Iedereen die de term “EU AI Act” voor het eerst googelt, raakt binnen twee minuten in paniek. De koppen spreken over boetes tot vijftien miljoen euro, verplichte risicobeoordelingen en een woud aan artikelnummers, en de meeste juridische blogs maken die paniek alleen maar erger door in wetstaal te blijven hangen zonder ooit te vertalen wat het voor een gewoon MKB-bedrijf betekent.
En dan is er Yara.
Yara runt een klein recruitmentbureau vanuit Breda, en toen ze eindelijk de tijd nam om haar zes AI-tools stuk voor stuk langs de wet te leggen, bleek maar één ervan daadwerkelijk onder de strengste categorie te vallen: een tool die cv’s automatisch voorselecteert. Haar chatbot voor kandidaten, haar tekstgenerator voor vacatureteksten en haar planningsassistent vielen allemaal onder veel lichtere verplichtingen. Wat Yara begreep, en wat de meeste ondernemers nog missen, is dat de eu ai act regels voor mkb niet betekenen dat elk AI-gebruik ineens een compliance-nachtmerrie wordt. Het betekent dat je precies moet weten in welk vakje elk van je tools valt, en pas dan kun je bepalen hoeveel werk je daadwerkelijk te wachten staat.
Wat is de EU AI Act, en Geldt Dit Voor Jouw MKB?
In het kort: de EU AI Act is Europese wetgeving die AI-systemen indeelt naar risico, en die verplichtingen oplegt aan iedereen die AI binnen de EU gebruikt of aanbiedt, niet alleen aan bedrijven die zelf een AI-model bouwen. Gebruik je ChatGPT, een chatbot-plugin of een geautomatiseerd aanbevelingssysteem in je webshop, dan val je al onder de wet als “deployer”, ook al heb je zelf geen regel code geschreven. Dat is de eerste misvatting die je meteen mag loslaten: “ik bouw geen AI, dus dit raakt mij niet” klopt simpelweg niet.
De wet werkt in fases. Sinds 2 februari 2025 gelden de verboden op onaanvaardbare AI-praktijken en de verplichting om je personeel AI-geletterd te maken. Sinds 2 augustus 2025 gelden transparantieregels voor aanbieders van general-purpose AI-modellen, zoals de taalmodellen achter ChatGPT en Claude. En sinds 2 augustus 2026, dus nog maar enkele dagen geleden op het moment van schrijven, gelden de transparantieverplichtingen van artikel 50 voor chatbots, gegenereerde content en deepfakes.
De Vier Risicocategorieën van de EU AI Act, Met MKB-Voorbeelden
Elk AI-systeem dat je gebruikt, valt in precies een van vier categorieën, en de verplichtingen verschillen enorm tussen die categorieën.
| Risicocategorie | Voorbeelden voor MKB | Verplichtingen |
|---|---|---|
| Minimaal risico | Spamfilters, simpele aanbevelingssystemen, voorraadvoorspelling | Geen verplichte regels |
| Transparantierisico (Artikel 50) | Chatbots, AI-gegenereerde teksten, beelden en video’s, deepfakes | Verplichte melding dat het om AI gaat |
| Hoog risico | Cv-screening, kredietwaardigheidsbeoordeling, personeelsbeoordeling | Risicobeheer, documentatie, menselijk toezicht, certificering |
| Onaanvaardbaar risico | Social scoring, emotieherkenning op de werkvloer | Volledig verboden sinds februari 2025 |
Voor de meeste MKB-bedrijven landt het gros van de dagelijkse AI-tools in de eerste twee categorieën. Een geautomatiseerde productaanbeveling in een webshop valt onder minimaal risico en vraagt niets extra’s. Een chatbot die klanten te woord staat, valt onder het transparantierisico van artikel 50, en dat is precies de categorie waar de meeste MKB-bedrijven inmiddels iets mee moeten doen. Alleen wanneer je AI daadwerkelijk gebruikt voor sollicitantenselectie, kredietbeoordeling of vergelijkbare impactvolle beslissingen, beland je in de hoog-risico-categorie met haar zwaardere verplichtingen.
Artikel 50 in de Praktijk: Wat Moet Je Nu Al Melden?
Dit is het onderdeel waar bijna elk MKB-bedrijf daadwerkelijk mee te maken krijgt, en het is sinds 2 augustus 2026 een harde, geldende verplichting, geen vrijblijvend advies meer. Zet je een chatbot in op je website, dan moet een bezoeker eenvoudig kunnen zien dat hij met AI praat, bijvoorbeeld via een korte, zichtbare vermelding bij het gesprek. Publiceer je een artikel, afbeelding of video die volledig of grotendeels door AI is gegenereerd, dan geldt in principe dezelfde meldplicht, tenzij een mens het resultaat redactioneel heeft herzien en er verantwoordelijkheid voor draagt.
