De EU AI Act: Een Mijlpaal in Europese Technologieregulering
Op 1 augustus 2024 trad de EU AI Act officieel in werking — de eerste uitgebreide Europese wet die regels stelt aan de ontwikkeling en het gebruik van kunstmatige intelligentie. Maar de echte impact voor het bedrijfsleven begint nu pas echt voelbaar te worden. Vanaf 2 augustus 2026 start de actieve handhaving van de kernbepalingen, en dat betekent dat organisaties die nog niet in actie zijn gekomen, nu serieus aan de slag moeten.
De EU AI Act is geen vrijblijvend advies of een set van best practices. Het is bindende wetgeving met forse boetes voor overtreders. In dit artikel leggen we uit wat de wet precies inhoudt, welke verplichtingen per augustus 2026 gelden, en hoe Nederlandse bedrijven zich kunnen voorbereiden.
Wat Is de EU AI Act en Waarom Is Het Belangrijk?
De EU AI Act is een verordening die AI-systemen indeelt op basis van risico. Hoe groter het potentiële risico van een AI-toepassing voor de samenleving, hoe strenger de eisen. De wet maakt onderscheid tussen vier risiconiveaus:
- Onaanvaardbaar risico: Verboden toepassingen, zoals social scoring door overheden of ongerichte biometrische identificatie in openbare ruimten.
- Hoog risico: AI-systemen in kritieke sectoren zoals gezondheidszorg, onderwijs, rechtspraak en personeelsselectie. Zware verplichtingen gelden hier.
- Beperkt risico: Systemen zoals chatbots en deepfakes, waarvoor transparantieverplichtingen gelden.
- Minimaal risico: De meeste AI-toepassingen, zoals spamfilters of aanbevelingssystemen. Hier gelden nauwelijks extra eisen.
Voor de meeste Nederlandse MKB-bedrijven is de rol van deployer (gebruiksverantwoordelijke) het meest relevant: zij zetten AI-tools in die door anderen zijn ontwikkeld, zoals ChatGPT, Microsoft Copilot of AI-functies in CRM-software.
Wat Verandert er Vanaf 2 Augustus 2026?
De datum van 2 augustus 2026 is een cruciaal kantelpunt. Vanaf die dag krijgen nationale toezichthouders in alle EU-lidstaten de bevoegdheid om actief te handhaven. Tegelijkertijd treedt de Europese Commissie op als toezichthouder voor aanbieders van grote AI-modellen zoals GPT, Claude en Gemini.
De belangrijkste verplichtingen die per 2 augustus 2026 van kracht zijn:
1. Transparantieverplichtingen (Artikel 50)
Organisaties die chatbots of andere AI-systemen inzetten waarmee gebruikers direct communiceren, moeten deze systemen duidelijk identificeren als AI. Een vage vermelding in de algemene voorwaarden volstaat niet — de communicatie moet helder en begrijpelijk zijn bij of vóór de eerste interactie. Daarnaast moet AI-gegenereerde content herkenbaar zijn voor de eindgebruiker.
Voor generatieve AI-content die vóór 2 augustus 2026 al op de markt was, geldt een overgangstermijn tot 2 december 2026 voor het toevoegen van machine-leesbare markeringen.
2. AI-Geletterdheid (Artikel 4)
Organisaties zijn verplicht om medewerkers voldoende kennis bij te brengen over de werking, mogelijkheden en risico's van AI. Dit is een inspanningsverplichting: je moet kunnen aantonen dat je actief investeert in AI-geletterdheid, bijvoorbeeld door trainingen te documenteren. Denk aan workshops over hoe AI-tools werken, wat hun beperkingen zijn (zoals hallucinaties) en welke risico's er kleven aan onzorgvuldig gebruik.
3. Verbod op Onaanvaardbare Praktijken (Artikel 5)
Dit verbod geldt al sinds februari 2025, maar de handhaving wordt nu serieuzer. Bedrijven moeten hun software-inventaris auditeren om te voorkomen dat zij via SaaS-leveranciers onbewust verboden AI-toepassingen inzetten, zoals emotieherkenning op de werkvloer of systemen die gedrag manipuleren zonder medeweten van de gebruiker.
Wat Zijn de Boetes bij Overtreding?
De sancties in de EU AI Act zijn aanzienlijk en zijn ingedeeld in drie niveaus:
- Verboden AI-praktijken: Tot 35 miljoen euro of 7% van de wereldwijde jaaromzet (het hoogste bedrag geldt).
- Overige verplichtingen (zoals transparantie en hoog-risico eisen): Tot 15 miljoen euro of 3% van de wereldwijde jaaromzet.
- Onjuiste informatie aan toezichthouders: Tot 7,5 miljoen euro of 1% van de wereldwijde jaaromzet.
