De AI Act voor het MKB: wat moet je nu echt doen?

Wat is de AI Act, in het kort?

De AI Act (de Europese AI-verordening) regelt hoe AI in de EU gemaakt en gebruikt mag worden. De wet kijkt naar het risico van een toepassing. Hoe groter de mogelijke schade voor mensen, hoe strenger de regels. De wet geldt niet alleen voor makers van AI, maar ook voor bedrijven die AI gebruiken. In de wet heet zo'n gebruiker een "gebruiksverantwoordelijke". Dat ben je al als je team ChatGPT, Copilot of een AI-agent inzet voor het werk.

Welke risicoklassen zijn er?

• Verboden toepassingen, zoals sociale scores van burgers of het manipuleren van kwetsbare mensen. Die zijn sinds februari 2025 verboden.
• Hoog risico, zoals AI die sollicitanten selecteert, kredietwaardigheid beoordeelt of onderdeel is van een medisch hulpmiddel. Daarvoor gelden strenge eisen.
• Transparantieverplichtingen, voor chatbots en AI die tekst, beeld of geluid maakt. Mensen moeten weten dat ze met AI te maken hebben.
• Minimaal risico, zoals een spamfilter of AI die een samenvatting van je eigen documenten maakt. Daarvoor gelden geen extra regels.

De meeste toepassingen in het MKB vallen in de laatste twee groepen.

Wat geldt er nu al?

AI-geletterdheid geldt sinds februari 2025. Je moet maatregelen nemen zodat medewerkers die AI gebruiken genoeg weten over wat het kan, waar het misgaat en hoe je de uitkomst controleert. Sinds de aanpassing van de wet in 2026 (het "Digital Omnibus"-pakket) is dat een inspanningsverplichting: je hoeft geen vast kennisniveau per persoon te garanderen, maar je moet er wel aantoonbaar werk van maken.

Transparantie geldt sinds 2 augustus 2026. Praat een klant met een chatbot, dan moet duidelijk zijn dat het geen mens is. Publiceer je met AI gemaakte beelden of video's die echt lijken (deepfakes), of AI-teksten om het publiek te informeren over zaken van algemeen belang, dan moet je dat vermelden.

Wat is uitgesteld?

Het Digital Omnibus-pakket is in juli 2026 gepubliceerd en heeft de regels voor hoog-risico AI uitgesteld. Voor toepassingen zoals werving en kredietbeoordeling gelden ze vanaf 2 december 2027. Voor AI in producten die al onder Europese productregels vallen, zoals medische hulpmiddelen en machines, vanaf 2 augustus 2028. Gebruik je AI om sollicitanten te selecteren of klanten te beoordelen, dan is dit het moment om je voor te bereiden.

Wat moet je als MKB-bedrijf nu concreet doen?

1. 01Maak een lijst van je AI-gebruik. Welke tools gebruikt je team, waarvoor, en met welke gegevens? Vergeet de AI-functies in bestaande software niet.
2. 02Bepaal per toepassing de risicoklasse. Meestal is dat minimaal risico of transparantie. Twijfel je bij werving, krediet of zorg, zoek het dan verder uit.
3. 03Regel AI-geletterdheid. Een korte interne training en een paar heldere afspraken zijn vaak genoeg: wat mag wel en niet in een AI-tool, en wie controleert de uitkomst?
4. 04Wees open naar klanten. Zet bij je chatbot dat het AI is, en leg in je privacyverklaring uit waar je AI inzet.

Leg vast wat je hebt gedaan. Dat is je bewijs als een klant, partner of toezichthouder ernaar vraagt. En vergeet de AVG niet: zet je persoonsgegevens in een AI-tool, dan gelden de bestaande privacyregels gewoon.