AI Act uitgelegd: wat moet jij als bedrijf doen?

De AI Act, in het Nederlands de AI-verordening (Verordening (EU) 2024/1689), is de Europese wet die regels stelt aan het ontwikkelen en gebruiken van kunstmatige intelligentie. Ook als je alleen ChatGPT of Copilot op kantoor gebruikt, heb je ermee te maken, al zijn je verplichtingen dan beperkt. Sommige regels gelden al, andere zijn net verschoven: de regels voor hoog-risico-AI zijn sinds de zogeheten Digital Omnibus uitgesteld tot 2 december 2027 en 2 augustus 2028.

Hieronder lees je wat de wet inhoudt, wat wanneer ingaat, wie in Nederland toezicht houdt, welke boetes erin staan en wat je als mkb-bedrijf nu kunt regelen. Dit is algemene informatie en geen juridisch advies. Twijfel je over je eigen situatie, vraag dan een jurist.

Wat is de AI Act?

De AI Act is volgens de Europese Commissie het eerste omvattende wettelijk kader voor AI. De wet gaat uit van risico: hoe groter de kans op schade voor mensen, hoe strenger de regels. Ze geldt voor aanbieders (wie AI-systemen of -modellen ontwikkelt en op de markt brengt) en voor gebruiksverantwoordelijken (wie een AI-systeem in een professionele context inzet, in het Engels "deployers"). Als bedrijf dat ChatGPT, Copilot of Gemini gebruikt, ben je meestal het laatste. Wil je eerst weten wat AI eigenlijk is, lees dan wat AI is.

De vier risiconiveaus

De Commissie deelt AI in vier categorieën in.

De meeste AI-systemen in de EU vallen volgens de Commissie in de laatste categorie. Als mkb-bedrijf met ChatGPT of Copilot kom je vooral de verboden, de transparantieregels en de AI-geletterdheid tegen. Hoog risico wordt relevant zodra je AI inzet voor beslissingen over mensen, bijvoorbeeld om sollicitanten te rangschikken.

Wat geldt er al en wat komt er nog?

De wet is gefaseerd ingevoerd. Dit is de stand van 15 oktober 2026, op basis van de Europese Commissie en de gewijzigde verordeningstekst op EUR-Lex.

De Digital Omnibus is aangenomen

Een voorstel van de Commissie van 19 november 2025 wilde de hoog-risicoregels uitstellen. Het is inmiddels wet: het Europees Parlement nam zijn standpunt in op 16 juni 2026, de verordening is op 8 juli 2026 ondertekend en volgens de Commissie op 27 juli 2026 in werking getreden. Het gaat om Verordening (EU) 2026/1744. Vóór de wijziging stond 2 augustus 2026 voor hoog-risico-AI in de wet. Let op: veel Nederlandse pagina's noemen nog oudere data, zoals 2 augustus 2027. Die zijn achterhaald.

De Omnibus veranderde ook artikel 4 over AI-geletterdheid. Aanbieders en gebruikers moeten nu maatregelen nemen om de AI-geletterdheid van hun personeel en andere betrokkenen te ondersteunen, rekening houdend met kennis, ervaring en context. De tekst zegt uitdrukkelijk dat daarmee geen bepaald niveau van AI-geletterdheid gegarandeerd hoeft te worden. De Commissie en de lidstaten moeten bedrijven, vooral kmo's, hierbij helpen. De plicht blijft dus bestaan, maar is lichter geformuleerd dan eerst.

Wat is er al verboden?

Sinds 2 februari 2025 zijn bepaalde toepassingen verboden. De Commissie noemt er negen, waaronder social scoring en realtime biometrische identificatie op afstand in openbare ruimtes door opsporingsdiensten (met uitzonderingen). Het scrapen van gezichtsbeelden om gezichtsherkenningsdatabanken op te bouwen staat volgens Ondernemersplein ook op de lijst. Voor de meeste bedrijven is dit zelden relevant, maar loop de lijst wel eens na als je AI met personen of camerabeelden gebruikt.