Voor MKB-bedrijven en startups geldt in de praktijk vaak het laagste van de twee bedragen. Maar naast financiële sancties kunnen toezichthouders ook corrigerende maatregelen opleggen, zoals het staken van het gebruik van een AI-systeem, of besluiten openbaar maken — wat aanzienlijke reputatieschade kan veroorzaken.
Wie Houdt Toezicht in Nederland?
In Nederland is het toezicht op de EU AI Act belegd bij bestaande markttoezichthouders. De twee belangrijkste zijn:
- Autoriteit Persoonsgegevens (AP): Houdt toezicht op AI-toepassingen die persoonsgegevens verwerken, wat bij de meeste zakelijke AI-tools het geval is.
- Rijksinspectie Digitale Infrastructuur (RDI): Richt zich op de technische aspecten van AI-systemen en markttoezicht.
Sectorale toezichthouders, zoals de ACM (mededinging) en de AFM (financiële markten), spelen ook een rol binnen hun eigen domeinen. De coördinatie verloopt via de Uitvoeringswet AI-verordening.
Wat Moet Jouw Bedrijf Nu Doen?
Of je nu een groot bedrijf bent of een kleine ondernemer die AI-tools inzet voor klantenservice of marketing — de EU AI Act raakt vrijwel iedereen. Hier zijn de concrete stappen die je nu moet zetten:
Stap 1: Maak een AI-Inventarisatie
Breng in kaart welke AI-tools je organisatie gebruikt en voor welk doel. Denk aan chatbots op je website, AI-functies in je CRM of ERP-systeem, automatische e-mailsortering, of AI-gestuurde advertentietools. Vergeet ook de AI-functies in standaardsoftware zoals Microsoft 365 of Google Workspace niet.
Stap 2: Classificeer de Risico's
Bepaal voor elke AI-toepassing in welke risicocategorie deze valt. De meeste zakelijke tools vallen onder 'minimaal' of 'beperkt' risico, maar toepassingen in HR (zoals CV-screening), kredietbeoordeling of klantsegmentatie kunnen onder 'hoog risico' vallen.
Stap 3: Zorg voor Transparantie
Controleer of je chatbots en andere AI-interfaces duidelijk communiceren dat gebruikers met een AI-systeem te maken hebben. Pas je communicatie aan waar nodig en zorg dat AI-gegenereerde content herkenbaar is.
Stap 4: Investeer in AI-Geletterdheid
Organiseer trainingen voor medewerkers die AI-tools gebruiken. Documenteer deze trainingen zodat je bij een eventuele controle kunt aantonen dat je aan de inspanningsverplichting voldoet. Er zijn inmiddels diverse Nederlandse aanbieders van AI-geletterdheidsopleidingen die specifiek zijn gericht op de eisen van de EU AI Act.
Stap 5: Stel een Intern AI-Beleid Op
Leg vast welke data medewerkers wel en niet in AI-tools mogen invoeren, wie verantwoordelijk is voor de output van AI-systemen, en hoe je omgaat met fouten of ongewenste uitkomsten. Een helder AI-beleid beschermt je organisatie én geeft medewerkers duidelijkheid.
Wat Staat er Nog te Komen?
De EU AI Act wordt de komende jaren verder uitgerold. De zwaarste verplichtingen voor hoog-risico AI-systemen (Bijlage III) treden pas in werking op 2 december 2027, nadat deze deadline eerder werd verschoven via de Digital Omnibus. Voor hoog-risico AI ingebed in gereguleerde producten (zoals medische apparatuur) geldt zelfs een deadline van 2 augustus 2028.
Dit geeft organisaties met complexere AI-toepassingen nog enige tijd, maar experts waarschuwen dat de voorbereidingstijd voor hoog-risico compliance aanzienlijk is. Wie nu begint, staat straks sterk.
Conclusie: De Tijd van Afwachten Is Voorbij
De EU AI Act is geen verre toekomstmuziek meer. Met de handhavingsstart op 2 augustus 2026 wordt AI-compliance een operationele realiteit voor elke organisatie die AI-tools inzet. De transparantieverplichtingen en de eis tot AI-geletterdheid zijn concreet, controleerbaar en handhaafbaar.
Het goede nieuws: voor de meeste MKB-bedrijven zijn de vereiste stappen behapbaar. Een grondige AI-inventarisatie, duidelijke communicatie richting gebruikers en een basisprogramma voor AI-geletterdheid zijn voor de meeste organisaties haalbaar. De bedrijven die nu in actie komen, bouwen niet alleen aan compliance — ze bouwen aan vertrouwen bij klanten en medewerkers in een tijdperk waarin AI niet meer weg te denken is.