Je team gebruikt ChatGPT, Copilot of een AI-functie in je wervingssoftware. Dan valt je bedrijf onder de Europese AI-verordening, ook als je zelf niets bouwt. Deze pagina legt uit wat dat betekent voor een mkb-bedrijf met 10 tot 249 medewerkers, welke regels al gelden en wat je nu concreet doet.
In het kort: de meeste mkb-bedrijven zijn gebruiksverantwoordelijke, niet aanbieder. Verboden AI-praktijken zijn sinds februari 2025 niet meer toegestaan, transparantieplichten gelden sinds 2 augustus 2026 en de zware plichten voor hoog-risico AI (zoals AI in werving) gelden vanaf 2 december 2027. Begin met een overzicht van welke AI je gebruikt en waarvoor.
Wat is de AI-verordening en geldt die voor jou?
De AI-verordening is Verordening (EU) 2024/1689, in het Engels de AI Act. Het is een Europese verordening, dus ze geldt direct in Nederland. Er is geen aparte Nederlandse "AI-wet" nodig om de plichten te laten gelden.
De wet verdeelt AI-systemen naar risico. Hoe groter het risico voor mensen, hoe strenger de regels. Een paar toepassingen zijn verboden, een lijst met hoog-risico toepassingen krijgt zware eisen en voor chatbots en AI-content gelden transparantieregels.
Aanbieder of gebruiksverantwoordelijke
De verordening kent twee hoofdrollen. Een aanbieder ontwikkelt een AI-systeem, of laat het ontwikkelen, en brengt het onder eigen naam op de markt. Denk aan OpenAI, Microsoft of de leverancier van je ATS.
Een gebruiksverantwoordelijke (in het Engels deployer) gebruikt een AI-systeem onder eigen verantwoordelijkheid. Alleen persoonlijk, niet-beroepsmatig gebruik valt erbuiten. Gebruikt je personeel AI voor werk, dan is jouw bedrijf gebruiksverantwoordelijke.
Voor bijna elk mkb-bedrijf dat AI-tools inkoopt is dat de rol. Let wel op: je kunt aanbieder worden. Dat gebeurt bijvoorbeeld als je je eigen naam op een hoog-risico systeem zet of het wezenlijk wijzigt. Bouw je een eigen tool op een AI-model of verkoop je software met AI erin, lees dan wanneer je aanbieder én gebruiksverantwoordelijke bent.
Tijdlijn na de Digital Omnibus
De verordening gaat in fasen in. In 2026 is ze aangepast door de Digital Omnibus on AI, Verordening (EU) 2026/1744. Die is op 24 juli 2026 gepubliceerd in het Publicatieblad en op 27 juli 2026 in werking getreden. Het belangrijkste effect: de hoog-risico plichten schuiven op.
| Datum | Wat geldt er |
|---|---|
| 2 februari 2025 | Verboden AI-praktijken (artikel 5) en de plicht rond AI-geletterdheid (artikel 4) |
| 2 augustus 2025 | Regels voor AI-modellen voor algemene doeleinden (GPAI) en de boeteregels |
| 27 juli 2026 | Digital Omnibus in werking; artikel 4 wordt een plicht om AI-geletterdheid te ondersteunen |
| 2 augustus 2026 | Algemene toepassingsdatum, waaronder de transparantieplichten van artikel 50 |
| 2 december 2026 | Nieuw verbod op AI die zonder toestemming seksuele beelden van echte personen maakt. Aanbieders van generatieve AI die al vóór 2 augustus 2026 op de markt was, moeten uiterlijk nu AI-content machineleesbaar markeren (artikel 50, lid 2) |
| 2 december 2027 | Plichten voor hoog-risico AI uit bijlage III, zoals werving en kredietbeoordeling |
| 2 augustus 2028 | Plichten voor hoog-risico AI in producten onder bijlage I, zoals speelgoed en medische hulpmiddelen |
De datum die oudere artikelen noemen voor hoog-risico, 2 augustus 2026, klopt dus niet meer. Ook de Europese Commissie noemt op haar overzichtspagina over de AI-verordening nu 2 december 2027.
Wat er veranderde aan AI-geletterdheid
Het oude artikel 4 vroeg je om "zoveel als mogelijk" te zorgen voor een toereikend niveau van AI-geletterdheid bij je personeel. Na de Omnibus moet je maatregelen nemen om de ontwikkeling van AI-geletterdheid van je personeel te ondersteunen. De tekst zegt er expliciet bij dat je geen bepaald niveau per persoon hoeft te garanderen.
Dat is lichter, maar het is nog steeds een plicht. Je moet kunnen laten zien wat je hebt gedaan. Een korte training, een AI-beleid en een vastgelegd overzicht van wie welke tool gebruikt, zijn redelijke stappen.
Wat moet je nu al doen?
