De EU AI Act: Wat Nederlandse Bedrijven Moeten Weten in 2026
De EU AI Act is de eerste uitgebreide AI-wetgeving ter wereld en sinds augustus 2025 stapsgewijs van kracht. In 2026 bereiken we de fase van volledige handhaving. Als Nederlands bedrijf dat AI gebruikt of overweegt, is het cruciaal om te begrijpen wat deze verordening voor jou betekent. In dit artikel leggen we de wetgeving helder uit, met concrete stappen die je vandaag kunt nemen.
Wat is de EU AI Act precies?#
De EU AI Act (officieel: Verordening inzake Artificiële Intelligentie) is een Europese verordening die regels stelt voor de ontwikkeling, het op de markt brengen en het gebruik van AI-systemen. De wet geldt voor alle bedrijven die AI-systemen aanbieden of gebruiken binnen de Europese Unie, ongeacht of het bedrijf in de EU gevestigd is.
Het kernprincipe is eenvoudig: hoe hoger het risico van een AI-systeem, hoe strenger de regels. Dit wordt het risicogebaseerde model genoemd.
De vier risicocategorieen#
De EU AI Act verdeelt AI-systemen in vier risiconiveaus. Het is essentieel om te begrijpen waar jouw AI-toepassingen vallen.
1. Onaanvaardbaar risico (verboden)
Deze AI-systemen zijn simpelweg verboden binnen de EU:
- Social scoring door overheden: het beoordelen van burgers op basis van hun sociale gedrag
- Manipulatieve AI: systemen die kwetsbare groepen (kinderen, ouderen, mensen met een beperking) manipuleren
- Real-time biometrische identificatie in openbare ruimtes door wetshandhaving (met beperkte uitzonderingen)
- Emotieherkenning op de werkplek en in onderwijsinstellingen
- Predictive policing op basis van persoonlijke kenmerken
Voor het MKB: het is onwaarschijnlijk dat jouw bedrijf deze systemen gebruikt, maar wees je bewust van de grenzen als je met gezichtsherkenning of gedragsanalyse werkt.
2. Hoog risico
AI-systemen die een significant risico vormen voor de gezondheid, veiligheid of grondrechten van mensen. Dit omvat onder meer:
- Kritieke infrastructuur: AI in energie, transport, water
- Onderwijs en beroepsopleiding: toelatingssystemen, examenbeoordeling
- Werkgelegenheid: CV-screening, sollicitantenranking, prestatiebeoordeling
- Kredietbeoordeling: AI die bepaalt of iemand een lening krijgt
- Wetshandhaving: risicobeoordeling van verdachten
- Biometrische identificatie: op afstand, niet-realtime
Verplichtingen bij hoog risico:
- Risicobeoordeling en -managementsysteem
- Data governance en kwaliteitseisen
- Technische documentatie
- Logging en traceerbaarheid
- Menselijk toezicht
- Nauwkeurigheid, robuustheid en cybersecurity
- Registratie in de EU-database
3. Beperkt risico (transparantieverplichtingen)
Hierbij gelden vooral transparantieregels:
- Chatbots: gebruikers moeten weten dat ze met AI praten
- AI-gegenereerde content: deepfakes en synthetische media moeten als zodanig worden gemarkeerd
- Emotieherkenning: gebruikers moeten worden geinformeerd
Voor het MKB: als je een AI-chatbot op je website hebt, moet je duidelijk aangeven dat het een AI-systeem is. Dit is de meest voorkomende verplichting voor kleinere bedrijven.
4. Minimaal risico (geen extra verplichtingen)
Het overgrote deel van AI-toepassingen valt in deze categorie:
- Spamfilters
- AI-gestuurde productaanbevelingen
- Voorraadoptimalisatie
- Documentverwerking en -classificatie
- Vertaalsoftware
- Zoekmachines
Voor het MKB: de meeste AI-tools die je dagelijks gebruikt vallen hier onder. Er gelden geen aanvullende verplichtingen, maar het is altijd slim om verantwoord met AI om te gaan.
