AI-geletterdheid (artikel 4): wat moet je als mkb regelen

Je gebruikt ChatGPT, Copilot of andere AI-tools binnen je team. Je bouwt zelf geen modellen. Je wilt weten wat artikel 4 van de AI-verordening van je vraagt. En wat echt nodig is versus wat overdreven is. Dit is geen juridisch advies. Gebruik het als praktische gids.

TL;DR: Artikel 4 verplicht providers en deployers om maatregelen te nemen die de ai geletterdheid van personeel ondersteunen. Kleine, praktische stappen volstaan meestal: beleid, korte training, gebruiksregels en vastleggen van wat je doet.

Wat vraagt artikel 4 precies over ai geletterdheid?

Artikel 4 zegt kort gezegd: providers en deployers moeten maatregelen nemen om ai geletterdheid te ondersteunen. Zie de tekst van Article 4: AI literacy.

De wetgever gebruikt een ruime definitie van ai geletterdheid. Het gaat om kennis, begrip en vaardigheden om AI-systemen doelbewust en geïnformeerd in te zetten. De verplichting geldt voor staff en anderen die AI-systemen gebruiken of bedienen.

Belangrijke nuances uit artikel 4:

• De verplichting vereist niet dat je een specifiek niveau van kennis garandeert. Zie Article 4: AI literacy.

• De maatregelen moeten passen bij het technische kennisniveau en de rol van de persoon. Zie Article 4: AI literacy.

• De Commissie en lidstaten moeten ondersteuning bieden, en er komen voorbeelden op een centraal platform. Zie Article 4: AI literacy.

Het startmoment van deze verplichting is juridisch relevant. Artikel 4 komt in werking op 2 februari 2025. Zie de Implementation Timeline.

Waarom dit praktisch is voor een mkb

De EU wil risico’s beperken en vertrouwen versterken zonder innovatie te blokkeren. De AI-verordening werkt met risico-niveaus, niet met een verbod op alle AI gebruik. Zie de uitleg op de EU-pagina over de AI Act | Shaping Europe’s digital future.

Voor mkb betekent dit dat eenvoudige, proportionele maatregelen vaak genoeg zijn. De wet verwacht dat deployers bewijzen dat ze stappen hebben genomen. Het is praktisch relevant om dit vast te leggen.

Concreet: redelijke stappen voor teams die ChatGPT of Copilot gebruiken

De volgende maatregelen zijn realistisch en doelgericht. Ze kosten weinig tijd. Ze verminderen je juridische en operationele risico's.

• Stel een kort, helder intern gebruiksbeleid op. Noem welke tools zijn toegestaan en voor welke taken. Leg vertrouwelijke data expliciet vast als verboden invoer.

• Bied een korte verplichte training van 20-45 minuten per gebruiker. Richt je op risico's, privacy en het herkennen van onjuiste outputs. Zie het checklist voorbeeld verderop.

• Benoem een verantwoordelijke voor AI-gebruik. Dit kan de HR-manager of IT/operations-manager zijn.

• Houd een eenvoudige inventaris bij van gebruikte AI-tools met leverancier, doel en toegangsrechten. Een spreadsheet volstaat.

• Registreer incidenten en onjuiste outputs. Noteer datum, gebruiker, tool, en genomen actie.

• Voeg gebruiksregels toe in arbeidsvoorwaarden of een aanvullend reglement. Maak ze kort en duidelijk.

Deze stappen zijn bedoeld voor deployers en passen bij mkb zonder eigen modelontwikkeling. Ze volgen de geest van Article 4: AI literacy.

Korte training: voorbeeld inhoud

Gebruik een training van 20-45 minuten. Onderwerpen:

• Wat is AI en wat doet ChatGPT/Copilot. Kort en praktisch.

• Begrenzingen van output: hallucinations, verouderde feiten en gebrek aan bronvermelding.

• Privacyregels: wat mag niet in een prompt. Voorbeelden van vertrouwelijke data.

• Hoe controleer je output op fouten en bias.

• Melden van incidents en wie te contacteren.

Een eenvoudige quiz van 5 vragen aan het einde is voldoende om deelname te registreren.

Wat is overdreven voor een mkb

Niet nodig voor de meeste deployers:

• Een dure certificering of externe audit specifiek voor ai geletterdheid.

