EU AI Act-compliance voor het MKB

Ja. De AI-verordening geldt voor elke organisatie in de EU die AI ontwikkelt, importeert of gebruikt, ongeacht omvang. Gebruik je AI voor klantenservice, marketing of interne processen, dan ben je gebruiksverantwoordelijke en gelden de verplichtingen die bij dat gebruik horen.

Alleen als het op een van twee lijsten staat. Bijlage III noemt onder meer werving, kredietbeoordeling, onderwijs en kritieke infrastructuur; Bijlage I gaat over AI die is ingebouwd in gereguleerde producten zoals liften of speelgoed. Een tekstgenerator of planningstool valt daar niet onder. Classificeer per systeem, niet per bedrijf.

Verboden AI-praktijken kosten tot 35 miljoen euro of 7% van de wereldwijde jaaromzet, overtreding van andere verplichtingen — waaronder de transparantieplicht — tot 15 miljoen euro of 3%, en onjuiste informatie tot 7,5 miljoen euro of 1%. Voor mkb en start-ups geldt steeds het lágere van het bedrag of het percentage (artikel 99, lid 6). Dat maakt het boeterisico voor een klein bedrijf kleiner, niet nul.

Gedeeltelijk. Verordening (EU) 2026/1744 — de Digital Omnibus, in werking sinds 27 juli 2026 — verschoof de hoog-risico-verplichtingen uit Bijlage III van 2 augustus 2026 naar 2 december 2027, en die uit Bijlage I van 2 augustus 2027 naar 2 augustus 2028. Wat níét verschoof: de transparantieplicht uit artikel 50, die sinds 2 augustus 2026 geldt. Het boeteregime uit hoofdstuk XII loopt al sinds 2 augustus 2025.

Dat hangt af van wat je met AI doet. AI-geletterdheid en de verboden praktijken gelden sinds 2 februari 2025; zet je een chatbot in of publiceer je AI-gegenereerde content, dan geldt de transparantieplicht sinds 2 augustus 2026. Voor systemen die al vóór die datum draaiden loopt de overgangstermijn voor machineleesbare markering tot 2 december 2026. Val je onder hoog-risico Bijlage III, dan is 2 december 2027 jouw datum.

Dan ben je gebruiksverantwoordelijke, geen aanbieder — dat scheelt het grootste deel van de verplichtingen. Bij gewone kantoor-AI blijft het bij de transparantieplicht en AI-geletterdheid. Zet je hoog-risico-AI in, dan komen de plichten uit artikel 26 erbij: werken volgens de instructies van de leverancier, menselijk toezicht beleggen, medewerkers vooraf informeren en logbestanden minimaal zes maanden bewaren.

Geen enkel pakket maakt je automatisch compliant: de transparantieplicht uit artikel 50 is vooral een ontwerpeis in de software zelf. Concreet gaat het om een melding dat iemand met een AI-systeem praat, een machineleesbare markering op gegenereerde audio, beeld, video en tekst, en een duidelijke vermelding bij deepfakes. Bouw je AI in je eigen software in, dan regel je dat in de applicatie; koop je AI in, dan controleer je of de leverancier het levert en leg je vast dat hij het doet.

AI-geletterdheid betekent dat medewerkers die AI gebruiken of erover beslissen de werking, risico's en beperkingen ervan begrijpen. Artikel 4 verplicht sinds 2 februari 2025 elke organisatie die AI inzet om daaraan te werken. De Digital Omnibus herformuleerde het tot een inspanningsverplichting: je moet aantoonbaar maatregelen nemen, geen niveau garanderen.

Geen. 'AI-verordening' is de Nederlandse naam voor Verordening (EU) 2024/1689, in het Engels de AI Act. Compliance met de AI-verordening en AI Act compliance zijn dus hetzelfde traject onder twee namen.

De AI Act regelt het AI-systeem, de AVG regelt de persoonsgegevens die erin gaan. Zet je AI in op klant- of personeelsdata, dan gelden beide regimes tegelijk, plus eventuele sectorregels in bijvoorbeeld de zorg of de financiële sector. Welke modellen je onder de AVG kunt gebruiken, staat in AI en AVG: welk model is GDPR-proof?.

Begin met een AI-inventarisatie en classificeer per systeem het risiconiveau. Doe daarna een gap-analyse en zet de openstaande punten op een roadmap met datums erbij. De AI Act-checklist voor het MKB loopt die route stap voor stap door; met de gratis AI-scan van CleverTech AI doen we het samen met je.