Risicoclassificatie overzicht#
| Risiconiveau | Voorbeelden | Verplichtingen | Relevant voor MKB? |
|---|---|---|---|
| Onaanvaardbaar | Social scoring, manipulatieve AI | Verboden | Zelden |
| Hoog | CV-screening, kredietbeoordeling | Uitgebreide documentatie, audits, menselijk toezicht | Soms (HR-software, financiele diensten) |
| Beperkt | Chatbots, deepfakes | Transparantie richting gebruikers | Vaak (chatbots, AI-content) |
| Minimaal | Spamfilters, aanbevelingen, voorraad-AI | Geen aanvullende regels | Zeer vaak |
Specifieke aandachtspunten voor het MKB#
General-Purpose AI (GPAI)
Gebruik je foundation models zoals GPT, Claude of Gemini via API's? Dan ben je als deployer (gebruiker) niet direct verantwoordelijk voor de model-compliance. Dat is de verantwoordelijkheid van de provider (OpenAI, Anthropic, Google). Maar je bent wel verantwoordelijk voor hoe je het model inzet.
De MKB-vrijstellingen
De EU AI Act bevat enkele bepalingen die het MKB tegemoet komen:
- Regulatory sandboxes: EU-lidstaten moeten regelgevende sandboxen opzetten waar MKB-bedrijven AI-systemen kunnen testen onder toezicht
- Lagere vergoedingen: MKB-bedrijven betalen lagere kosten voor conformiteitsbeoordelingen
- Ondersteuning: nationale autoriteiten moeten richtsnoeren en begeleiding bieden, specifiek gericht op het MKB
Waar Nederlandse bedrijven extra op moeten letten
- Chatbots en virtuele assistenten: transparantieverplichting (beperkt risico)
- AI in HR-processen: als je AI-tools gebruikt voor werving en selectie, val je mogelijk onder hoog risico
- AI-gegenereerde marketingcontent: markeer synthetische content als zodanig
- AI voor klantprofilering: controleer of je niet onbedoeld in hoog risico valt
De implementatie-timeline#
| Datum | Wat treedt in werking |
|---|---|
| Augustus 2024 | AI Act officieel van kracht |
| Februari 2025 | Verboden AI-praktijken gelden |
| Augustus 2025 | Regels voor GPAI-modellen en governance |
| Augustus 2026 | Volledige handhaving voor hoog-risico systemen |
| Augustus 2027 | Regels voor hoog-risico AI in gereguleerde producten |
We zitten nu (februari 2026) in de fase waarin volledige handhaving nadert. De verboden praktijken gelden al, GPAI-regels zijn actief, en in augustus 2026 worden alle hoog-risico regels gehandhaafd.
Wat als je niet compliant bent?#
De boetes zijn aanzienlijk en bedoeld als afschrikmiddel:
| Overtreding | Maximale boete |
|---|---|
| Verboden AI-praktijken | EUR 35 miljoen of 7% van wereldwijde jaaromzet |
| Hoog-risico verplichtingen | EUR 15 miljoen of 3% van wereldwijde jaaromzet |
| Onjuiste informatie aan toezichthouders | EUR 7,5 miljoen of 1,5% van wereldwijde jaaromzet |
Voor het MKB gelden proportionele boetes: de lagere van de twee bedragen (vast bedrag of percentage) is van toepassing. Maar ook een boete van enkele miljoenen kan voor een MKB-bedrijf desastreus zijn.
