De AI Act, officieel de AI-verordening (Verordening (EU) 2024/1689), is de Europese wet die regels stelt aan het maken en gebruiken van kunstmatige intelligentie. Sinds 2 augustus 2026 geldt het grootste deel ervan. Gebruikt uw bedrijf AI, bijvoorbeeld ChatGPT, een chatbot op de website of software die facturen uitleest, dan komt uw eigen plicht meestal neer op AI-geletterdheid: u neemt maatregelen die de mensen die met AI werken helpen begrijpen wat het systeem kan en waar het fouten maakt. Daarnaast moet een klant die met een chatbot of telefoonassistent praat, weten dat het AI is. Die plicht ligt bij de maker van het systeem; bij maatwerk kan dat ook u zijn. Voor deepfakes en bepaalde gepubliceerde teksten gelden aparte meldplichten. De zwaarste regels, voor AI met een hoog risico zoals software die sollicitanten selecteert, gelden pas vanaf 2 december 2027. Die datum is in 2026 met ruim een jaar opgeschoven.

Eerst dit: wij zijn geen juristen

Vimonto bouwt websites en AI-toepassingen. Dit artikel geeft u een overzicht van wat er speelt, zodat u weet welke vragen u moet stellen. Het is geen juridisch advies. Twijfelt u of uw situatie onder een bepaalde regel valt, leg die vraag dan voor aan een jurist die zich met technologierecht bezighoudt.

De data op een rij

De AI Act gaat niet in één keer in, maar in stappen. Volgens de tijdlijn van de Europese Commissie ziet dat er nu zo uit:

  • 1 augustus 2024: de wet treedt in werking.
  • 2 februari 2025: de verboden toepassingen gelden, en de plicht tot AI-geletterdheid.
  • 2 augustus 2025: regels voor de makers van algemene AI-modellen, zoals de modellen achter ChatGPT. Lidstaten moeten hun toezichthouders aanwijzen.
  • 2 augustus 2026: het grootste deel van de wet, waaronder de transparantieregels uit artikel 50. Vanaf deze datum wordt er ook gehandhaafd.
  • 2 december 2026: twee nieuwe verboden (seksuele deepfakes zonder toestemming en kindermisbruikmateriaal), en het einde van de overgangstermijn voor het markeren van AI-gemaakte inhoud door systemen die al op de markt waren.
  • 2 december 2027: de regels voor AI met een hoog risico uit bijlage III, zoals werving en selectie en kredietbeoordeling.
  • 2 augustus 2028: de regels voor AI met een hoog risico die in gereguleerde producten zit, zoals medische hulpmiddelen en machines.

Wat er in 2026 veranderde

In juli 2026 is de AI Act aangepast met de zogenoemde Digital Omnibus on AI, Verordening (EU) 2026/1744. Die is op 24 juli 2026 gepubliceerd en geldt sinds 27 juli 2026. Drie dingen zijn voor het mkb van belang.

De regels voor hoog risico zijn uitgesteld. Ze zouden in augustus 2026 ingaan, maar de technische normen waarmee bedrijven moeten aantonen dat ze voldoen, waren nog niet klaar. Nu is het december 2027 voor de meeste toepassingen en augustus 2028 voor AI in producten.

De plicht tot AI-geletterdheid is herschreven. Eerst stond er dat u maatregelen neemt om zoveel mogelijk te zorgen voor een toereikend niveau. Nu staat er dat u maatregelen neemt die de ontwikkeling van AI-geletterdheid ondersteunen. U hoeft niet te garanderen dat elke medewerker een bepaald niveau haalt. Wat dat in de praktijk betekent, leest u in ons artikel over AI-geletterdheid.

De plicht om te melden dat iemand met AI praat, is niet verschoven: die geldt sinds 2 augustus 2026. Alleen systemen die al op de markt waren, kregen tot 2 december 2026 de tijd om AI-gemaakte inhoud te markeren.

Daarnaast kregen het mkb en kleine midcaps extra ondersteuning en een paar vereenvoudigingen, vooral voor bedrijven die zelf AI-systemen op de markt brengen.

Aanbieder of gebruiksverantwoordelijke

De AI Act legt de meeste plichten bij de aanbieder: wie een AI-systeem ontwikkelt en onder eigen naam op de markt brengt of in gebruik neemt. Dat zijn partijen als OpenAI, Microsoft en de makers van gespecialiseerde software.

Gebruikt u AI in uw werk, dan bent u gebruiksverantwoordelijke. Zo noemt de wet iedereen die een AI-systeem onder eigen verantwoordelijkheid inzet, behalve voor puur persoonlijk gebruik. Een installateur die offertes laat opzetten met ChatGPT valt daaronder, net als een webshop met een chatbot.

