EU AI Act MKB verplichtingen: wat elke Nederlandse ondernemer nu moet weten

Kunstmatige intelligentie is geen nicheonderwerp meer. In 2024 gebruikte al 22,7 procent van de Nederlandse bedrijven met tien of meer medewerkers minstens één AI-technologie — een stijging van bijna 9 procentpunt ten opzichte van 2023 (CBS, AI-monitor 2024). Tegelijk heeft de Europese wetgever gereageerd op die snelle adoptie: de EU AI Act (Verordening 2024/1689) is op 1 augustus 2024 in werking getreden en legt concrete verplichtingen op aan iedereen die AI gebruikt of ontwikkelt binnen de EU. Veel MKB-ondernemers denken dat deze wet alleen voor techbedrijven of multinationals geldt. Dat is een misverstand. Gebruikt u ChatGPT voor uw e-mails, Copilot in Microsoft 365, of een AI-chatbot op uw website? Dan valt u onder de wet als zogenoemde deployer — een organisatie die een AI-systeem toepast in een professionele context — en heeft u zelfstandige wettelijke verplichtingen.

Wat is de EU AI Act en voor wie geldt hij?

De EU AI Act is de officiële naam voor Verordening (EU) 2024/1689, aangenomen op 13 juni 2024 en gepubliceerd in het Publicatieblad op 12 juli 2024. Het is de eerste horizontale wet ter wereld die het ontwikkelen, in de handel brengen en gebruiken van AI-systemen reguleert. De kern van de wet is een risicogebaseerde aanpak: hoe hoger het risico dat een AI-systeem oplevert voor gezondheid, veiligheid of grondrechten, hoe strenger de verplichtingen.

De verordening geldt voor zowel aanbieders (de bouwers van AI) als gebruikers van AI binnen de Europese Unie. Voor de meeste Nederlandse MKB-ondernemers is dat tweede het meest relevante: u valt onder de wet als u AI gebruikt binnen uw bedrijfsvoering, ook als u de techniek niet zelf ontwikkelt. De wet heeft bovendien extraterritoriale werking — ook bedrijven buiten de EU vallen eronder zodra hun AI-output binnen de Unie wordt gebruikt.

Risicocategorieën: waar valt uw toepassing onder?

De EU AI Act onderscheidt vier risiconiveaus. De categorie bepaalt welke verplichtingen op u van toepassing zijn.

Categorie	Voorbeelden	Verplichtingen
Onaanvaardbaar risico	Social scoring, emotieherkenning op de werkvloer, ongericht scrapen van gezichtsbeelden	Volledig verboden sinds 2 februari 2025
Hoog risico	AI bij werving & selectie, kredietbeoordeling, biometrische systemen, medische apparaten, kritieke infrastructuur	Uitgebreide documentatie, risicomanagementsysteem, menselijk toezicht, registratie in EU-database; van kracht per 2 augustus 2026
Beperkt risico	Chatbots, AI-gegenereerde content, deepfakes	Transparantieplicht: gebruikers moeten weten dat ze met AI communiceren; van kracht per 2 augustus 2026
Minimaal risico	Spamfilters, automatische vertalingen, AI in standaardsoftware	Geen specifieke verplichtingen

Het overgrote deel van de AI-toepassingen die MKB-bedrijven nu gebruiken valt in de categorie minimaal of beperkt risico. Toch is alertheid geboden. AI-systemen die de emoties of stress van medewerkers meten, of HR-tools die emoties uit videocalls extraheren, zijn bijvoorbeeld expliciet verboden. Wie AI inzet voor personeelsselectie of kredietbeoordeling bevindt zich in de hoog-risico categorie, met bijbehorende zware verplichtingen.

Kernverplichtingen voor kleine bedrijven

De EU AI Act legt ook deployers — de bedrijven die AI-tools van anderen gebruiken — concrete verplichtingen op. Voor het MKB zijn de volgende verplichtingen het meest relevant:

1. AI-geletterdheid (Artikel 4)

Iedereen die binnen uw onderneming met AI-systemen werkt, moet voldoende basiskennis hebben van wat AI is, hoe het werkt en welke risico's eraan verbonden zijn. Dit geldt of u nu Copilot, ChatGPT of AI-functies binnen uw CRM-software gebruikt. De wet schrijft geen specifieke training, certificering of aantal uren voor. Artikel 4 is een inspanningsverplichting, maar uw inspanning moet aantoonbaar zijn: documenteer wie welke training volgde, wanneer, en op basis van welk materiaal. Een intern document, een teambespreking of een e-learning voldoet — als u het maar kunt bewijzen. Zonder documentatie bent u in overtreding.