• Een individueel diploma- of certificaatniveau per medewerker dat geijkt moet worden.

• Volledige, dagelijkse logging van iedere prompt en output, tenzij je werkt met hoogrisico systemen.

• Complexe AI-kwalificatiekaders die alleen voor AI-leveranciers bedoeld zijn.

Deze ingrepen vergen veel kosten en bieden weinig extra bescherming in een omgeving waar je alleen SaaS-AI gebruikt.

Documentatie: waar je aan moet denken

Je moet kunnen aantonen welke maatregelen je hebt genomen. Dit is geen star format. Houd alles proportioneel.

Checklist: wat te bewaren

Deze tabel helpt je gerichte bewijsstukken te verzamelen. Het is voldoende voor een eerste compliance-check.

Praktische werkwijze in een team van gebruikers

1. Maak een 1-pagina gebruiksbeleid. Verspreid via e-mail.

2. Plan een 30 minuten online training en maak deelname verplicht.

3. Leg een eenvoudige inventaris aan. Koppel de verantwoordelijke.

4. Vraag gebruikers om verdachte outputs te melden in een gedeeld formulier.

5. Update beleid jaarlijks of na een incident.

Deze cyclus is licht en herhaalbaar. Het voldoet aan de bedoeling van artikel 4, namelijk het vergroten van begrip en het beperken van risico.

Wanneer moet je meer doen dan dit?

Schaal je gebruik naar gevoelige taken? Doe dan meer. Voorbeelden:

• AI gebruikt voor selectie of ontslagbeslissingen. Zie de algemene risicoprincipes in de AI Act | Shaping Europe’s digital future.

• AI verwerkt zeer gevoelige persoonsgegevens. Zie je contractuele en privacyverplichtingen.

• Je gebruikt generatieve AI voor publiek-facing content die niet duidelijk als AI gemarkeerd is. Let op aankomende transparantie-eisen. Zie Article 50: Transparency Obligations for Providers and Deployers of Certain AI Systems.

Als je in deze categorie valt, overleg met je juridisch adviseur of een gespecialiseerde consultant.

Voorbeelden en praktische uitwerking

Voorbeeld: selectiegesprek met AI-assistent. Maak een korte procedure. Beschrijf welke outputs mag leiden tot een menselijk beoordelingsmoment. Leg vast wie de uiteindelijke beslissing neemt.

Voorbeeld: klantenservice met gegenereerde antwoorden. Bepaal wanneer een mens moet controleren. Noteer criteria zoals gevoelige onderwerpen en klachten.

Voorbeeld: orderverwerking uit een PDF. Beschrijf welke controles medewerkers uitvoeren voordat een order definitief wordt gemaakt. Dit voorkomt foutieve leveringen.

Deze voorbeelden zijn hypothetisch. Gebruik ze om te kijken waar jouw organisatie risico loopt.

Meer voorbeelden van incidentregistratie

Een goed incidentlog is kort en praktisch. Velden die helpen:

• Datum en tijd. Kort en duidelijk.

• Gebruiker en team. Niet te veel gegevens.

• Tool en versie. Belangrijk bij updates.

• Korte omschrijving van de fout of het verdachte output.

• Impact op klant of proces. Houd dit zakelijk.

• Directe actie en follow-up. Wie doet wat en wanneer.

Regelmatige reviews van het incidentlog helpen patronen te zien. Gebruik die inzichten om de training bij te stellen.

Snelstart-taken voor de eerste maand

• Week 1: Stel een 1-pagina gebruiksbeleid op en benoem een verantwoordelijke. 1-2 uur werk voor een kleine organisatie.

• Week 2: Voer de eerste korte training uit. Verzamel deelnemerslijsten en quizresultaten.

• Week 3: Maak de AI-inventaris en publiceer die intern. Koppel toegangsniveaus.

• Week 4: Zet een simpel meldformulier op en communiceer de procedure.

Deze stappen geven je direct bewijs van actie. Ze zijn lichtgewicht en schaalbaar.

Wie controleert en handhaaft dit?

De Europese AI Office ondersteunt implementatie en kan onderzoeken uitvoeren. Zie de European AI Office | Shaping Europe’s digital future.