Belangrijk om te weten: de technische verplichting om AI-gegenereerde content ook machinaal, dus onzichtbaar in de bestandsdata, te markeren met een watermerk, kreeg voor content die al vóór augustus 2026 online stond een verlengde overgangstermijn tot 2 december 2026. De zichtbare meldplicht zelf staat echter gewoon overeind vanaf nu. Yara paste dit toe door bij elke chatbotconversatie een simpele openingszin toe te voegen die duidelijk maakt dat een AI-assistent het gesprek voert, en door bij elke AI-gegenereerde social media-afbeelding een korte vermelding in de caption te zetten. Wie dieper wil ingaan op hoe die labelplicht specifiek voor beelden en advertenties werkt, vindt de praktische uitwerking in ons artikel over AI beelden maken voor social media.
Datzelfde geldt onverkort voor video: een AI-avatar die een presentatie geeft of een synthetische stem die een advertentie inspreekt, valt vrijwel altijd onder deze meldplicht, precies omdat zo’n avatar of stem voor authentiek zou kunnen doorgaan. Wie een faceless kanaal runt of AI-video’s voor klanten maakt, vindt de concrete toepassing van artikel 50 op avatars en synthetische stemmen terug in onze artikelen over faceless YouTube kanaal maken met AI en AI video maken.
Het Belangrijkste Nieuws dat de Meeste Artikelen Nog Missen: de Omnibus-Vertraging
Hier wordt het interessant, want veel gidsen die nu online staan, zijn simpelweg verouderd. Oorspronkelijk zouden de zware verplichtingen voor hoog-risico AI-systemen, inclusief certificering, uitgebreide technische documentatie en registratie in een Europese database, per 2 augustus 2026 ingaan. Na het politieke akkoord over het zogeheten Digital Omnibus-pakket, bevestigd door de Raad van de EU op 29 juni 2026, is die deadline echter verschoven naar 2 december 2027 voor zelfstandige hoog-risico-systemen, en naar 2 augustus 2028 voor AI die is ingebouwd in gereguleerde producten zoals medische apparatuur of machines.
Dat betekent niet dat de hoog-risico-verplichtingen zijn verdwenen, alleen dat je als MKB-ondernemer met een cv-screeningtool of een kredietbeoordelingsalgoritme meer dan een jaar extra voorbereidingstijd hebt gekregen. De boetes blijven overigens onverminderd fors: tot vijftien miljoen euro of drie procent van de wereldwijde jaaromzet voor overtredingen van de hoog-risico- en transparantieregels, en tot vijfendertig miljoen euro of zeven procent voor de verboden praktijken, waaronder sinds de Omnibus ook een nieuw verbod op zogeheten “nudifier”-apps die niet-consensuele expliciete beelden genereren.
Het Omnibus-pakket voegde daarnaast een nieuwe categorie toe die specifiek voor de Nederlandse MKB-praktijk relevant is: naast de bestaande MKB-verlichting geldt nu ook een “kleine midcap”-status voor bedrijven met minder dan zevenhonderdvijftig medewerkers en minder dan honderdvijftig miljoen euro omzet, die dezelfde versoepelde technische documentatie en proportionele boetetoepassing krijgen als kleinere bedrijven. Voor de meeste lezers van dit artikel verandert dat weinig in de praktijk, maar het bevestigt wel dat de wetgever MKB-achtige bedrijven bewust wat meer ruimte geeft dan een multinational.
EU AI Act versus AVG: Waar MKB’ers de Fout In Gaan
De meeste ondernemers behandelen de AI Act en de AVG als twee gescheiden werelden, en precies daar ontstaat het grootste risico. Zodra je persoonsgegevens, zoals een naam, e-mailadres of cv, in een prompt naar een extern AI-model stuurt, ontstaat er direct een dubbele aansprakelijkheid: je moet zowel aan de AVG-regels voor gegevensverwerking voldoen als aan de AI Act-regels voor het specifieke AI-systeem dat je gebruikt. Een klacht bij de Autoriteit Persoonsgegevens over onzorgvuldige gegevensverwerking en een overtreding van de AI Act kunnen dus uit exact hetzelfde incident voortkomen.
Voor gevoelige toepassingen, bijvoorbeeld een chatbot die klantendata verwerkt of een tool die cv’s beoordeelt, is het daarom verstandig om te kijken naar een privacy-first architectuur. Een zakelijk abonnement met een verwerkersovereenkomst en EU-hosting is bij gevoelige data vrijwel altijd de veiligere keuze dan een gratis, publieke API, en voor wie echt maximale controle wil, is een zelfgehost open-source model via een platform als n8n een optie, al vraagt dat wel meer technische kennis in huis. Wie het volledige stappenplan wil voor het bouwen van een AVG-conforme chatbot, inclusief system prompts en dataverwerking, vindt dat uitgewerkt in ons artikel over AI chatbot bouwen voor kleine bedrijven. Runt jouw bedrijf een webshop met een klantenservice-assistent die aan je eigen productcatalogus is gekoppeld, dan gelden dezelfde AVG-overwegingen, uitgewerkt in ons artikel over AI tools voor webshops.
