De AI Act, of AI-verordening, is de Europese wet die regels stelt aan AI op basis van risico. Sinds 2 augustus 2026 geldt het grootste deel, waaronder de transparantieplicht voor chatbots en AI-content. De zware regels voor hoog-risico AI zijn uitgesteld naar 2 december 2027 en 2 augustus 2028. Verboden AI en AI-geletterdheid gelden al sinds februari 2025.
Voor veel ondernemers is de AI Act daarmee concreet geworden. Wie AI gebruikt in de organisatie, kan niet meer volstaan met “we proberen wat met ChatGPT” of “Copilot staat aan”. Er moet aantoonbaar worden nagedacht over risico’s, verantwoordelijkheden, medewerkers, data en controle.
De AI Act wordt gefaseerd ingevoerd, en die fasering is in 2026 gewijzigd. Sommige verplichtingen gelden al, zoals verboden AI-praktijken en AI-geletterdheid. Sinds 2 augustus 2026 gelden de transparantieverplichtingen. De zwaarste verplichtingen rondom hoog-risico AI zijn juist uitgesteld. Voor ondernemers is dit dus het moment om AI professioneel te organiseren, met een realistisch beeld van welke deadline wanneer telt.
Wat verandert er wel en niet op 2 augustus 2026?
De Europese wetgever heeft de AI-verordening kort voor de oorspronkelijke deadline aangepast via de zogeheten Digital Omnibus. Het Europees Parlement stemde op 16 juni 2026 in, de Raad gaf op 29 juni 2026 definitief groen licht (Raad van de Europese Unie). De wijziging staat in Verordening (EU) 2026/1744. Die verscheen op 24 juli 2026 in het Publicatieblad en geldt sinds 27 juli 2026. Dit is de tijdlijn die nu geldt.
| Datum | Wat gaat gelden | Status |
|---|---|---|
| 2 februari 2025 | Verbod op onaanvaardbare AI-praktijken en de plicht tot AI-geletterdheid bij medewerkers | Geldt |
| 2 augustus 2025 | Regels voor general-purpose AI-modellen | Geldt |
| 2 augustus 2026 | Transparantie uit artikel 50: mensen moeten weten dat ze met AI te maken hebben en AI-content moet herkenbaar zijn. Sinds die datum kan de Europese Commissie ook handhaven bij aanbieders van de zwaarste AI-modellen. | Geldt |
| 2 december 2026 | Machineleesbare markering van AI-content voor systemen die al vóór 2 augustus 2026 op de markt waren, en een nieuw verbod op AI die zonder toestemming naaktbeelden of kindermisbruikmateriaal maakt | Nieuw door de Omnibus |
| 2 december 2027 | Hoog-risico AI uit Bijlage III, zoals AI voor werving, cv-selectie, personeelsbeoordeling of kredietbeoordeling (was 2 augustus 2026) | Uitgesteld |
| 2 augustus 2028 | Hoog-risico AI die is ingebed in gereguleerde producten (Bijlage I) | Uitgesteld |
Dat uitstel is geen reden om te wachten. De onderliggende verplichtingen zijn niet veranderd, alleen de datum. Een risicoclassificatie, een AI-register en gedegen documentatie kosten maanden, geen weken. En de transparantieplicht van 2 augustus 2026 raakt vrijwel elke organisatie die een chatbot inzet of content met AI publiceert. Die datum is niet opgeschoven.
Voor welke ondernemers geldt de AI Act?
De AI Act geldt niet alleen voor grote technologiebedrijven. Ook MKB-bedrijven vallen onder deze AI-wetgeving zodra zij AI-systemen ontwikkelen, inkopen, aanbieden of gebruiken binnen hun bedrijfsprocessen.
- Bedrijven die AI gebruiken voor tekst, samenvattingen, klantcommunicatie, analyse of besluitvorming.
- Organisaties die Microsoft Copilot, ChatGPT, AI Builder, Copilot Studio, Azure AI of vergelijkbare tools inzetten.
- Bedrijven die AI gebruiken binnen HR, recruitment, planning, financiële processen, klantenservice, documentverwerking of projectadministratie.
- Ondernemers die AI-functionaliteit leveren aan klanten of AI verwerken in hun eigen software, portal, website of workflow.
- Organisaties die met persoonsgegevens, klantdata, financiële data of projectinformatie werken en AI daarop toepassen.
Voor de meeste ondernemers betekent dit niet dat AI verboden wordt. Het betekent vooral dat je moet kunnen uitleggen welke AI je gebruikt, waarvoor je die gebruikt, welke risico’s daarbij horen en hoe je menselijk toezicht en kwaliteitscontrole organiseert. De Europese Commissie licht het risicogebaseerde model van de AI-verordening toe op haar eigen informatiepagina (Europese Commissie).