Laat u software op maat bouwen, dan kan de rolverdeling minder vanzelfsprekend zijn. Stel die vraag aan uw jurist voordat de toepassing live gaat.

Wat u als gebruiker regelt

AI-geletterdheid

Voor iedereen die namens u met AI werkt, neemt u maatregelen zodat hij weet wat het systeem kan, waar het fouten maakt en wat de gevolgen zijn voor de mensen om wie het gaat. U hoeft niet te garanderen dat elke medewerker een bepaald niveau haalt. Een verplicht certificaat bestaat niet. Wat redelijk is, hangt af van hoe en waarvoor u AI gebruikt.

Eerlijk zijn als klanten met AI te maken krijgen

Praat een klant met een chatbot of een telefoonassistent, dan moet hij weten dat hij met AI praat, tenzij dat al overduidelijk is. Die plicht ligt formeel bij de maker van het systeem, maar u merkt het als eerste als het misgaat. Een assistent die zich meteen als AI meldt, sluit daarop aan en voorkomt klanten die zich achteraf misleid voelen. Meer over deze twee toepassingen leest u bij de AI-chatbot en de AI-telefoonassistent.

Ook voor gemaakte beelden, video of geluid die echt lijken (deepfakes) en voor AI-teksten die u publiceert om het publiek te informeren over zaken van algemeen belang, gelden meldplichten.

Verboden toepassingen

De meeste verboden raken een gewoon bedrijf niet: denk aan manipulatie die mensen schade toebrengt of het indelen van burgers op hun gedrag. Eén verbod is voor werkgevers wel relevant: AI die de emoties van mensen afleidt op de werkvloer of in het onderwijs, is verboden, behalve om medische of veiligheidsredenen.

Hoog risico

Zet u AI in voor beslissingen over mensen, zoals het selecteren van sollicitanten, het beoordelen van personeel of het bepalen van kredietwaardigheid, dan valt dat waarschijnlijk onder hoog risico. Vanaf 2 december 2027 gelden daarvoor extra plichten, ook voor u als gebruiker: menselijk toezicht, het bewaren van logboeken en het informeren van de mensen om wie het gaat. Begin daar ruim op tijd mee, of kies een toepassing die geen beslissingen over mensen neemt.

De AVG blijft gewoon gelden

De AI Act komt bovenop de AVG, niet in plaats ervan. Gaan er persoonsgegevens een AI-systeem in, bijvoorbeeld klantmails of dossiers, dan gelden alle regels die u al kent: een grondslag, een verwerkersovereenkomst met de leverancier en niet meer gegevens dan nodig. Weet u niet zeker wat uw website nu al met gegevens doet, dan is een GDPR-check een goed begin.

Wie houdt in Nederland toezicht

De Nederlandse wet die regelt wie hier toezicht houdt, de Uitvoeringswet AI-verordening, lag van 20 april tot 1 juni 2026 in internetconsultatie. Volgens dat voorstel krijgen tien bestaande toezichthouders elk hun eigen terrein. De Autoriteit Persoonsgegevens (AP) en de Rijksinspectie Digitale Infrastructuur coördineren. Waar geen duidelijke sectortoezichthouder is, wordt de AP het aanspreekpunt, onder meer voor de verboden toepassingen en de transparantieregels.

Het kabinet verwacht zelf dat de uitvoeringswet later in werking treedt dan de AI-verordening voorschrijft. Bij het schrijven van dit artikel was de uitvoeringswet nog niet in werking. De Europese regels gelden intussen wel.

Een praktische volgorde

  1. Maak een lijst van alle AI die in uw bedrijf gebruikt wordt. Ook de gratis tools die medewerkers zelf hebben aangezet.
  2. Spreek af wat mag. Welke tools, welke gegevens er niet in gaan, wie controleert. Een AI-beleid van één of twee A4 is voor de meeste bedrijven een werkbare omvang.
  3. Neem maatregelen zodat de mensen die ermee werken weten wat ze doen, en leg vast wat u daarvoor heeft gedaan.
  4. Controleer elk punt waar klanten met AI te maken krijgen. Meldt de chatbot zich als AI? Weet de beller dat hij met een assistent praat?
  5. Kijk of u AI inzet voor beslissingen over mensen. Zo ja, dan heeft u tot december 2027 om dat goed te regelen.

Waar Vimonto helpt

Wij bouwen AI-toepassingen voor het mkb en houden in het ontwerp rekening met wat de wet vraagt: een chatbot die zegt dat hij een chatbot is, gegevens die niet verder gaan dan nodig en een mens die meekijkt waar het telt. Voor de juridische toets verwijzen wij u naar een jurist. Wat AI in uw bedrijf kan doen, leest u op AI voor bedrijven. Wilt u eerst weten waar het loont, dan begint u bij AI-advies.

Bronnen