AI strategie en governance onder de EU AI Act: praktische gids voor 2026

Verantwoord AI inzetten betekent niet "geen AI". Het betekent een strategie en governance hebben die voorkomen dat je later moet terugbouwen, beboet wordt of het vertrouwen van klanten verliest. Dit is hoe je dat als MKB of scale-up pragmatisch aanpakt.

Waarom je een AI-strategie nodig hebt (en niet alleen tools)

Zonder strategie ontstaat "shadow AI": medewerkers plakken klantdata in publieke chatbots, teams kopen los abonnementen, niemand weet welke modellen welke beslissingen nemen. Dat is een AVG-risico, een security-risico én een kostenrisico.

Een AI-strategie beantwoordt drie vragen:

1. Waar gaat AI ons écht geld of tijd opleveren? (Use-case prioritering)

2. Welke regels en risico's gelden voor onze sector? (Governance)

3. Wie is eigenaar, van beleid, van data, van modellen? (Verantwoordelijkheid)

De EU AI Act in 5 minuten

De EU AI Act is sinds 1 augustus 2024 van kracht, geldt in het algemeen vanaf 2 augustus 2026 en wordt gefaseerd ingevoerd tot 2028. De Digital Omnibus on AI (Verordening (EU) 2026/1744, in werking sinds 27 juli 2026) heeft een aantal data en regels aangepast. Kernpunten voor MKB:

• Risk-based: verplichtingen hangen af van het risico van het AI-systeem, niet van de techniek.

• AI-geletterdheid (artikel 4, sinds februari 2025): iedere organisatie die AI inzet, ook alleen ChatGPT of Copilot, neemt maatregelen om de ontwikkeling van AI-geletterdheid van haar personeel te ondersteunen. Een bepaald niveau per persoon hoef je niet te waarborgen. Leg vast wat je doet.

• Verboden (sinds februari 2025): onder meer social scoring, manipulatieve AI, ongericht scrapen van gezichtsbeelden en emotieherkenning op de werkvloer. Vanaf 2 december 2026 komen daar twee verboden bij: AI die zonder toestemming seksuele deepfakes maakt en AI die kindermisbruikmateriaal genereert.

• Hoog risico (vanaf 2 december 2027 voor bijlage III, 2 augustus 2028 voor producten onder bijlage I): AI in HR-selectie, krediet-scoring, kritieke infrastructuur. Aanbieders moeten onder meer risicobeheer en documentatie regelen; gebruikers zorgen voor menselijk toezicht, logging en gebruik volgens de instructies.

• Beperkt risico (chatbots, deepfakes, vanaf 2 augustus 2026): transparantieplicht, vertel gebruikers dat ze met AI praten.

• Minimaal risico (spamfilters, productaanbevelingen): geen specifieke verplichtingen.

• GPAI-modellen (zoals GPT-4, Claude): leveranciers hebben verplichtingen; jij als gebruiker moet weten welk model je inzet en waarvoor.

Naast de AI Act blijft de AVG/GDPR onverkort gelden, zie onze aparte gids over AI en GDPR-compliance.

Risico-categorieën en wat het voor jou betekent

Voor de meeste MKB-toepassingen (e-mailtriage, offertes opstellen, kennisbank-zoek) val je in "beperkt" of "minimaal". Maar zodra AI mee-beslist over mensen, sollicitanten, leningen, verzekeringen, schiet je naar "hoog risico".

Governance: wie beslist over AI binnen je bedrijf?

Houd het simpel. Drie rollen volstaan voor de meeste bedrijven onder 500 medewerkers:

• AI-eigenaar (directie/MT): tekent beleid, draagt eindverantwoordelijkheid.

• AI-coördinator: beheert de lijst van toegestane tools en use-cases, beoordeelt nieuwe verzoeken.

• Data Protection Officer (DPO) of privacy-lead: toetst AVG- en AI Act-impact bij elke nieuwe use-case.

Leg vast in een eenvoudige AI-register: per use-case wie de eigenaar is, welk model wordt gebruikt, welke data, welke risico-categorie, en wanneer de laatste review was.

Team-modellen: intern team of extern bureau

Voor de meeste Nederlandse MKB-bedrijven werkt het hybride model: één interne eigenaar, een extern bureau voor strategie en bouw. Zie wat is een ai consultant.

Beleid en richtlijnen die je moet hebben

Minimaal pakket voor 2026:

1. AI-gebruiksbeleid voor medewerkers, wat mag wel/niet in publieke tools, hoe ga je om met klantdata.

2. Tool-whitelist: welke AI-tools zijn goedgekeurd, met welke data-verwerkersovereenkomst (DPA).

3. Use-case intake-proces: korte vragenlijst die elke nieuwe AI-toepassing langs governance loodst.

4. Incident-procedure: wat te doen bij een hallucinatie met klantimpact, datalek of model-uitval.

5. Trainings- en bewustwordingsplan voor AI-geletterdheid (artikel 4), met vastgelegd wie wat heeft gevolgd.

Praktisch stappenplan voor MKB

Week 1–2: Inventariseer huidige AI-tools en use-cases (officieel én "shadow"). Week 3: Stel AI-eigenaar en coördinator aan. Publiceer een eerste AI-gebruiksbeleid (één A4). Week 4–5: Risico-classificatie per use-case volgens de AI Act. Week 6–8: Sluit DPA's met je AI-leveranciers, zet AI-register op, train het team. Daarna: kwartaalreview, nieuwe use-cases via intake-proces.

Aan de slag

Khairos helpt Nederlandse MKB-bedrijven AI-strategie en governance in te richten zonder bureaucratie. Pragmatisch, afgestemd op de AI Act, gericht op snelheid van uitvoering.

Plan een vrijblijvende kennismaking.