Wie Houdt in Nederland Toezicht, en Wat Betekent Dat Voor Jou?
Dit onderdeel wordt in de meeste Engelstalige en zelfs veel Nederlandse artikelen volledig overgeslagen, terwijl het precies bepaalt bij wie je straks aan moet kloppen. Nederland koos niet voor één centrale AI-toezichthouder, maar voor een stelsel van tien marktoezichthouders, elk verantwoordelijk voor AI binnen hun eigen sector. De Autoriteit Financiële Markten houdt toezicht op AI in financiële dienstverlening, de Inspectie Gezondheidszorg en Jeugd op AI in de zorg, en de Nederlandse Arbeidsinspectie op AI op de werkvloer.
De Autoriteit Persoonsgegevens speelt daarbinnen de centrale rol, zowel als coördinerend toezichthouder samen met de Rijksinspectie Digitale Infrastructuur, als vangnet voor elke sector waar nog geen duidelijke toezichthouder is aangewezen. Voor het overgrote deel van de MKB-bedrijven die geen zorg-, financiële of telecomactiviteiten hebben, is de Autoriteit Persoonsgegevens dus in de praktijk de instantie die je AI-gebruik het eerst zal beoordelen, zeker zodra persoonsgegevens erbij betrokken zijn. Het bijbehorende wetsvoorstel, de Uitvoeringswet AI-verordening, stond tot 1 juni 2026 open voor internetconsultatie, en de definitieve aanwijzing van bevoegdheden wordt in de loop van 2026 verder uitgewerkt.
Stappenplan: In Vijf Stappen AI-Compliant
Je begint met een volledige AI-inventarisatie: elke tool, plugin en geautomatiseerd systeem dat binnen je organisatie draait, van de chatbot op je website tot de spamfilter in je mailbox. De meeste bedrijven onderschatten dit aantal flink, want ook ingebakken AI-functies in bestaande software, zoals een slimme zoekfunctie of een geautomatiseerde e-mailassistent, tellen mee.
Daarna classificeer je elk systeem langs de vier risicocategorieën hierboven, en documenteer je waarom je tot die classificatie kwam. Vervolgens stel je een interne AI-policy op: duidelijke richtlijnen voor medewerkers over welke tools wel en niet gebruikt mogen worden, en onder welke voorwaarden gevoelige data wel of niet in een prompt terecht mag komen. Daarna implementeer je de transparantieverplichtingen die uit artikel 50 volgen, dus zichtbare AI-labels bij chatbots en gegenereerde content, precies zoals Yara dat inmiddels standaard bij elk klantcontact doet.
Tot slot controleer je je softwareleveranciers: elke SaaS-tool die je gebruikt en die zelf AI-functionaliteit levert, moet op zijn beurt aan de Europese normen voldoen, en die verantwoordelijkheid verschuift niet automatisch naar de leverancier zodra jij die tool inzet binnen je eigen klantcontact. Voor de meest actuele, officiële informatie blijft het verstandig om rechtstreeks de bron te raadplegen via digital-strategy.ec.europa.eu voor de Europese regelgeving en autoriteitpersoonsgegevens.nl voor de Nederlandse uitwerking, zeker omdat dit dossier, zoals de Omnibus-vertraging al liet zien, nog volop in beweging is.
Veelgestelde Vragen
Geldt de AI Act ook als je alleen ChatGPT Plus gebruikt voor tekst? Ja, zodra je die output professioneel publiceert zonder menselijke herziening, geldt de meldplicht van artikel 50, ook al heb je zelf geen AI-model gebouwd.
Wat zijn de boetes voor MKB-bedrijven bij niet-naleving? De boetebedragen lopen tot vijftien miljoen euro of drie procent van de wereldwijde omzet voor de meeste overtredingen, met een proportionele toepassing voor kleinere bedrijven en de nieuwe categorie kleine midcaps.
Moet je een melding tonen bij AI-gegenereerde afbeeldingen op je webshop? Ja, zodra die afbeeldingen professioneel worden gepubliceerd zonder substantiële menselijke herziening, valt dat onder dezelfde transparantieplicht als een chatbot.
Die eerste paniekerige zoekopdracht naar “EU AI Act”, die tien tabbladen vol juridisch jargon opleverde, dat is waar dit verhaal begon, en het hoeft niet waar het voor jou eindigt. Yara ontdekte dat vijf van haar zes tools nauwelijks iets extra’s vroegen, en dat de ene tool die wel aandacht verdiende, met een paar heldere stappen alsnog volledig behapbaar bleek. De wet is geen tsunami. Het is een checklist die, zodra je hem daadwerkelijk doorloopt, veel minder bedreigend blijkt dan de koppen beloofden.