Wie houdt in Nederland toezicht op de AI Act?
In Nederland houden de bestaande toezichthouders elk in hun eigen domein toezicht op AI. Waar geen duidelijke toezichthouder is, wordt dat de Autoriteit Persoonsgegevens. De AP en de Rijksinspectie Digitale Infrastructuur krijgen samen een coördinerende rol. Zo staat het in het wetsvoorstel dat het kabinet in april 2026 in consultatie bracht (Rijksoverheid). De verplichtingen zelf gelden al, want een Europese verordening werkt rechtstreeks.
De boetes staan in de AI Act zelf. Voor verboden AI is het maximum 35 miljoen euro of 7 procent van de wereldwijde jaaromzet. Voor de meeste andere verplichtingen is dat 15 miljoen euro of 3 procent. Voor mkb-bedrijven geldt het laagste van die twee bedragen.
Wat moet je als ondernemer regelen?
Een ondernemer hoeft niet te beginnen met een juridisch rapport van vijftig pagina’s. Begin met overzicht. De basis van AI compliance bestaat uit zeven praktische onderdelen.
- Maak een AI-inventarisatie. Breng in kaart welke AI-tools medewerkers gebruiken, formeel én informeel. Denk aan Copilot, ChatGPT, AI Builder, automatische documentherkenning, chatbots en AI in bestaande software.
- Bepaal de rol van je organisatie. Ben je gebruiker van AI, aanbieder van een AI-systeem, distributeur of ontwikkelaar? Die rol bepaalt welke verplichtingen gelden.
- Classificeer het risico per toepassing. Niet elke AI-toepassing is even zwaar gereguleerd. Een teksthulp is iets anders dan AI die sollicitanten beoordeelt of beslissingen over mensen beïnvloedt.
- Leg afspraken vast in een AI-beleid. Beschrijf welke tools zijn toegestaan, welke data wel en niet gebruikt mogen worden, wie verantwoordelijk is en hoe output gecontroleerd wordt.
- Zorg voor AI-geletterdheid. Medewerkers die met AI werken moeten begrijpen wat AI kan, waar de beperkingen zitten en welke risico’s ontstaan bij privacy, veiligheid, bias en foutieve output. Sinds de Omnibus is de plicht iets zachter verwoord. Je neemt maatregelen die de AI-geletterdheid van je medewerkers ondersteunen, maar een vast niveau per medewerker hoef je niet te garanderen. De plicht zelf is niet uitgesteld.
- Regel transparantie en menselijk toezicht. Laat klanten, medewerkers of gebruikers weten wanneer zij met AI te maken hebben en zorg dat een mens eindverantwoordelijk blijft. Deze verplichting geldt sinds 2 augustus 2026.
- Houd een AI-register bij. Leg per AI-toepassing vast wat het doel is, welke leverancier erbij hoort, welke data wordt verwerkt, welke risico-inschatting is gemaakt en wanneer de toepassing is beoordeeld.
Wanneer wordt het extra belangrijk?
De meeste AI-toepassingen in het MKB zijn laag of beperkt risico. Toch zijn er situaties waarin ondernemers extra alert moeten zijn. Vooral wanneer AI invloed heeft op mensen, rechten, werk, toegang tot diensten of financiële beoordeling.
- AI die kandidaten selecteert, cv’s beoordeelt of medewerkers evalueert.
- AI die klanten beoordeelt op kredietwaardigheid, risico of toegang tot dienstverlening.
- AI die wordt gebruikt in planning, personeelsinzet of beoordeling wanneer dit gevolgen heeft voor medewerkers.
- Chatbots of AI-content waarbij niet duidelijk is dat iemand met AI communiceert.
- AI die persoonsgegevens, financiële gegevens, projectinformatie of vertrouwelijke klantdata verwerkt.
De eerste drie situaties vallen doorgaans in de categorie hoog risico. Daarvoor geldt sinds de Omnibus de deadline van 2 december 2027, wat ruimte geeft, maar geen vrijbrief. Conformiteitsbeoordeling, technische documentatie en registratie in de EU-databank zijn trajecten van vele maanden. De vierde situatie, chatbots en AI-content, valt onder de transparantieplicht en geldt sinds 2 augustus 2026.
Juist in dit soort situaties wil je niet achteraf ontdekken dat er geen beleid, geen register, geen uitleg en geen controlemechanisme is. De AI Act vraagt om aantoonbaarheid: je moet kunnen laten zien dat je bewust en verantwoord met AI omgaat.
