Bijgewerkt op 2 oktober 2026. Sinds 27 juli 2026 geldt een nieuwe tekst van artikel 4, via de Digital Omnibus op AI. De plicht bestaat nog steeds, maar is lichter geworden. Deze uitleg is daarop aangepast.
De verplichting die iedereen miste
Vorige week op een netwerkborrel hoorde een hypotheekadviseur de vraag "ben je al AI-geletterd?" en dacht in eerste instantie dat het een nieuwe LinkedIn-campagne was. Tot zijn buurman uitlegde dat het een verplichting is uit de AI Act. De hypotheekadviseur dronk zijn glas leeg en googelde het de avond erna.
Wat hij vond was niet wat hij verwachtte. Geen vage Brusselse bureaucratie, wel een artikel dat al sinds februari 2025 geldt voor iedereen die AI inzet, en dat in de zomer van 2026 is herschreven. Minder streng dan eerst, maar niet vrijblijvend. Voor zijn 32 medewerkers had hij allang iets moeten regelen.
Wat artikel 4 AI Act nu letterlijk zegt
Artikel 4 geldt sinds 2 februari 2025. In de oorspronkelijke tekst moesten aanbieders en gebruikers van AI-systemen zorgen voor een toereikend niveau van AI-geletterdheid bij hun personeel. Met de Digital Omnibus op AI (Verordening (EU) 2026/1744) is die tekst sinds 27 juli 2026 vervangen. Artikel 4 luidt nu:
"Aanbieders en gebruiksverantwoordelijken van AI-systemen nemen maatregelen om de ontwikkeling van AI-geletterdheid van hun personeel en andere personen die namens hen AI-systemen exploiteren en gebruiken, te ondersteunen (...). Deze verplichting houdt niet in dat aanbieders of gebruiksverantwoordelijken een bepaald niveau van AI-geletterdheid moeten waarborgen voor personen."
Vertaald: gebruikt jouw bedrijf AI-tools (en dat doe je vrijwel zeker al jaren), dan moet je aantoonbaar iets doen om je mensen verstandig met AI te leren werken. Een vastgesteld niveau hoef je niet te garanderen. Wat je doet, moet wel passen bij wie de tools gebruikt, waarvoor, en wie de gevolgen van de uitkomsten merkt.
Nieuw is ook dat de Europese Commissie en de lidstaten bedrijven hierbij moeten helpen, met name het MKB. De Commissie publiceert daarvoor praktijkvoorbeelden.
Wie toezicht houdt, en wat er gebeurt als je niets doet
Volgens de tijdlijn van de Europese Commissie houden nationale toezichthouders sinds 2 augustus 2026 toezicht op artikel 4. In Nederland moet de uitvoeringswet die hen formeel aanwijst nog naar het parlement. Het kabinet schreef in april 2026 al dat die wet later in werking treedt dan de AI Act voorschrijft, en dat de verplichtingen intussen gewoon gelden, omdat de verordening rechtstreeks werkt.
In het wetsvoorstel houdt de Autoriteit Persoonsgegevens toezicht op artikel 4, met de AFM en DNB voor financiële instellingen. Een boete staat er niet op. Ziet de toezichthouder dat je tekortschiet, dan kan die een last onder dwangsom opleggen: een concrete opdracht met een termijn, en pas als je die laat verlopen kost het geld. Wat er verder sinds augustus geldt, lees je in ons stuk over 2 augustus 2026.
Wie het bij jou betreft
Niet alleen je IT-team. Dat is de cruciale nuance die in de meeste samenvattingen ontbreekt. Artikel 4 spreekt van personeel en andere personen die namens jou omgaan met AI-systemen. Dat betekent in praktijk:
Iedereen die ChatGPT, Copilot, Claude, Gemini of een andere AI-tool gebruikt voor werk. Iedereen die een tool gebruikt waar AI in zit, ook al noemt de leverancier het niet zo (denk aan moderne CRM's, Office Copilot, Outlook smart compose). Iedereen die met een leverancier werkt die AI inzet en wiens output jouw klant raakt. Externe contractors, freelancers en stagiairs die met je AI-tools werken.
Bij een hypotheekkantoor van 30 FTE betekent dit waarschijnlijk dat je bijna iedereen aanraakt, niet alleen "de IT-mensen".
Wat AI-geletterdheid concreet inhoudt
De wet schrijft geen specifieke cursus of certificering voor. Volgens de vragen en antwoorden van de Europese Commissie is een certificaat niet nodig, volstaat een intern overzicht van trainingen en instructies, en hoef je geen AI-officer aan te stellen. Dat is goed nieuws en slecht nieuws tegelijk. Goed, want je hoeft geen 80-uurs traject in te kopen. Slecht, want je moet zelf bepalen wat passend is voor jouw situatie.
