AI Act-check: valt jouw AI onder hoog risico? Check het in twee minuten

Kort antwoord. De AI Act deelt AI-toepassingen in vier klassen in: verboden, hoog risico, transparantieplicht en minimaal risico. De meeste AI in bedrijven valt in de laatste twee. Hoog risico gaat over een vaste lijst toepassingen, zoals werving en selectie, kredietbeoordeling van personen, premies voor levens- en zorgverzekeringen, toelating en beoordeling in het onderwijs, en AI als veiligheidsonderdeel van producten. Na de Digital Omnibus van juli 2026 gelden de zware regels daarvoor vanaf 2 december 2027, en voor AI in producten vanaf 2 augustus 2028. Wat jij moet doen, hangt ook af van je rol: bouw je het systeem (aanbieder) of gebruik je het (gebruiksverantwoordelijke)? Met de check hieronder zie je het per toepassing, met je deadlines en een register dat je kunt downloaden.

Gebaseerd op de AI Act zoals gewijzigd door de Digital Omnibus op AI. Wat de AI Act voor het mkb in het algemeen betekent, lees je in ons overzicht van de AI Act.

De vier risicoklassen

Verboden. Sinds 2 februari 2025 mag je AI onder meer niet gebruiken om via gezicht, stem of andere biometrie de emoties van medewerkers of studenten te herkennen (behalve om medische of veiligheidsredenen), mensen een sociale score te geven, gedrag te sturen met verborgen technieken of kwetsbaarheden uit te buiten, of mensen via biometrie in te delen op ras, religie, politieke voorkeur of seksuele geaardheid. Vanaf 2 december 2026 komen daar twee verboden uit de Digital Omnibus bij: AI die seksueel expliciete beelden van echte personen maakt zonder hun toestemming, en AI die beelden van kindermisbruik maakt.

Hoog risico. Toepassingen uit bijlage III, waar AI grote invloed heeft op iemands kansen: werk, krediet, verzekering, onderwijs, toegang tot publieke diensten, biometrische identificatie en kritieke infrastructuur. Plus AI als veiligheidsonderdeel van producten met CE-markering, zoals machines en medische hulpmiddelen (bijlage I).

Transparantieplicht. Chatbots, AI die beeld, geluid of video maakt, deepfakes en door AI geschreven teksten over onderwerpen van algemeen belang. Mensen moeten weten dat ze met AI te maken hebben. Dit geldt sinds 2 augustus 2026.

Minimaal risico. Al het andere: samenvatten, schrijven, analyseren, code, interne zoektools. De AI Act stelt daar geen aparte eisen aan, behalve dat je de AI-geletterdheid ondersteunt van wie ermee werkt.

Aanbieder of gebruiksverantwoordelijke?

De AI Act legt de meeste plichten bij de aanbieder: wie een AI-systeem ontwikkelt en onder eigen naam op de markt brengt of in gebruik neemt. Bouw je een systeem voor eigen gebruik, dan ben je aanbieder én gebruiker. Als je alleen een systeem van een leverancier inzet, ben je gebruiksverantwoordelijke, met een kortere lijst plichten.

Let op artikel 25: je wordt zelf aanbieder als je je naam of merk op een hoog-risicosysteem van een ander zet, het ingrijpend aanpast, of het inzet voor een doel waardoor het hoog risico wordt. Dat laatste gebeurt sneller dan je denkt. Een algemene chatbot die je inzet om sollicitanten te beoordelen, is ineens een hoog-risicosysteem met jou als aanbieder.

De uitzondering van artikel 6 lid 3

Niet alles op de lijst van bijlage III is automatisch hoog risico. Een systeem valt erbuiten als het geen significant risico vormt, bijvoorbeeld omdat het alleen een smalle procedurele taak doet, het resultaat van eerder menselijk werk verbetert, patronen opspoort zonder het menselijke oordeel te vervangen, of een voorbereidende taak uitvoert. Die uitzondering geldt nooit als het systeem profielen van personen maakt. De aanbieder legt de beoordeling vast voordat het systeem op de markt komt, en registreert het toch in de EU-databank.

De tijdlijn na de Digital Omnibus

1. 2 februari 2025: verboden praktijken en AI-geletterdheid.
2. 2 augustus 2026: transparantieplicht voor chatbots, AI-content en deepfakes.
3. 2 december 2026: de nieuwe verboden uit de Digital Omnibus, en markering van AI-content voor generatieve systemen die al vóór augustus 2026 op de markt waren. Nieuwere systemen moeten dat al sinds 2 augustus 2026.
4. 2 december 2027: hoog risico uit bijlage III, zoals werving, krediet en onderwijs.
5. 2 augustus 2028: hoog risico in producten uit bijlage I.

Wat er sinds augustus 2026 al geldt, lees je in ons stuk over 2 augustus.

Wat je als gebruiker van een hoog-risicosysteem moet doen

Gebruik je een hoog-risicosysteem van een leverancier, bijvoorbeeld een tool die cv’s rangschikt, dan zijn dit vanaf 2 december 2027 je belangrijkste plichten (artikel 26):

• Het systeem gebruiken volgens de instructies van de aanbieder.
• Menselijk toezicht toewijzen aan mensen met de juiste kennis en bevoegdheid.
• De automatisch gegenereerde logs minstens zes maanden bewaren.
• Medewerkers en hun vertegenwoordiging informeren voordat je het systeem op de werkvloer inzet.
• Mensen over wie het systeem besluiten voorbereidt, laten weten dat het wordt gebruikt, en ze op verzoek uitleg geven.

Ben je een overheidsorganisatie, lever je een publieke dienst, of gaat het om kredietbeoordeling of verzekeringspremies, dan doe je vooraf ook een beoordeling van de gevolgen voor grondrechten (artikel 27). Wie nu al zo werkt, hoeft straks niets om te gooien.

Wat de boetes zijn

Voor verboden praktijken kan de boete oplopen tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet. Voor de meeste andere plichten is dat 15 miljoen euro of 3 procent. Voor mkb-bedrijven geldt telkens het laagste van de twee bedragen. Voor kleinere mid-caps geldt dat alleen bij de overige plichten, niet bij verboden praktijken.

Waarom je een AI-register bijhoudt

Je kunt pas zeggen in welke klasse je AI valt als je weet welke AI er draait. Daarom kun je elke check bewaren in een register en dat downloaden als Excel of Word. Het register is ook de basis van je AI-beleid: welke tools mogen, met welk risico, en wie per tool eigenaar is.

Veelgestelde vragen

Is ChatGPT gebruiken hoog risico?

Nee. Een algemene AI-assistent voor schrijven, samenvatten of analyseren valt onder minimaal risico. Het wordt pas hoog risico als je hem inzet voor een toepassing uit bijlage III, zoals het beoordelen van sollicitanten. Dan word je bovendien zelf aanbieder.

Valt onze chatbot onder de AI Act?

Ja, onder de transparantieplicht. Mensen moeten weten dat ze met AI praten, tenzij dat vanzelf duidelijk is. De aanbieder ontwerpt het systeem zo; als gebruiker controleer je dat het goed staat.

Geldt de AI Act ook voor kleine bedrijven?

Ja. Er zijn wel verlichtingen voor het mkb, zoals vereenvoudigde technische documentatie voor aanbieders en lagere boeteplafonds. Sinds de Digital Omnibus gelden de meeste daarvan ook voor kleinere mid-caps.

Moet ik iets doen als al mijn AI minimaal risico is?

Weinig, maar niet niets: zorg voor AI-geletterdheid van je mensen, houd een register bij en leg in een beleid vast welke gegevens in welke tool mogen.