Wat de EU AI Act is en waarom je er nu mee te maken hebt
De EU AI Act, officieel verordening (EU) 2024/1689, is de eerste brede AI-wet ter wereld. De wet trad in werking op 1 augustus 2024 en wordt sindsdien gefaseerd van kracht. Dit is geen toekomstmuziek meer: de eerste verplichtingen gelden sinds 2 februari 2025, dus ruim een jaar. Wie nu nog niets geregeld heeft, loopt achter op de wet, niet erop vooruit.
De kern is een risicogebaseerde aanpak. Hoe groter het risico van een AI-toepassing voor mensen en hun rechten, hoe zwaarder de eisen. Voor de meeste MKB-bedrijven, die AI vooral gebruiken als hulpmiddel bij teksten, klantenservice en administratie, valt het gebruik in de lichtere categorieën. Maar twee verplichtingen raken vrijwel ieder bedrijf dat AI gebruikt, hoe klein de toepassing ook is.
Wat al geldt: verboden praktijken en AI-geletterdheid
Sinds 2 februari 2025 zijn twee onderdelen van de wet van toepassing:
- Verboden AI-praktijken. Een korte lijst toepassingen met onaanvaardbaar risico mag niet meer, waaronder social scoring en AI die mensen via manipulatie of uitbuiting van kwetsbaarheden schade berokkent. De meeste MKB-bedrijven gebruiken zulke systemen niet, maar controleer het wel: kijk kritisch naar HR-tools, monitoringsoftware en camera-systemen die je hebt aangeschaft.
- AI-geletterdheid (artikel 4). Iedere organisatie die AI-systemen aanbiedt of gebruikt, moet zorgen voor een toereikend niveau van AI-geletterdheid bij medewerkers die met die systemen werken. Dit geldt dus ook als je team alleen ChatGPT of Copilot gebruikt. De wet schrijft geen vaste cursus voor, maar je moet wel kunnen laten zien dat je het geregeld hebt, passend bij de kennis van je mensen en de context waarin AI wordt ingezet.
Sinds augustus 2025 gelden daarnaast de regels voor aanbieders van general-purpose AI-modellen, zoals de makers van grote taalmodellen. Voor jou als gebruiker van die modellen verandert dat weinig direct, maar het verklaart waarom leveranciers steeds meer documentatie over hun modellen publiceren.
Wat nog komt: hoog-risicoverplichtingen vanaf december 2027
De zwaarste eisen, voor zogeheten hoog-risicosystemen, zijn door de Digital Omnibus uitgesteld: voor toepassingen uit bijlage III naar 2 december 2027, voor AI in gereguleerde producten naar 2 augustus 2028. Lees wat er wel en niet is uitgesteld. Denk aan AI die wordt ingezet voor cv-selectie en andere HR-beslissingen, kredietbeoordeling, onderwijstoelating en veiligheidskritische toepassingen. Gebruik je zo’n systeem, dan krijg je te maken met eisen rond onder meer menselijk toezicht, logging en correct gebruik volgens de instructies van de aanbieder.
Voor de precieze afbakening en de actuele stand van de gefaseerde invoering is de officiële bron leidend: de verordening zelf en de informatie van de Europese Commissie en de Nederlandse toezichthouders. Baseer je compliance niet op samenvattingen van leveranciers die je iets willen verkopen.
Wat je als MKB-bedrijf nu concreet moet doen
| Stap | Wat het inhoudt | Tijdsinvestering |
|---|---|---|
| 1. Inventariseer je AI-gebruik | Breng in kaart welke AI-tools er in je organisatie worden gebruikt, ook de tools die medewerkers zelf hebben geïnstalleerd | 1 tot 2 dagdelen |
| 2. Toets op verboden praktijken | Loop de lijst verboden toepassingen langs je inventarisatie; vraag leveranciers om opheldering bij twijfel | Enkele uren |
| 3. Maak geletterdheid aantoonbaar | Train iedereen die met AI werkt en leg vast wie wat heeft gevolgd, met certificaten als bewijs | 1 tot 2 uur per medewerker |
| 4. Regel transparantie | Laat klanten weten wanneer ze met AI communiceren, bijvoorbeeld bij een chatbot, en label AI-gegenereerde content waar dat hoort | Eenmalig inregelen |
| 5. Check je hoog-risico-exposure | Gebruik je AI bij werving, beoordeling of krediet? Begin op tijd met voorbereiden op de eisen vanaf december 2027 | Afhankelijk van gebruik |
De inventarisatie is de stap die het vaakst wordt overgeslagen en het meest oplevert. In vrijwel elk bedrijf blijken medewerkers meer AI-tools te gebruiken dan het management denkt. Dat is niet alleen een compliance-risico maar ook een privacy-risico: lees waarom in ons artikel over de risico’s van ChatGPT op de werkvloer.
De AI Act vraagt van het MKB geen dikke dossiers, maar wel bewijs: weet welke AI je gebruikt, train je mensen aantoonbaar en wees transparant richting klanten. Dat is in een paar weken te regelen.
De grootste misvattingen
- “De wet geldt alleen voor AI-bouwers.” Nee. Ook gebruikers van AI-systemen hebben verplichtingen, te beginnen met de geletterdheidsplicht die nu al geldt.
- “Wij gebruiken alleen ChatGPT, dus dit gaat niet over ons.” Juist dan geldt artikel 4: je medewerkers werken met AI, dus je moet zorgen dat ze dat met voldoende kennis doen.
- “We wachten tot er gehandhaafd wordt.” Riskant, en onnodig: de basisverplichtingen zijn klein genoeg om gewoon nu te regelen. Bovendien vragen steeds meer opdrachtgevers en verzekeraars om aantoonbaar AI-beleid.
- “Compliance remt onze AI-plannen.” Het omgekeerde is waar: wie zijn AI-gebruik kent en zijn mensen traint, implementeert sneller en met minder implementatierisico’s.
Conclusie
De EU AI Act is sinds februari 2025 realiteit voor ieder bedrijf dat AI gebruikt. De verplichtingen die nu gelden zijn behapbaar: weet welke AI er draait, gebruik geen verboden toepassingen, wees transparant en maak de AI-geletterdheid van je medewerkers aantoonbaar. Wie dat dit kwartaal regelt, is klaar voordat de zwaardere hoog-risicoregels van kracht worden (vanaf december 2027), en hoeft bij de officiële bronnen alleen nog de details te volgen.
Wat de EU AI Act precies van je vraagt lees je op de pagina over AI Act compliance.
Wat zou jij hiermee willen bouwen?
In een gratis bouwcheck van 30 minuten kijken we of je idee past en wat de eerste werkende versie is. Van Excel naar app tot een AI-toepassing in je eigen omgeving, veilig gebouwd.
Plan een bouwcheck →