Een groot deel van de verordening geldt al. Deze checklist is gericht op een bedrijf dat AI gebruikt en niet bouwt.
- Maak een AI-inventarisatie. Zet elke AI-tool op een lijst: wie gebruikt hem, waarvoor, met welke data. Vergeet AI-functies in bestaande software niet, zoals in je CRM, ATS of helpdesk. Een eerste versie kost geen dag; zie een AI-inventarisatie in 30 minuten.
- Classificeer het risico. Bepaal per toepassing: verboden, hoog-risico, transparantieplicht of minimaal risico. De meeste kantoortoepassingen vallen in de laatste groep.
- Check de verboden praktijken. Gebruik je bijvoorbeeld software die emoties van medewerkers herkent op de werkvloer? Dat is verboden, behalve om medische of veiligheidsredenen.
- Schrijf een AI-beleid. Leg vast welke tools zijn goedgekeurd, welke gegevens er nooit in mogen en wie nieuwe tools goedkeurt.
- Ondersteun AI-geletterdheid. Geef medewerkers die met AI werken uitleg die past bij hun rol. Leg vast wie wat heeft gevolgd.
- Regel transparantie. Laat mensen weten dat ze met een chatbot praten als dat niet vanzelf duidelijk is, en label deepfakes. Meer hierover in artikel 50 voor chatbots en AI-content.
- Bekijk je leverancierscontracten. Vraag om documentatie, gebruiksinstructies en afspraken over data. Gebruik daarvoor een checklist voor leveranciers van AI.
- Koppel het aan de AVG. Verwerkt een AI-tool persoonsgegevens, dan gelden de AVG-regels al gewoon. Bij een hoog risico voor betrokkenen hoort daar een DPIA bij.
Gebruikt je IT-team Microsoft 365, dan is Copilot vaak de eerste tool op de lijst. Lees wat de AI-verordening voor een Copilot-uitrol betekent.
Hoog-risico: wanneer ben je het?
Een AI-systeem is hoog-risico als het in een van de gebieden van bijlage III valt. Voor het mkb zijn dit de bekendste:
- Werving en selectie: AI die vacatures gericht plaatst, sollicitaties analyseert of filtert, of kandidaten beoordeelt.
- Personeelsbeslissingen: AI die meebeslist over promotie of ontslag, taken toewijst op basis van gedrag of persoonlijke kenmerken, of prestaties van medewerkers monitort en beoordeelt.
- Kredietwaardigheid: AI die de kredietwaardigheid of kredietscore van personen bepaalt, behalve voor fraudedetectie.
- Verzekeringen: AI voor risicobeoordeling en prijsbepaling bij levens- en ziektekostenverzekeringen.
Andere gebieden zijn onder meer biometrie, onderwijs, kritieke infrastructuur en overheidstaken. Een volledig overzicht staat in de bijlage III-categorieën uitgelegd.
Wat je als gebruiksverantwoordelijke moet doen vóór 2 december 2027
Artikel 26 geeft gebruiksverantwoordelijken van hoog-risico AI een eigen lijst plichten:
- Gebruik het systeem volgens de gebruiksinstructies van de aanbieder.
- Wijs menselijk toezicht toe aan mensen met de juiste kennis, training en bevoegdheid.
- Zorg dat invoerdata relevant en voldoende representatief is, voor zover je die data beheert.
- Monitor de werking en meld risico's en ernstige incidenten aan de aanbieder.
- Bewaar de automatisch gegenereerde logs die onder jouw controle vallen, minimaal zes maanden.
- Informeer werknemers en hun vertegenwoordigers, zoals de ondernemingsraad, voordat je het systeem op de werkvloer inzet.
- Informeer mensen over wie het systeem beslist of meebeslist dat er AI wordt gebruikt.
Doe je kredietbeoordelingen of verzekeringsprijzen met AI, of lever je een publieke dienst, dan komt daar een grondrechteneffectbeoordeling (FRIA) bij. Het verschil met een DPIA lees je in DPIA en FRIA: wat is het verschil. Werk je in HR, dan is de gids voor HR-managers het logische vervolg.
Ruim een jaar lijkt veel. Maar leverancierscontracten, toezichtrollen en uitleg aan de ondernemingsraad kosten tijd. Begin met de inventarisatie, dan weet je of dit deel überhaupt voor je geldt.
Boetes
Artikel 99 kent drie niveaus. Telkens geldt een vast bedrag of een percentage van de wereldwijde jaaromzet van het vorige boekjaar.
| Overtreding | Maximale boete |
|---|---|
| Verboden AI-praktijken (artikel 5) | € 35 miljoen of 7% van de omzet |
| Andere plichten, waaronder artikel 26 (gebruiksverantwoordelijken) en artikel 50 (transparantie) | € 15 miljoen of 3% van de omzet |
| Onjuiste of misleidende informatie aan toezichthouders of aangemelde instanties | € 7,5 miljoen of 1% van de omzet |
Voor grote bedrijven geldt het hoogste van de twee. Voor het mkb geldt het laagste van de twee (artikel 99, lid 6). Een bedrijf met € 10 miljoen omzet riskeert bij een overtreding van artikel 26 dus maximaal 3% daarvan, € 300.000, en niet € 15 miljoen.