Waarmee kan De Saak helpen?
AI goed inzetten is geen puur juridisch vraagstuk. Het raakt processen, data, Microsoft 365, Business Central, SharePoint, rechtenstructuren, medewerkers en dagelijkse werkwijzen. Op dat snijvlak werkt De Saak, met apps, automatisering en data in het Microsoft-ecosysteem. Wij helpen ondernemers om AI praktisch, veilig en werkbaar in te richten.
- AI-scan: we brengen in kaart welke AI-toepassingen al gebruikt worden en waar risico’s of blinde vlekken zitten.
- AI-register en risicoclassificatie: we helpen om toepassingen vast te leggen en praktisch te beoordelen.
- AI-beleid: we stellen een duidelijk, toepasbaar beleid op dat past bij de organisatie en niet in een la verdwijnt.
- AI-geletterdheid en training: we leren medewerkers hoe zij AI professioneel gebruiken, inclusief controle van output, privacy en datagebruik.
- Microsoft 365 en Copilot-readiness: we controleren of rechten, SharePoint-structuur, data en governance klaar zijn voor veilig AI-gebruik. Lees ook hoe AI op eigen bedrijfsdata veilig werkt.
- Procesinrichting en implementatie: we vertalen AI-kansen naar concrete processen, workflows, Copilot-toepassingen en automatisering binnen het Microsoft-ecosysteem, zoals in AI inzetten in je projectorganisatie.
- Doorlopende begeleiding: AI verandert snel, en de AI Act zelf blijkbaar ook. We helpen bij de start en daarna bij bijsturen, verbeteren en verantwoord opschalen.
Veelgestelde vragen over de AI Act
Is de AI Act uitgesteld?
Deels. Alleen de regels voor hoog-risico AI zijn uitgesteld, naar 2 december 2027 en 2 augustus 2028. Het verbod op onaanvaardbare AI, AI-geletterdheid, de regels voor general-purpose AI en de transparantieplicht gelden al.
Geldt de AI Act ook als je alleen ChatGPT of Copilot gebruikt?
Ja. Als gebruiker zorg je voor AI-geletterdheid bij de medewerkers die ermee werken. Zet je AI in richting klanten, bijvoorbeeld een chatbot of gegenereerde teksten en beelden, dan moet herkenbaar zijn dat het om AI gaat. Zware verplichtingen krijg je pas bij hoog-risico toepassingen, zoals AI die sollicitanten beoordeelt.
Wat is AI-geletterdheid?
AI-geletterdheid betekent dat medewerkers genoeg van AI weten om er verantwoord mee te werken. Ze kennen de mogelijkheden en de beperkingen, en ze herkennen risico’s zoals foutieve output en het lekken van vertrouwelijke data. Wat genoeg is, hangt af van hun rol en de toepassing.
Wat is het verschil tussen een aanbieder en een gebruiker van AI?
Een aanbieder ontwikkelt een AI-systeem of brengt het onder eigen naam op de markt. Een gebruiker zet een AI-systeem in voor zijn eigen werk. De meeste mkb-bedrijven zijn gebruiker. Bouw je zelf een chatbot of AI-functie voor klanten, dan kun je ook aanbieder zijn, met meer verplichtingen.
Begin klein, maar begin wel nu
De AI Act hoeft geen rem te zijn op innovatie. Integendeel: bedrijven die hun AI-gebruik goed organiseren, kunnen juist sneller en met meer vertrouwen aan de slag. De basis is overzicht, beleid, training en een betrouwbare digitale omgeving.
Het uitstel van de hoog-risico-regels verandert daar weinig aan. Het verschuift een deadline, niet het werk. Organisaties die de gewonnen tijd gebruiken om hun inventarisatie, register en governance op orde te brengen, staan in december 2027 klaar. Organisaties die pas in 2027 beginnen, staan dan precies waar ze nu stonden.
Wil je weten of jouw organisatie klaar is voor de AI Act? De Saak helpt je met een praktische AI-scan, een helder AI-beleid en een veilige inrichting van Microsoft 365, Copilot, SharePoint en Business Central. Neem contact op en gebruik AI met vertrouwen en aantoonbare controle.
Bronnen
- Europese Commissie, AI Act en tijdlijn na de AI Omnibus
- Verordening (EU) 2026/1744 (Digital Omnibus AI), Publicatieblad 24 juli 2026
- Verordening (EU) 2024/1689 (AI Act), boetes in artikel 99
- Raad van de Europese Unie, definitief akkoord Digital Omnibus AI (29 juni 2026)
- Rijksoverheid, kabinet zet stap met toezicht op Europese AI-regels (20 april 2026)
