. Plan een nieuwe broncontrole vóór ingebruikname, zodat een eerder memo geen stilzwijgende toestemming voor een andere versie wordt.
Wanneer moet je duidelijk maken dat je AI gebruikt?
Bij direct contact met AI moeten aanbieders zorgen dat mensen daarover worden geïnformeerd, tenzij dat in de concrete situatie al duidelijk is voor een redelijk geïnformeerde, oplettende persoon. Voor deepfakes gelden openbaarmakingsregels voor gebruiksverantwoordelijken. Bij AI-tekst die wordt gepubliceerd om het publiek over zaken van publiek belang te informeren, kan een uitzondering gelden na menselijke beoordeling of redactionele controle, mits een natuurlijke of rechtspersoon de redactionele verantwoordelijkheid draagt. Dit is dus geen algemene labelplicht voor iedere AI-ondersteunde tekst. Zie artikel 50.
Maak de beoordeling tastbaar. Open de klantchat op een telefoon en op een groot scherm. Controleer of de melding bij het begin van de interactie zichtbaar en begrijpelijk is. Een uitleg die alleen in een algemene privacyverklaring staat, vertelt je nog niet wat de bezoeker daadwerkelijk ziet.
Houd een zichtbaar bericht en technische markering uit elkaar. De Commissie onderscheidt informeren, machineleesbaar markeren en bekendmaken. Vraag de leverancier welke functie bij welke partij ligt en hoe je het resultaat controleert. Ga niet ervan uit dat een tekstregel onder je chatbot ook de verplichtingen van een model- of systeemaanbieder afhandelt.
Een bruikbare acceptatietest bevat de eerste begroeting, een vervolgbericht en de overdracht naar een medewerker. Kan de bezoeker zien wanneer een mens het gesprek overneemt? Bewaar de bevinding met de gebruikte versie. Daarmee kun je na een aanpassing controleren of de uitleg nog op de juiste plek staat.
Wat vraagt AI-geletterdheid nu van je team?
Het gewijzigde artikel 4 vraagt maatregelen die de ontwikkeling van AI-geletterdheid ondersteunen. Het schrijft geen gegarandeerd individueel kennisniveau of verplicht certificaat voor. De actuele antwoorden van de Commissie leggen die wijziging uit. Stem de aanpak af op de taak, ervaring en context van de mensen die met het systeem werken.
Bij het fictieve installatiebedrijf kan een oefening draaien om een overtuigend klinkende conceptmail met een onjuiste productbelofte. Laat medewerkers aanwijzen welke bron ze controleren en wanneer ze de tekst moeten aanpassen. De beheerder krijgt een andere opdracht: terugvinden welke instructie, bronversie en instellingen bij dat antwoord hoorden.
Bewaar kort wat je hebt gedaan en wat nog onduidelijk bleek. Denk aan de behandelde voorbeelden, aanwezige rollen en afgesproken vervolgactie. Dat helpt om een nieuwe medewerker of een gewijzigde functie gericht mee te nemen. Een presentielijst vertelt weinig over de problemen die mensen in hun werk tegenkomen.
Moet ieder mkb-bedrijf een FRIA maken?
Nee. Een grondrechteneffectbeoordeling, of FRIA, heeft een specifieke doelgroep: onder meer publiekrechtelijke organisaties en private organisaties die publieke diensten leveren en bepaalde hoogrisico-AI gebruiken, plus bepaalde toepassingen rond kredietwaardigheid en levens- of ziektekostenverzekeringen. Controleer de precieze reikwijdte en uitzonderingen in artikel 27. De AP wijst in haar FRIA-bericht van 17-08-2026 op het belang om nu al met de voorbereiding te beginnen.
Een FRIA en een DPIA voor gegevensbescherming zijn verschillende beoordelingen. Beschrijf in je projectplan wie vaststelt welke beoordeling nodig is en welke informatie daarvoor ontbreekt. Dit artikel behandelt de AI Act; de AVG-vragen over persoonsgegevens moeten daarnaast worden onderzocht.
Ook zonder vastgestelde FRIA-plicht kun je praktisch onderzoeken wie nadeel kan hebben van een verkeerde uitkomst. Denk bij het installatiebedrijf aan iemand die onterecht een ongunstige behandeling krijgt door een fout in een geautomatiseerde beoordeling. Noteer hoe die fout wordt ontdekt, wie kan ingrijpen en hoe iemand een uitkomst kan laten herzien. Presenteer zo’n interne oefening niet als een formele FRIA als die dat niet is.
Welk dossier helpt je om keuzes terug te vinden?
Maak per toepassing een kort, bruikbaar dossier. Ons voorstel is om de onderstaande onderdelen samen te bewaren en voor ieder open punt iemand verantwoordelijk te maken. De omvang volgt uit het gebruik; een standaardmap met ongebruikte documenten helpt de beheerder niet.
- Taak en grens: wat doet de functie, voor wie en wat mag ze niet beslissen?
- Rol en classificatie: welke beoordeling is gemaakt, door wie en op basis van welke versie en bron?
- Leveranciersinformatie: contactpunt, gebruiksinstructies, beperkingen en afspraken over wijzigingen.
- Praktijktest: voorbeelden van juiste, verkeerde en onduidelijke uitkomsten, met de afgesproken reactie.
- Beheer: wie ontvangt meldingen, kan de functie stilzetten en besluit over hervatting?
Bij antwoorden uit eigen documenten hoort ook bronbeheer. Een nieuwe handleiding kan een eerder antwoord ongeldig maken. Onze uitleg over AI met eigen gegevens en RAG gaat in op dat technische vraagstuk. Zo’n architectuurkeuze vervangt de juridische beoordeling niet.
Vraag bij een leveranciersdemo om één van je eigen uitzonderingen te doorlopen. Wat gebeurt er als een bron ontbreekt, een uitkomst wordt betwist of de medewerker de suggestie afwijst? Noteer wat je werkelijk hebt gezien. Een roadmapbelofte krijgt een andere status dan een werkende functie.
Hoe begin je concreet?
Kies één toepassing die al gebruikt wordt of binnenkort wordt ingevoerd. Beschrijf het doel, de gebruikers en de gevolgen van een fout. Verzamel de leveranciersdocumentatie en wijs iemand aan die de rol, risicobeoordeling en toepasselijke data laat controleren.
Zet daarna open vragen om in werk: een melding testen, een oefening voor medewerkers organiseren of juridisch advies vragen over een specifieke classificatie. Spreek ook af welke verandering een nieuwe beoordeling vraagt. Daarmee krijgt het dossier een plek in je dagelijkse beheer.
Wil je de technische werking en verantwoordelijkheden eerst helder krijgen? Neem een voorbeeldproces en de beschikbare documentatie mee. Plan een gesprek.