De Omnibus breidt die regel deels uit naar small mid-caps, bedrijven die net te groot zijn voor de mkb-definitie. Voor hen geldt het laagste bedrag bij de tweede en derde categorie. Ook moeten lidstaten bij boetes rekening houden met de belangen en de economische levensvatbaarheid van mkb-bedrijven en small mid-caps.
Dit zijn maxima. Een toezichthouder weegt onder meer de ernst, de duur en je medewerking mee. De rekensom per categorie staat in hoe boetes onder artikel 99 worden berekend, of bereken je maximale boete direct.
Toezicht in Nederland
Het Nederlandse toezicht is nog in opbouw. Het kabinet is van plan de Autoriteit Persoonsgegevens (AP) samen met de Rijksinspectie Digitale Infrastructuur (RDI) een centrale rol te geven. Dat schrijft de AP zelf in haar bericht van 9 oktober 2026.
De AP is beoogd markttoezichthouder op AI, maar nog niet aangewezen. Ze krijgt die bevoegdheden pas als de Nederlandse Uitvoeringswet AI-verordening van kracht is. Intussen houdt de AP sinds 2023 coördinerend toezicht op AI en algoritmes en heeft ze een nieuwe directie opgezet die het markttoezicht voorbereidt.
Twee dingen zijn wel duidelijk. De plichten uit de verordening gelden nu al, ook zonder aangewezen toezichthouder. En de AP houdt nu al toezicht op persoonsgegevens die AI-systemen verwerken, via de AVG.
AI-verordening en AVG
De AI-verordening vervangt de AVG niet. Ze komt erbovenop. Verwerkt een AI-tool persoonsgegevens, dan heb je een grondslag nodig, moet je betrokkenen informeren en heb je bij een hoog risico een DPIA nodig.
De twee wetten overlappen. Artikel 26 zegt dat je de informatie van de aanbieder gebruikt voor je DPIA. De Omnibus maakt het makkelijker om in een FRIA te verwijzen naar een bestaande DPIA, zodat je niet alles dubbel doet. Meer hierover in de overlap tussen AVG en AI-verordening.
Veelgestelde vragen
Geldt de AI-verordening als mijn team alleen ChatGPT gebruikt?
Ja. Gebruikt je personeel ChatGPT voor werk, dan is je bedrijf gebruiksverantwoordelijke. Voor gewoon kantoorgebruik betekent dat vooral: AI-geletterdheid ondersteunen, een helder beleid en transparantie waar AI-content naar buiten gaat. Gebruik je ChatGPT om sollicitanten te beoordelen, dan kom je in hoog-risico terrein.
Ben ik als klein bedrijf vrijgesteld?
Nee. De verordening kent geen vrijstelling op basis van omvang voor gebruiksverantwoordelijken. Wel zijn de boetes voor het mkb lager, moeten overheden het mkb helpen met AI-geletterdheid en wegen toezichthouders je economische positie mee.
Is AI in werving altijd hoog-risico?
AI die vacatures gericht plaatst, sollicitaties analyseert of filtert, of kandidaten beoordeelt, staat in bijlage III. Een tool die alleen een vacaturetekst helpt schrijven doet dat niet. Bepaal het per functie, niet per leverancier.
Moet ik iets melden of registreren?
Als gebruiksverantwoordelijke van een privaat bedrijf hoef je je hoog-risico systeem in de regel niet zelf in de EU-databank te registreren. Dat is een plicht voor aanbieders en voor overheidsinstanties. Wel meld je ernstige incidenten aan de aanbieder en informeer je werknemers vooraf.
Wat als mijn leverancier niet compliant is?
Dan heb je een risico. Je moet het systeem volgens de instructies gebruiken en kunt dat alleen als de aanbieder die levert. Leg in je contract vast welke documentatie je krijgt en wat er gebeurt als die ontbreekt.
Weet waar je staat
De AI-verordening vraagt van een mkb-bedrijf geen juridische afdeling. Wel overzicht: welke AI je gebruikt, in welke risicogroep die valt en wat je al hebt vastgelegd. Dit artikel is algemene informatie en geen juridisch advies.
Khairos Comply helpt mkb-bedrijven met die stappen, samen met partner PNA. Wil je eerst weten waar je staat? De gratis check bestaat uit 15 vragen en duurt ongeveer twee minuten. Na je contactgegevens zie je je score en ontvang je een pdf.