Bijgewerkt op 2 oktober 2026. Dit stuk schreven we in mei, vóór de deadline. Inmiddels is 2 augustus voorbij en heeft de Digital Omnibus op AI een aantal regels aangepast. We hebben de tekst daarop bijgewerkt.
Het moment waarop het stof neerdaalde
Een dinsdagochtend bij een hypotheekkantoor met 32 medewerkers. Een adviseur zit met een complex dossier en plakt drie alinea's klantgegevens in ChatGPT om sneller een samenvatting te krijgen. Dat scheelt vier minuten. En het kost je iets wat je nu niet ziet.
Sinds 2 augustus 2026 is dat onzichtbare iets ook juridisch reëel. Op die dag gingen de meeste regels van de Europese AI Act gelden en kregen toezichthouders in heel Europa hun taak. In Nederland wordt dat toezicht nog ingericht: de uitvoeringswet moet nog naar het parlement, en het kabinet stelt voor dat de Autoriteit Persoonsgegevens en de RDI het toezicht coördineren. Voor de meeste DGA's in onze hoek is dat geen reden tot paniek, maar het is wel het moment waarop een vraag die je tot nu toe kon uitstellen, niet meer kan worden uitgesteld.
Wat er op 2 augustus echt veranderde
Sinds 2 augustus 2026 gelden de transparantieregels: mensen moeten weten wanneer ze met AI praten, en realistische AI-beelden, -video en -audio moeten als zodanig herkenbaar zijn. Daarnaast kan het Europese AI Office vanaf die datum handhaven bij aanbieders van grote AI-modellen, zoals de makers van ChatGPT en Gemini. Het kan informatie opvragen, maatregelen verplichten en boetes opleggen.
De boetes staan in artikel 99 van de AI Act. De zwaarste, tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet, geldt voor verboden AI-praktijken uit artikel 5, zoals social scoring, manipulatieve technieken of emotieherkenning op de werkvloer. Voor de meeste andere verplichtingen, waaronder de transparantieplicht en de plichten van gebruikers van hoog-risico-AI, geldt tot 15 miljoen euro of 3 procent. Voor MKB-bedrijven geldt steeds het laagste van die twee bedragen. Op AI-geletterdheid staat in de AI Act zelf geen boete.
Belangrijke nuance, want hier loopt veel van de paniek vandaan. De zware verplichtingen (technische documentatie, conformiteitsbeoordeling, CE-markering) gelden voor AI met een hoog risico, zoals AI in werving en selectie, kredietbeoordeling, onderwijs en kritieke infrastructuur. Die regels zijn met de Digital Omnibus op AI uitgesteld tot 2 december 2027, en voor AI in producten tot 2 augustus 2028. Een hypotheekkantoor van 30 FTE dat ChatGPT gebruikt zit daar zelden in. Je bent in de meeste gevallen geen aanbieder (provider), maar gebruiksverantwoordelijke (deployer).
Wat er voor jou als deployer wel verandert
Drie dingen worden concreet. Ten eerste, je moet weten welke AI-tools binnen je organisatie draaien, ook de tools die niemand officieel heeft aangeschaft. Zonder dat overzicht kun je aan de rest niet voldoen. Ten tweede, je medewerkers moeten weten hoe ze de tools mogen gebruiken, met welke data wel en met welke nooit. Dat is de kern van AI-geletterdheid uit artikel 4, die sinds juli 2026 in een lichtere vorm geldt. Ten derde, praten klanten met jouw AI of publiceer je realistische AI-beelden, dan moet dat herkenbaar zijn.
Wat de wet niet van je vraagt, maar wel verstandig is: vraag je leveranciers hoe zij aan de AI Act en de AVG voldoen. Voor de meeste tools is dat voor jou geen wettelijke plicht, maar het is de snelste manier om te zien waar je risico loopt.
Dat klinkt op papier simpel. In praktijk is het dat zelden. Vraag eens rond op een willekeurige werkdag welke AI-tools er bij jou intern actief zijn. De kans is groot dat het lijstje langer is dan je denkt en dat een paar van die tools nergens in een contract of policy staan.
De vraag die de wet stelt is dezelfde vraag die jij zelf moet stellen
Welke AI gebruiken we, wie is verantwoordelijk, welke klantdata gaat erdoorheen, en wat gebeurt er als een tool wegvalt of een fout maakt. Dat is geen juridische exercitie. Dat is operationele hygiëne, en het had los van Brussel allang gemoeten.
Specifiek voor zakelijke dienstverleners weegt dit zwaarder dan voor andere sectoren. Een hypotheekadviseur, makelaar, verzekeringskantoor of accountant verwerkt per definitie gevoelige persoonsgegevens. BSN's, financieringsdossiers, schadeclaims, koopovereenkomsten, taxatiegegevens. Als die data via een onofficiële ChatGPT-prompt buiten de deur is geweest, is dat geen AI-experiment, dat is een AVG-incident in wording.
Waar de wet en de praktijk samenvallen
Op het kruispunt van AI Act en operationeel werk staat de AI-audit. Niet als juridisch product, maar als nulmeting. Een audit beantwoordt in 14 dagen drie vragen tegelijk. Welke AI-tools draaien er bij jou, officieel en onofficieel. Wat is het risico van elk daarvan, juridisch én procesmatig. En, en dat is meestal de prettige verrassing, waar zit tijdwinst die je nu mist.
Een voorbeeld dat we vaker zien. Een hypotheekkantoor verwerkt 60 financieringsverzoeken per dag. De adviseurs gebruiken op eigen initiatief drie verschillende AI-tools om dossiers samen te vatten. Niemand bij de directie weet welke. Een audit brengt dat in beeld, classificeert het risico per tool, schrapt twee tools die niet AVG-proof zijn, en wijst aan welke vier processen vrijwel direct 50 tot 100 uur per maand kunnen vrijspelen als je het officieel en gecontroleerd opzet.
Wat na de audit komt
De audit is niet het eindstation. Het is de inventarisatie waaruit drie paden volgen. Optie één, je gaat zelf met de roadmap aan de slag, kleine stappen, eigen tempo. Optie twee, je laat ons de eerste use case implementeren als project van vijf tot acht weken, zie ook onze pagina over maatwerk-AI. Optie drie, een AIOS-traject waarbij we structureel als partner verbonden blijven en de AI-laag onder je organisatie doorontwikkelen.
Welk pad je kiest, hangt af van je bedrijfsfase en van wat de audit naar boven brengt. Maar zonder die nulmeting blijft elk volgend besluit gokken op gevoel. AI die werkt in je vak begint bij weten wat er bij jou draait.
De eerste stap
De regels gelden al, en het Nederlandse toezicht krijgt de komende tijd formeel zijn bevoegdheden. Dat is ruim genoeg om een audit te doen, het rapport te verwerken en de eerste prioriteit op te pakken. Niet genoeg om er nog een jaar mee te wachten. Het totaalbeeld staat op onze pagina over AI governance voor het mkb.
Veertien dagen vanaf de interviewdag, vaste prijs, een rapport met 8 tot 15 gescoorde kansen, een prioriteitenlijst en een vervolgvoorstel. Acht tot tien uur tijdsinvestering aan jouw kant. Daarna weet je wat er draait, waar het risico zit en welke drie processen het eerst aangepakt moeten worden.