Wat passend is, hangt af van drie factoren. De rol van de persoon (een DGA hoeft niet hetzelfde te weten als een data-engineer). Het type AI-systeem (een chatbot in de klantenservice vraagt iets anders dan een credit-scoring model). De context (sector, gevoeligheid van data, klantimpact).
Voor een gemiddelde MKB-medewerker is een passend niveau ongeveer dit. Begrijpen wat een AI-tool wel en niet kan. Weten wanneer output geverifieerd moet worden. Weten welke data niet in publieke tools mag, en waarom niet. Snappen wat een hallucinatie is en hoe je die herkent (de Europese Commissie noemt juist dit als voorbeeld voor wie met ChatGPT werkt). Weten wie verantwoordelijk is als de AI ergens fout zit.
Dat is geen rocket science. Dat is twee tot drie uur training plus een korte naslagkaart.
Wat je vandaag op een A4 kunt zetten
Als je morgen wil starten en pas dinsdag een externe partij wilt inhuren, kun je vandaag al iets uitrollen.
Een, een register. Welke AI-tools draaien er bij ons (officieel en onofficieel), wie is eigenaar per tool, welke afdelingen gebruiken het. Twee, een korte richtlijn van twee A4'tjes (die maak je in vijf minuten met onze AI-beleid generator). Wat mag waar gebruikt worden, met welke data wel en met welke nooit. Drie, een training-plan per rol (de planner voor AI-geletterdheid maakt dat per functie). DGA en MT in een sessie van 2 uur, klantfacing medewerkers in een sessie van 2 uur plus jaarlijkse update, IT en compliance in een sessie van 4 uur. Vier, een evaluatiemoment elke zes maanden. Wat is veranderd in de tools, in de wet, in onze processen.
Dit is geen dichtgetimmerd compliance-traject. Dit is een redelijk aantoonbaar minimum als de AP morgen aanklopt. Voor een DGA-bedrijf van 15 tot 75 FTE met passend risicoprofiel ben je hiermee in beginsel goed te verdedigen.
Het stuk dat de meeste compliance-stappenplannen overslaan
De nieuwe tekst van artikel 4 klinkt lichter, en dat is hij ook. Maar er staat nog steeds dat je bij je maatregelen rekening houdt met de kennis en ervaring van je mensen, met de context waarin ze AI gebruiken en met de mensen op wie de uitkomsten betrekking hebben. Dat betekent twee dingen.
Enerzijds, je hoeft niet je hele team door dezelfde generieke training heen te jagen. Een receptionist heeft iets anders nodig dan een hypotheekadviseur die met klantdata en Wft-eisen werkt. Anderzijds, je kunt je niet verschuilen achter "we hebben iedereen een algemene cursus gegeven". Als de AP straks vraagt waarom een bepaalde adviseur klantdata in ChatGPT heeft geplakt, is "hij heeft de algemene training gevolgd" geen antwoord.
Wat passend is, kun je niet in een uurtje bedenken. Daar is een inventarisatie voor nodig.
Hoe een AI-audit hier inhaakt
Twee dingen die we standaard doen tijdens een AI-audit raken artikel 4 direct. We brengen alle AI-tools in kaart, officieel en onofficieel, en categoriseren per rol welke medewerker welke geletterdheid nodig heeft. En we leveren in het rapport een bijlage waarin per use case staat welk type training erbij past, niet als opdracht maar als advies.
Dat betekent dat het rapport dat je na 14 dagen krijgt automatisch een startdocument is voor artikel 4. Niet omdat we juristen zijn, wel omdat de inventarisatie die de wet vraagt vrijwel hetzelfde is als de inventarisatie die je voor effectieve AI-inzet sowieso moet doen. Wil je het structureel borgen, dan is een AIOS-traject de logische vervolgstap, want daarin worden tooling, training en compliance in dezelfde laag bij elkaar gehouden.
Als je deze maand één ding doet
Maak het register. Zonder dat is elk verder gesprek over compliance moeilijk te voeren. Met dat register heb je de eerste vraag van een toezichthouder al beantwoord en zie je voor jezelf wat er bij jou daadwerkelijk draait. Vaak is dat lijstje langer dan verwacht, en daar begint het werk.
AI die werkt in je vak begint bij weten welke AI er bij jou werkt.
De eerste stap
De plicht geldt al, het Nederlandse toezicht wordt nu ingericht. Dat is het goede moment om het op orde te brengen: zonder paniek, maar ook zonder het nog een jaar uit te stellen. Een audit, een rapport en een eerste trainingsronde passen ruim binnen een kwartaal. Hoe je dat als organisatie regelt, lees je bij AI-geletterdheid organiseren.
Veertien dagen later weet je welke AI-tools er bij jou draaien, welke medewerker welke geletterdheid nodig heeft en welke drie processen tegelijk veiliger en sneller kunnen.