Transparantie: chatbots en AI-content

Artikel 50 gaat over wat je mensen moet vertellen. Volgens de tekst op de AI Act Service Desk van de Commissie komt het hierop neer:

• Chatbots: aanbieders moeten ervoor zorgen dat mensen weten dat ze met een AI praten, tenzij dat vanzelf duidelijk is. Zet jij een chatbot op je website in, dan wil je dit dus netjes tonen.
• Markering van AI-content: aanbieders van systemen die audio, beeld, video of tekst genereren moeten de uitvoer machineleesbaar markeren. Dat ligt bij de makers van de tools, niet bij jou als gebruiker. Zo noemde OpenAI de AI-verordening als aanleiding voor het onzichtbare watermerk in ChatGPT-teksten.
• Deepfakes: wie als professional een deepfake (beeld, audio of video) publiceert, moet zeggen dat het kunstmatig is.
• Tekst over zaken van openbaar belang: AI-tekst die wordt gepubliceerd om het publiek te informeren, moet als AI-tekst worden aangeduid, tenzij een mens de tekst heeft gecontroleerd of er redactionele controle en verantwoordelijkheid is.
• Emotieherkenning en biometrische categorisatie: wie dat inzet, moet de mensen erover informeren.

Een gewone blogpost of nieuwsbrief die jij met AI opstelt en zelf controleert, valt dus niet onder een algemene etiketteerplicht. Ondernemersplein formuleert dit ruimer. Wij volgen hier de wettekst. Wil je weten hoe je AI-teksten herkent, kijk dan bij onze gids over AI-detectors.

Boetes

De maximumboetes staan in artikel 99, volgens de AI Act Service Desk van de Commissie:

Voor grote bedrijven geldt het hoogste van beide bedragen. Voor kmo's en start-ups geldt het laagste. Dit zijn maxima. Hoe de boetes in Nederland worden opgelegd, hangt af van de nationale uitvoeringswet.

Wie houdt in Nederland toezicht?

De Autoriteit Persoonsgegevens (AP) is al sinds 2023 coördinerend toezichthouder op AI en algoritmes. Op 9 oktober 2026 meldde de AP de start van een nieuwe directie Toezicht en Coördinatie AI/Algoritmes (TCA), met een afdeling die algoritmes en AI-risico's analyseert en een afdeling die het toekomstige markttoezicht voorbereidt. Het kabinet wil de AP samen met de Rijksinspectie Digitale Infrastructuur (RDI) een centrale rol geven.

Formeel is het nog niet rond. De AP schrijft zelf dat ze beoogd markttoezichthouder is, maar nog niet aangewezen, en dat ze pas bevoegdheden krijgt zodra de Nederlandse Uitvoeringswet AI-verordening van kracht is. Die wet lag van 20 april tot 1 juni 2026 in internetconsultatie. Volgens de AP wordt er op dit moment nog aan gewerkt. We vonden geen officiële bron die zegt dat het wetsvoorstel bij de Tweede Kamer is ingediend. De Europese deadline voor het aanwijzen van toezichthouders was 2 augustus 2025, Nederland is dus te laat. Dat betekent niet dat de regels niet gelden: de verplichtingen uit de verordening zelf werken rechtstreeks. Alleen het nationale toezicht en de handhaving zijn nog niet volledig ingericht. Het AVG-toezicht, dat ook bij AI-gebruik met persoonsgegevens gewoon geldt, ligt al bij de AP.

Checklist: wat moet je nu doen als mkb-bedrijf met ChatGPT of Copilot?

