De AI Act uitgelegd voor ondernemers

AI Act, wat is dat precies?

Wie zoekt op AI Act wat is dat, krijgt vaak lange juridische teksten. Hier is de versie in gewone taal.

De AI Act heet officieel Verordening (EU) 2024/1689. In het Nederlands wordt hij ook de AI-verordening genoemd. Het is de eerste brede wet ter wereld die AI regelt. Hij is op 1 augustus 2024 in werking getreden.

Het doel is tweeledig. De wet moet mensen beschermen tegen AI die hun veiligheid of grondrechten schaadt. En hij moet zorgen dat er in de hele EU dezelfde regels gelden, zodat bedrijven niet per land iets anders hoeven te doen.

De wet maakt onderscheid tussen rollen:

• Aanbieder: wie een AI-systeem ontwikkelt of onder eigen naam op de markt brengt. Denk aan OpenAI, Microsoft of een softwarebedrijf dat AI in zijn product stopt.
• Gebruiksverantwoordelijke: wie een AI-systeem gebruikt in zijn beroep of bedrijf. Dat ben jij als je ChatGPT, Copilot of een AI-planningstool inzet.

De zwaarste plichten liggen bij aanbieders. Maar ook als gebruiker heb je taken, zeker bij hoog risico.

De vier risiconiveaus

De kern van de wet is een indeling naar risico. Een uitgebreide uitleg per klasse staat in AI Act hoog risico en de risicoklassen.

Daarnaast zijn er regels voor AI-modellen voor algemene doeleinden, zoals de modellen achter ChatGPT, Claude en Gemini. Die plichten liggen bij de makers van die modellen.

AI Act inwerkingtreding: wanneer geldt wat?

De wet gaat in stappen in. In juli 2026 is de planning aangepast door de Digital Omnibus, Verordening (EU) 2026/1744. Die is op 27 juli 2026 in werking getreden. Wie zocht op 'AI Act uitgesteld': dit is dat uitstel.

Op 2 augustus 2026 werd de wet in principe volledig van toepassing. Door de Omnibus zijn de hoog-risicoregels dus later. Meer over de wijzigingen lees je in AI Act Digital Omnibus.

Wat betekent de AI Act voor hoogrisico-AI?

Hoog risico is de categorie met de meeste plichten. Als aanbieder moet je onder meer een risicobeheersysteem hebben, goede trainingsdata gebruiken, technische documentatie bijhouden, logging inbouwen en zorgen dat een mens kan ingrijpen. Het systeem krijgt een CE-markering en komt in een Europese databank.

Als gebruiker van hoogrisico-AI moet je:

• het systeem gebruiken volgens de gebruiksaanwijzing van de aanbieder;
• menselijk toezicht regelen door iemand die daar de kennis en bevoegdheid voor heeft;
• de automatisch gemaakte logs bewaren, minstens zes maanden;
• werknemers informeren voordat je zo'n systeem op de werkvloer inzet;
• problemen en ernstige incidenten melden aan de aanbieder.

Voor het mkb speelt dit vooral bij werving. Gebruik je een tool die sollicitanten automatisch rangschikt of afwijst, dan valt die waarschijnlijk onder hoog risico. Vraag de leverancier dan hoe hij zich voorbereidt op december 2027.

Wie houdt toezicht op de AI Act?

Op Europees niveau is er het AI Office van de Europese Commissie. Dat houdt toezicht op de grote AI-modellen. Door de Omnibus krijgt het AI Office ook meer eigen handhavingsbevoegdheden.

In Nederland ligt het toezicht bij nationale toezichthouders. Het kabinet heeft op 20 april 2026 het voorstel voor de Uitvoeringswet AI-verordening in consultatie gebracht. Daarin coördineren de Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur samen. Sectortoezichthouders zoals de AFM, DNB en de Inspectie Gezondheidszorg en Jeugd houden toezicht binnen hun eigen terrein. De AP wordt het vangnet voor gebieden zonder duidelijke toezichthouder. Het voorstel moet nog door het parlement, dus de verdeling kan nog veranderen.

De boetes staan in de Europese wet zelf. Voor verboden toepassingen is dat tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet. Voor andere overtredingen tot 15 miljoen euro of 3 procent. Voor het mkb geldt telkens het laagste van de twee bedragen.

Wat moet je als ondernemer nu doen?

1. Maak een lijst van je AI. Welke tools gebruiken jij en je medewerkers, en waarvoor? Een AI-register template helpt.
2. Deel elke toepassing in. Meestal is het minimaal of beperkt risico. Let extra op AI rond personeel, sollicitanten en kredietbeslissingen.
3. Regel AI-geletterdheid. Artikel 4 vraagt dat je zorgt dat medewerkers genoeg van AI weten voor het werk dat ze ermee doen. De Omnibus heeft dit verzacht, maar de gedachte blijft. Een AI-geletterdheid training is de snelste route.
4. Wees open over AI. Zet bij een chatbot dat klanten met AI praten. Label gegenereerde beelden en deepfakes.
5. Leg afspraken vast in een kort AI-beleid.

Een voorbeeld uit onze praktijk

Bij de systemen die we bouwen, kijken we vanaf het ontwerp naar de AI Act. Neem de orderautomatisering bij Sucre & Co, die 80 uur handwerk per week scheelt. Het verwerken van orders raakt geen beslissingen over mensen. Naar onze inschatting valt het daarom in minimaal risico. Toch bouwen we logging, toegangsbeheer en menselijke controle in. Dat maakt het systeem betrouwbaar, en het maakt het makkelijk om later aan te tonen wat het doet.

Veelgemaakte fouten

• Denken dat de wet alleen voor techbedrijven is. Ook gebruikers hebben plichten.
• Alles als hoog risico behandelen. Dat kost veel werk voor niets. De meeste toepassingen zijn licht.
• Wachten tot 2027. Geletterdheid en transparantie gelden nu al.
• Alleen naar de leverancier kijken. Ook met een Europese of zakelijke tool blijf jij verantwoordelijk voor hoe je hem inzet.

Wil je weten wat de wet voor jouw bedrijf betekent, kijk dan bij AI Act voor het mkb.

Uit de praktijk

Veelgestelde vragen

Verder lezen

Meer uit de kennisbank

Terug naar de kennisbank