2. Verbod op onaanvaardbare AI-praktijken (Artikel 5)

AI-systemen die mensen manipuleren, kwetsbaarheden uitbuiten of voor social scoring worden gebruikt, zijn verboden. Voor de meeste MKB-ondernemers raakt dit de dagelijkse praktijk niet, maar wees alert bij AI in HR- of marketingtoepassingen. Software die de stemming of stress van medewerkers meet via videocalls is expliciet verboden.

3. Transparantie (Artikel 50)

AI-systemen die interactie hebben met mensen, zoals chatbots op uw website, moeten duidelijk maken dat men met AI van doen heeft. Gebruikers moeten dit weten op het moment van interactie, op een duidelijke en begrijpelijke manier. Deze transparantieplicht treedt in werking per 2 augustus 2026.

4. Verplichtingen bij hoog-risico AI

Gebruikt uw bedrijf AI voor personeelsselectie, kredietverlening of vergelijkbare toepassingen? Dan gelden vanaf 2 augustus 2026 aanvullende eisen: een risicomanagementsysteem, technische documentatie, borging van datakwaliteit, menselijk toezicht op AI-beslissingen, en registratie in de EU-databank voor hoog-risico AI-systemen. Bij hoog-risico toepassingen moeten AI-beslissingen altijd aan menselijke controle onderworpen kunnen worden.

Tijdlijn en overgangsperioden

De EU AI Act is op 1 augustus 2024 in werking getreden, maar wordt gefaseerd toegepast. Dit geeft bedrijven de tijd om zich voor te bereiden — maar die tijd is beperkt. Onderstaande tijdlijn geeft de belangrijkste deadlines voor het MKB:

• 2 februari 2025: Verbod op onaanvaardbare AI-praktijken (Artikel 5) en AI-geletterdheidsplicht (Artikel 4) zijn van kracht. Gebruikt u AI en heeft u uw medewerkers nog niet aantoonbaar geïnformeerd? Dan bent u nu al in overtreding.
• 2 augustus 2025: Verplichtingen voor aanbieders van AI-modellen voor algemene doeleinden (GPAI), zoals de modellen achter ChatGPT en Copilot, zijn ingegaan. Dit betreft primair de grote aanbieders, niet de MKB-gebruiker.
• 2 augustus 2026: De grootste deadline voor de meeste MKB-bedrijven. Hoog-risico AI-systemen (Bijlage III) moeten volledig voldoen. Transparantieverplichtingen (Artikel 50) voor chatbots en AI-gegenereerde content treden in werking. Nederlandse toezichthouders starten actief toezicht op Artikel 4 en Artikel 5.
• 2 augustus 2027 en later: Verplichtingen voor hoog-risico AI ingebed in gereguleerde producten (Bijlage I, zoals medische apparatuur). Via het politiek akkoord over de 'Digital Omnibus' (7 mei 2026) schuiven de zwaarste verplichtingen voor hoog-risico AI gedeeltelijk door naar eind 2027 en 2028. Dit akkoord is echter nog niet definitief bekrachtigd — de oorspronkelijke deadlines zijn juridisch van kracht totdat de Omnibus in het Publicatieblad verschijnt.

Belangrijk: uit onderzoek van KVK (2025) bleek dat slechts 7 procent van de ondernemers zich goed geïnformeerd voelde over de AI-wet, de helft de wet niet eens kende, en slechts 2 à 3 procent daadwerkelijk stappen had gezet. Dat is zorgwekkend, want de eerste verplichtingen zijn al van kracht.

Welke documentatie moet u bijhouden?

De documentatieplicht verschilt per risicocategorie, maar voor vrijwel elk MKB-bedrijf dat AI gebruikt geldt een basispakket aan administratie. Op basis van de AI Act en de handhavingsstrategie van de Autoriteit Persoonsgegevens kunt u bij een nalevingscontrole de volgende documenten verwachten te moeten tonen:

• AI-register: Een actuele lijst van alle AI-systemen die uw bedrijf gebruikt, met per tool: naam, aanbieder, doel, risiconiveau en de verantwoordelijke persoon binnen uw organisatie. Dit is de basiseis bij elk nalevingsonderzoek.
• Bewijs van AI-geletterdheid (Artikel 4): Trainingsmateriaal, e-learning certificaten, aanwezigheidslijsten of vergaderverslagen die aantonen dat medewerkers zijn geïnformeerd over de AI-tools die zij gebruiken. Dit gold al per 2 februari 2025.
• AI-beleid: Een intern document dat beschrijft hoe uw organisatie met AI omgaat: wie mag welke tools gebruiken, welke data mag erin, hoe u de output controleert en wie verantwoordelijk is voor compliance.
• Technische documentatie (alleen bij hoog-risico): Een risicobeheerdossier, documentatie van het gebruikte datasetbeheer, en bewijs van menselijk toezicht op AI-beslissingen.
• Registratie in EU-databank (alleen bij hoog-risico): Hoog-risico AI-systemen moeten worden geregistreerd in de Europese databank voor hoog-risico AI.