Naast boetes loop je het risico op:
- Reputatieschade: publicatie van overtredingen
- Marktverbod: je AI-systeem mag niet meer worden aangeboden
- Aansprakelijkheid: bij schade aan gebruikers door non-compliant AI
Praktische compliance-checklist#
Gebruik deze checklist om je bedrijf voor te bereiden:
Stap 1: AI-inventarisatie
- Maak een overzicht van alle AI-systemen die je gebruikt
- Documenteer waarvoor elk systeem wordt ingezet
- Identificeer wie de provider (aanbieder) en wie de deployer (gebruiker) is
Stap 2: Risicoclassificatie
- Classificeer elk AI-systeem in de juiste risicocategorie
- Let extra op HR-tools, klantprofilering en beslissingssystemen
- Raadpleeg bij twijfel een expert
Stap 3: Transparantie implementeren
- Label alle chatbots duidelijk als AI-systeem
- Markeer AI-gegenereerde content
- Informeer gebruikers over emotieherkenning (indien van toepassing)
Stap 4: Documentatie op orde brengen
- Maak technische documentatie voor hoog-risico systemen
- Stel een data governance beleid op
- Documenteer het menselijk toezicht op AI-beslissingen
Stap 5: Organisatorische maatregelen
- Wijs een verantwoordelijke aan voor AI-compliance
- Train medewerkers over verantwoord AI-gebruik
- Stel een procedure op voor het melden van incidenten
Stap 6: Monitoring en onderhoud
- Richt monitoring in voor AI-systeemprestaties
- Plan periodieke reviews van je AI-inventaris
- Houd de ontwikkelingen in wet- en regelgeving bij
De rol van de nationale toezichthouder#
In Nederland is de Autoriteit Persoonsgegevens (AP) aangewezen als toezichthouder voor de EU AI Act. De AP krijgt er dus een taak bij naast het toezicht op de AVG. Dit betekent in de praktijk:
- De AP zal richtsnoeren publiceren specifiek voor het Nederlandse bedrijfsleven
- Je kunt bij de AP terecht voor vragen over risicoclassificatie
- Meldingen van incidenten met hoog-risico AI gaan via de AP
- De AP kan inspecties uitvoeren en handhavend optreden
Houd de website van de AP in de gaten voor de meest actuele Nederlandse interpretatie van de regels. De EU AI Act is een Europese verordening, maar de handhaving vindt nationaal plaats.
Waar moet je beginnen?#
Voor de meeste MKB-bedrijven is de impact overzichtelijk. Begin met deze drie acties:
- Maak een AI-register: documenteer welke AI je gebruikt, van ChatGPT tot je CRM-chatbot
- Label je chatbot: voeg een duidelijke melding toe dat klanten met een AI-systeem communiceren
- Check je HR-tools: als je AI-gestuurde sollicitantenscreening gebruikt, laat dit beoordelen
Veelgestelde vragen van ondernemers#
"Ik gebruik alleen ChatGPT, moet ik iets doen?" Als je ChatGPT gebruikt voor interne taken (teksten schrijven, brainstormen), val je onder minimaal risico en gelden er geen aanvullende verplichtingen. Gebruik je het in klantcontact? Dan moet je transparant zijn dat er AI wordt ingezet.
"Geldt de wet ook voor AI-tools die ik inkoop?" Ja. Als deployer (gebruiker) ben je mede verantwoordelijk voor het correcte gebruik. De provider (aanbieder) is verantwoordelijk voor de technische compliance van het model zelf.
"Is het duur om compliant te worden?" Voor de meeste MKB-bedrijven zijn de kosten beperkt. Het gaat vooral om documentatie en transparantie, niet om dure technische aanpassingen. Alleen bij hoog-risico systemen worden de eisen en dus de kosten aanzienlijk hoger.
Compliant AI laten ontwikkelen#
Als je nieuwe AI-oplossingen wilt laten bouwen, zorg er dan voor dat compliance vanaf het begin wordt meegenomen in het ontwerp. Dit heet compliance by design en is uiteindelijk goedkoper dan achteraf aanpassen.
Bij Clever AI Software bouwen we AI-oplossingen die van meet af aan voldoen aan de EU AI Act. Van risicoclassificatie tot transparantie-eisen: we zorgen dat jouw maatwerk AI-software compliant is en blijft.
Conclusie#
De EU AI Act hoeft geen obstakel te zijn voor innovatie. Voor de meeste MKB-bedrijven gaat het om bewustwording, transparantie en goede documentatie. Door nu actie te ondernemen, ben je niet alleen compliant maar bouw je ook vertrouwen op bij je klanten en partners.
Het belangrijkste advies: wacht niet tot augustus 2026. Begin vandaag met je AI-inventarisatie en werk stap voor stap naar volledige compliance.
"Compliance is geen last, het is een concurrentievoordeel. Bedrijven die verantwoord met AI omgaan, winnen het vertrouwen van hun klanten." - Clever AI Software