Lidstaten en nationale toezichthouders krijgen ook bevoegdheden om naleving te controleren. De implementatietijdlijn geeft belangrijke data voor inwerkingtreding en vervolgstappen. Zie de Implementation Timeline.

Wat kost het als het misgaat?

De AI Office en nationale autoriteiten kunnen maatregelen vragen en sancties toepassen bij ernstige overtredingen. Zie de rol en bevoegdheden van de European AI Office.

Financiële en reputatieschade kunnen optreden bij publiekelijk bekend gemaakte incidenten. Operationele kosten ontstaan bij herstelwerk en juridische trajecten.

Praktisch voorbeeld van gevolgen: een veelvuldig gedeelde fout in klantencommunicatie kan leiden tot veel klantvragen. Dat kost werktijd en leidt tot reputatieschade. Een datalek door onzorgvuldig promptgebruik leidt tot herstelwerk en mogelijk onderzoek door een toezichthouder.

Documentatie en snelle reactie verkleinen de kans op zwaardere maatregelen. Duidelijke registratie en follow-up tonen dat je hebt geleerd van het incident.

Voor een berekeningsaanpak en uitleg over boetes zie onze toelichting op boeteberekening: Eu AI Act boeteberekening.

Let op: dit is geen opsomming van boetebedragen. Vermijd aannames over specifieke boetes zonder juridisch advies.

Veelgestelde praktische vragen

Vraag: Moet ik iedereen technisch trainen? Antwoord: Niet per se. Richt je op medewerkers die AI gebruiken of besluiten nemen op basis van AI-output. Documenteer waarom sommige groepen een eenvoudige briefing volstaan.

Vraag: Moet ik prompts en outputs bewaren? Antwoord: Bewaar prompts en outputs alleen als dat relevant is voor risicoanalyse of incidentonderzoek. Voor standaard kantoorgebruik is een kort incidentlog vaak voldoende.

Vraag: Is een externe leverancier verantwoordelijk voor ai geletterdheid? Antwoord: De verordening maakt onderscheid tussen providers en deployers. Als deployer blijf je verantwoordelijk voor maatregelen bij het gebruik in jouw organisatie. Artikel 4 richt zich op beide groepen. Zie Article 4: AI literacy.

Vraag: Hoe lang moet ik logs bewaren? Antwoord: Er is geen vaste termijn in artikel 4. Bewaar logs zolang ze nuttig zijn voor leren en onderzoek. Stel een redelijke bewaartermijn vast in je beleid en noteer die beslissing.

Vraag: Moet ik training aantonen aan een toezichthouder? Antwoord: Je moet kunnen tonen welke maatregelen je hebt genomen en dat personeel is geïnformeerd. Handige bewijzen zijn deelnemerslijsten en quizresultaten.

Hulpbronnen en vervolgstappen

• Lees de officiële tekst en toelichting op Article 4: AI literacy.

• Check de inwerkingtreding en relevante data op de Implementation Timeline.

• Algemene uitleg over doel en risico-gebaseerde aanpak van de AI Act staat op de EU-pagina: AI Act | Shaping Europe’s digital future.

• Lees wat de Europese AI Office doet en welke bevoegdheden zij heeft op de European AI Office.

Interne leesstukken die helpen bij praktische uitvoering:

• Baseline inventaris in 30 minuten: AI-inventarisatie voor mkb

• Gids voor HR-managers over AI-verordening: [/blog/comply/ai-verordening-hr-managers-2026-gids]

• Wat Europese kmo's echt moeten doen bij artikel 4: [/blog/comply/eu-ai-act-article-4-what-european-smes-actually-need-to-do]

Conclusie

Artikel 4 verplicht je om maatregelen te nemen die de ai geletterdheid van je personeel vergroten. De wet eist geen certificaatniveau. Proportionele maatregelen zoals beleid, een korte training, een inventaris en eenvoudige registratie zijn vaak voldoende voor mkb die SaaS-AI gebruiken. Leg wat je doet vast. Dat toont zorgvuldigheid als er vragen komen.

Wil je weten hoe jouw bedrijf er precies voorstaat? Doe de gratis AI-verordening check: Doe de gratis AI-verordening check

Neem contact op met Khairos Comply voor een korte, praktische walkthrough als je hulp wilt bij de eerste stappen.