Voor de meeste MKB-bedrijven in de lichte categorieën volstaat een beknopt AI-register, een eenpager als AI-beleid en aantoonbare bewustmaking van medewerkers. Het hoeft geen omvangrijk juridisch document te zijn — maar het moet er wel zijn.

Wie is de toezichthouder in Nederland?

Het Nederlandse toezichtmodel voor de EU AI Act wordt opgebouwd rond een hybride stelsel van tien markttoezichtautoriteiten. Het kabinet heeft in april 2026 een uitvoeringswet in internetconsultatie gebracht (Staatssecretaris Aerdts) om dit formeel te regelen.

De Autoriteit Persoonsgegevens (AP) krijgt een centrale en coördinerende rol. Voor toezichtgebieden zonder duidelijke sectorale toezichthouder wordt de AP aangewezen als primaire toezichthouder — onder meer voor verboden AI-praktijken (Artikel 5), transparantieverplichtingen en een groot deel van de hoog-risico systemen. De AP had die handhavingsrol al voor de AVG en voegt AI Act-handhaving toe aan haar bestaande bevoegdheden. Dit betekent dat een AP-onderzoek naar privacyschendingen tegelijkertijd ook AI Act-naleving kan raken, met name als de betrokken AI-tool persoonsgegevens verwerkt.

De Rijksinspectie Digitale Infrastructuur (RDI) krijgt samen met de AP een coördinerende rol binnen het toezichtstelsel. Per sector kan de relevante toezichthouder echter verschillen: de AFM en DNB zijn verantwoordelijk voor financiële instellingen, de IGJ voor medische apparaten, en de NVWA en NLA voor productveiligheid. Op Europees niveau houdt het Europees AI-Bureau toezicht op aanbieders van AI-modellen voor algemeen gebruik (GPAI).

De AP kan bedrijven proactief benaderen voor een nalevingscontrole, zowel naar aanleiding van klachten als op eigen initiatief. Bij een audit stuurt de AP doorgaans eerst een schriftelijk informatieverzoek, waarna u twee tot vier weken heeft om documentatie aan te leveren. De AP heeft aangegeven in 2026 prioriteit te geven aan hoog-risico toepassingen, met name AI in HR, financiën en zorg.

Sancties: wat riskeer u bij niet-naleving?

De boetes onder de EU AI Act zijn fors en gelden naast eventuele AVG-boetes. Voor het MKB geldt dat toezichthouders het laagste van de twee bedragen (vast bedrag of percentage van de omzet) hanteren:

• Tot €35 miljoen of 7% van de wereldwijde jaaromzet bij overtreding van het verbod op onaanvaardbare AI-praktijken (Artikel 5)
• Tot €15 miljoen of 3% van de omzet voor de meeste andere overtredingen, waaronder Artikel 4 (AI-geletterdheid) en Artikel 50 (transparantie)
• Tot €7,5 miljoen of 1% voor het verstrekken van onjuiste informatie aan toezichthouders

Naast financiële boetes kunnen toezichthouders ook niet-financiële maatregelen opleggen: waarschuwingen, corrigerende maatregelen, stillegging van een AI-systeem of — in het uiterste geval — het van de markt halen ervan. Besluiten worden standaard gepubliceerd, wat reputatierisico met zich mee brengt dat voor veel MKB-bedrijven minstens zo zwaar weegt als de boete zelf.

Praktische eerste stappen voor MKB

Voor een gemiddeld MKB-bedrijf in de lichte risicocategorieën komen de verplichtingen neer op vijf concrete acties:

1. Inventariseer alle AI-tools die uw bedrijf gebruikt. Denk breder dan alleen ChatGPT: ook Copilot in Word/Excel, AI in uw boekhoudpakket, LinkedIn Recruiter en AI-chatbots op uw website tellen mee.
2. Classificeer elke tool op risiconiveau (minimaal, beperkt of hoog risico) op basis van waarvoor u het gebruikt.
3. Leg een AI-register aan met naam, aanbieder, doel, risiconiveau en verantwoordelijke per tool.
4. Documenteer de AI-geletterdheid van uw medewerkers: wie heeft wat geleerd, wanneer en op basis van welk materiaal.
5. Stel een beknopt AI-beleid op dat beschrijft wie welke tools mag gebruiken, welke data erin mag en hoe u de output controleert.

De overheid biedt via het Rijksoverheid AI-beleid aanvullende richtsnoeren en het Algoritmekader (minbzk.github.io/Algoritmekader) een gratis beslishulp waarmee u kunt bepalen of uw AI-systeem onder de verordening valt en in welke risicocategorie. De AP en de RDI kondigen bovendien een gezamenlijke AI regulatory sandbox aan, waarmee organisaties hun AI-systemen kunnen toetsen en begeleiding kunnen ontvangen.