1. Inventariseer je AI-gebruik. Maak een lijstje van tools (ChatGPT, Copilot, Gemini, plug-ins in je CRM) en wie ze waarvoor gebruikt. Zie ook AI voor bedrijven en het mkb.
2. Bepaal je rol. Gebruik je een bestaande tool, dan ben je gebruiksverantwoordelijke. Bouw of verkoop je zelf AI, dan ben je aanbieder en wordt het ingewikkelder.
3. Check op verboden toepassingen. Voor gewone kantoortaken zul je niets tegenkomen. Let op bij emotieherkenning of biometrie.
4. Check of je hoog-risico-AI gebruikt. AI die sollicitanten rangschikt of beslist over kredieten, onderwijs of essentiële diensten valt onder hoog risico. De eisen gelden daarvoor pas vanaf 2 december 2027, maar zet het nu alvast op je lijst.
5. Zorg voor AI-geletterdheid. Een korte training of een interne instructie over wat de tools wel en niet kunnen, plus controleren van uitkomsten. Welke AI-cursussen en trainingen daarvoor geschikt zijn, zetten we apart op een rij. Leg vast wat je hebt gedaan. Wat een taalmodel is, staat in wat een LLM is.
6. Schrijf een kort AI-beleid. Welke tools mogen, welke gegevens gaan er niet in (klantdata, vertrouwelijke stukken) en wanneer controleert een mens de output.
7. Maak chatbots en AI-beelden herkenbaar. Zeg op je website dat het om een AI-assistent gaat, en label deepfakes of realistische AI-beelden van echte mensen.
8. Controleer je leveranciers. Kijk wat Microsoft, OpenAI of Google zelf zeggen over AI Act en privacy, bijvoorbeeld voor Copilot en ChatGPT. Gaat er persoonsgegevens in, dan komt ook de AVG om de hoek kijken.
9. Houd de data in de gaten. De Nederlandse uitvoeringswet kan het toezicht en de handhaving nog veranderen.

Veelgestelde vragen

Geldt de AI Act ook voor mijn kleine bedrijf?

Ja, de wet kent geen algemene vrijstelling voor kleine bedrijven. Gebruik je alleen bestaande tools, dan zijn je verplichtingen wel beperkt: AI-geletterdheid, geen verboden toepassingen en transparantie waar dat van toepassing is. Voor kmo's geldt wel een lagere boetegrens en de Commissie en lidstaten moeten kmo's helpen bij AI-geletterdheid.

Wanneer gaat de AI Act in?

De wet is in werking sinds 1 augustus 2024 en wordt gefaseerd toegepast. Verboden en AI-geletterdheid gelden sinds 2 februari 2025, GPAI-regels sinds 2 augustus 2025 en de algemene toepassing en transparantieregels vanaf 2 augustus 2026. Hoog-risico-AI volgt op 2 december 2027 en 2 augustus 2028.

Moet ik AI-gegenereerde teksten en afbeeldingen labelen?

De markering in de uitvoer zelf is de taak van de aanbieder van de tool. Als gebruiker moet je deepfakes als zodanig aanduiden en AI-tekst die je publiceert om het publiek over zaken van openbaar belang te informeren, tenzij een mens die heeft gecontroleerd en er redactionele verantwoordelijkheid is. Voor gewone marketingteksten zie je in de wettekst geen algemene etiketteerplicht voor gebruikers.

Wat is het verschil tussen de AI Act en de AVG?

De AVG beschermt persoonsgegevens, de AI Act regelt de veiligheid en betrouwbaarheid van AI-systemen zelf. Ze kunnen allebei gelden, bijvoorbeeld als je klantdata in een AI-tool stopt.

Wie controleert de naleving in Nederland?

De AP en de RDI krijgen volgens het kabinet een centrale rol, maar de Uitvoeringswet AI-verordening is nog niet in werking. Volgens de AP is zij nog niet formeel aangewezen als markttoezichthouder.

Bronnen

• Verordening (EU) 2024/1689 (AI-verordening), EUR-Lex
• Verordening (EU) 2026/1744 (Digital Omnibus AI), EUR-Lex
• Europese Commissie: regelgevingskader voor AI
• AI Act Service Desk: artikel 50 en artikel 99
• Autoriteit Persoonsgegevens: AP zet volgende stap in toezicht op AI (9 oktober 2026)
• Internetconsultatie Uitvoeringswet AI-verordening
• Ondernemersplein: AI-verordening