Wat de EU AI Act betekent voor MKB-bedrijven (en wat je kunt negeren)

Bijgewerkt op 4 oktober 2026. Met de Digital Omnibus op AI zijn in juli 2026 de regels voor hoog-risico-AI uitgesteld en is de plicht tot AI-geletterdheid versoepeld. Dit artikel is daarop aangepast en uitgebreid met wat er in een AI-beleid hoort.

Wat de EU AI Act is

De EU AI Act is de eerste uitgebreide wetgeving ter wereld die het gebruik van kunstmatige intelligentie reguleert. De wet is in 2024 aangenomen en wordt stapsgewijs van kracht. De verboden toepassingen en de plicht tot AI-geletterdheid gelden sinds februari 2025, de meeste overige regels, waaronder de transparantieverplichtingen, sinds 2 augustus 2026. De regels voor AI-systemen met een hoog risico zijn met de Digital Omnibus op AI uitgesteld: tot 2 december 2027 voor toepassingen zoals werving en kredietbeoordeling, en tot 2 augustus 2028 voor AI die in producten is ingebouwd.

Voor grote techbedrijven die AI-modellen ontwikkelen, is de impact enorm. Voor MKB-bedrijven die AI gebruiken als tool in hun bedrijfsvoering, is het beeld genuanceerder.

Wat relevant is voor jou als MKB-ondernemer

De AI Act werkt met een risicoclassificatie. AI-systemen worden ingedeeld in vier categorieën: onacceptabel risico (verboden), hoog risico (strenge eisen), beperkt risico (transparantieverplichtingen) en minimaal risico (geen extra eisen).

De meeste AI-toepassingen die MKB-bedrijven gebruiken vallen in de categorie minimaal of beperkt risico. Denk aan AI voor e-mailverwerking, contentgeneratie, data-analyse, klantenservice-ondersteuning en procesorkestratie. Hiervoor gelden geen zware compliance-eisen.

Transparantieverplichting: Sinds 2 augustus 2026 moeten mensen weten dat ze met een AI-systeem communiceren, tenzij dat overduidelijk is. Formeel ligt die plicht bij de aanbieder van het systeem, maar laat je een chatbot onder je eigen naam bouwen, dan ben je dat vaak zelf. In de praktijk betekent dit: als je een AI-chatbot op je website hebt, vermeld dan dat het een AI is. En publiceer je realistische beelden, video of audio die met AI zijn gemaakt of bewerkt en echt lijken, vermeld dan ook dat.

Hoog risico geldt specifiek voor: AI in werving en selectie, kredietbeoordeling, toegang tot essentiële diensten en bepaalde overheidsprocessen. Als je AI gebruikt om sollicitanten te screenen of kredietwaardigheidsbeslissingen te nemen, val je vanaf 2 december 2027 onder striktere regels. De meeste MKB-bedrijven doen dit niet.

Wat je kunt negeren

Het overgrote deel van de AI Act is geschreven voor ontwikkelaars van AI-modellen en voor organisaties die AI inzetten voor hoog-risico toepassingen. Als jij AI gebruikt als ondernemer om je bedrijfsprocessen te verbeteren, hoef je je geen zorgen te maken over het trainen van foundation models, conformiteitsbeoordelingen voor AI-systemen, of uitgebreide technische documentatie.

Dat betekent niet dat je onvoorzichtig moet zijn. Maar de verplichtingen die direct op jou van toepassing zijn, zijn beheersbaar en vaak al gedekt door gezond verstand en bestaande AVG-naleving.

Wat je wél moet doen

Vier concrete acties die voor elk MKB-bedrijf relevant zijn. Ten eerste: weet welke AI-tools je gebruikt en waarvoor. Maak een simpel overzicht. Dit kost een uur en geeft je grip. Ten tweede: zorg dat je mensen weten hoe ze verstandig met die tools werken. Dat is de plicht tot AI-geletterdheid uit artikel 4, die sinds juli 2026 lichter is maar nog steeds geldt. Ten derde: zorg dat klanten weten wanneer ze met AI communiceren. Transparantie is verplicht en vergroot bovendien het vertrouwen. Ten vierde: controleer bij je AI-leveranciers of ze AVG-compliant zijn, waar je data wordt verwerkt en of die wordt gebruikt voor modeltraining. Dat is een AVG-verplichting die je toch al hebt.

Waaruit bestaat een AI-beleid?

Een goed AI-beleid voor een MKB-bedrijf past op twee A4'tjes en beantwoordt zeven vragen. Het is geen juridisch document, maar een werkafspraak die je medewerkers echt lezen.

• Doel en reikwijdte: waarvoor zet je AI in, en voor wie geldt het beleid (ook freelancers en stagiairs).
• Toegestane tools: welke AI-tools mogen worden gebruikt, met een zakelijk account in plaats van een privéaccount.
• Data: welke gegevens nooit in een AI-tool mogen, zoals BSN's, medische gegevens en vertrouwelijke klantdossiers, en wanneer alleen geanonimiseerde data is toegestaan.
• Menselijke controle: welke output altijd door een mens wordt gecontroleerd voordat hij naar een klant gaat.
• Transparantie: wanneer je klanten vertelt dat ze met AI te maken hebben, zoals bij een chatbot of AI-gegenereerde beelden.
• AI-geletterdheid: welke uitleg of training elke rol krijgt, en waar je dat vastlegt (artikel 4 AI Act).
• Eigenaarschap en evaluatie: wie het register van AI-tools bijhoudt, wie vragen beantwoordt en hoe vaak je het beleid herziet.

Begin met de tools die al in gebruik zijn en de data die daar doorheen gaat. Een beleid dat aansluit op hoe je team nu werkt, wordt nageleefd; een beleid dat alles verbiedt, wordt omzeild. In een AI-audit leveren we het register en de basis voor dit beleid mee.

Waar Innoworks op let

Bij alles wat we bouwen zorgen we ervoor dat het voldoet aan zowel de AVG als de AI Act. Data wordt verwerkt in Nederlandse datacenters, we werken model-agnostisch zodat er geen vendor lock-in is, en we bouwen altijd met de mens in de loop: AI adviseert, de mens beslist.

Dat is geen compliance-checkbox. Dat is hoe wij denken dat AI hoort te werken: transparant, betrouwbaar en onder controle van de ondernemer.