Via de zogeheten Digital Omnibus — waar het Europees Parlement in juni 2026 mee instemde en de Raad op 29 juni 2026 definitief groen licht voor gaf — schuiven zelfstandige hoog-risico systemen uit bijlage III op naar 2 december 2027, en AI die is ingebouwd in gereguleerde producten uit bijlage I naar 2 augustus 2028.
Veel ondernemers lazen alleen de kop "AI ActEuropese wet die eisen stelt aan wie AI ontwikkelt of gebruikt. Bepaalt in welke risicoklasse je toepassing valt en wat je daarvoor moet vastleggen. uitgesteld" en concludeerden dat ze niets hoeven te doen. Dat klopt niet. Hieronder wat er wél geldt voor een organisatie van 3 tot 250 medewerkers, en wat je deze maand kunt regelen.
De tijdlijn in één overzicht
| Wanneer | Wat |
|---|---|
| 2 februari 2025 | Verbod op bepaalde AI-praktijken. Verplichting tot AI-geletterdheid (artikel 4) |
| 2 augustus 2025 | Regels voor general-purpose AI-modellen |
| 2 augustus 2026 | Transparantieplichten (artikel 50). Handhaving en boetebevoegdheid |
| 2 december 2026 | Overgangstermijn voor machineleesbare markering van systemen die al vóór augustus 2026 op de markt waren |
| 2 december 2027 | Hoog-risico AI, bijlage III (o.a. werving, kredietscoring, biometrie) |
| 2 augustus 2028 | Hoog-risico AI ingebouwd in gereguleerde producten, bijlage I |
Geldt dit ook voor mijn bedrijf?
Ja, als je AI gebruikt. De AI Act geldt niet alleen voor techbedrijven die AI bouwen. Ook bedrijven die AI inkopen, aanbieden of gebruiken in hun processen vallen eronder. Gebruik je ChatGPT voor klantcommunicatie, Copilot voor samenvattingen, of een AI-tool in je werving? Dan ben je gebruiker in de zin van de wet.
Het onderscheid dat telt is dat tussen aanbieder (je ontwikkelt of brengt een AI-systeem op de markt) en gebruiker (je zet het in). Als mkb-bedrijf ben je bijna altijd gebruiker — met beduidend lichtere verplichtingen, maar niet met nul.
Zoals het nu gaat
- De afspraak staat in de mailbox van één collega
- Gegevens worden overgetypt van het ene systeem naar het andere
- Wie het weet is met vakantie
- Niemand kan achteraf zien waarom het zo besloten is
Zoals het wordt
- De afspraak staat bij de klant, vindbaar voor iedereen
- Wat één keer is ingevoerd stroomt door naar de rest
- Het werk loopt door, ook als iemand er niet is
- Elk besluit heeft een bron, een eigenaar en een datum
Wat je deze maand kunt regelen
AI-geletterdheid aantoonbaar maken
Deze verplichting geldt al sinds februari 2025, maar is sinds augustus 2026 handhaafbaar. De wet vraagt dat medewerkers die met AI werken voldoende begrip hebben van wat het systeem doet, waar het misgaat en wanneer je een mens nodig hebt.
Praktisch voor een bedrijf van twintig man: een halve dag training, een deelnemerslijst, een korte samenvatting van wat behandeld is. Dat is het. Bewaar het bewijs.
Een AI-register aanleggen
Eén tabblad in een spreadsheet volstaat. Per AI-systeem: welke tool, wie is leverancier, waarvoor gebruiken we het, welke gegevens gaan erin, wie is intern verantwoordelijk, is er menselijk toezicht.
Je zult verrast zijn hoeveel erop komt te staan. Meestal veel meer dan de directie denkt.
Je chatbot en AI-content controleren
Heb je een chatbot op je site? Dan moet zichtbaar zijn dat het AI is — niet weggestopt in de kleine lettertjes. Publiceer je AI-gegenereerde afbeeldingen of video's? Dan geldt de markeringsplicht. Voor systemen die al vóór augustus 2026 draaiden, is er een overgangstermijn tot 2 december 2026.
Afspraken op één A4
Wat mag wel en niet in een AI-tool: klantgegevens, offertes, personeelsdossiers, broncode. Wie beslist over nieuwe tools. Wat je doet als AI een fout maakt richting een klant. Eén pagina, ondertekend, in het personeelshandboek.
Je leveranciers bevragen
Vraag bij elke AI-tool die je afneemt: waar draait het model, wat gebeurt er met onze invoer, wordt er getraind op onze data, is er een verwerkersovereenkomst, en welke AI Act-rol claimt de leverancier?
De praktijktest: vraag drie collega's welke AI-tools zij deze week hebben gebruikt voor werk. Staat er iets bij dat jij niet kende, dan heb je geen compliancyprobleem maar een overzichtsprobleem — en dat is het probleem dat je eerst oplost.
Waarom je niet moet wachten op 2027
Ten eerste: het uitstel raakt alleen de hoog-risico regels. Gebruik je AI bij werving of kredietbeoordeling, dan heb je meer tijd — maar de verplichtingen zelf zijn niet veranderd, alleen de datum.
Ten tweede: een risicoclassificatie, een register en gedegen documentatie kosten maanden, geen weken. Wie in november 2027 begint, is te laat.
Ten derde, en dat is de praktische reden: de rommel die je nu opruimt is dezelfde rommel die je AI-gebruik vandaag al onbetrouwbaar maakt. Niemand weet welke tools er draaien, niemand weet wat erin gaat, en niemand controleert wat eruit komt. Dat is geen compliancyprobleem, dat is een bedrijfsvoeringsprobleem dat toevallig ook een compliancyprobleem is.
Wat riskeer je werkelijk?
De boetes op het schenden van de transparantieverplichtingen lopen op tot vijftien miljoen euro of drie procent van de wereldwijde jaaromzet. Dat is een plafond dat op grote spelers is gericht; een mkb-bedrijf loopt daar in de praktijk niet tegenaan.
Het reële risico voor een bedrijf van jouw omvang zit elders: een klant of opdrachtgever die in zijn inkoopvoorwaarden om AI-beleid vraagt, een verzekeraar die ernaar informeert, een overnamekandidaat die het in due diligenceHet onderzoek voorafgaand aan een overname: wat koop je precies, en waar zitten de risico’s. opvraagt. Dan wil je een document kunnen laten zien in plaats van een verhaal.
Wil je weten waar jouw organisatie staat op data en AI, inclusief de deadlines die voor jou gelden? Dat brengt de Frisse blik in kaart.
Veelgestelde vragen
Gedeeltelijk. De hoog-risico verplichtingen schuiven naar 2 december 2027 (bijlage III) en 2 augustus 2028 (bijlage I). De verboden praktijken, de AI-geletterdheidsplicht, de regels voor general-purpose AI en de transparantieplichten gelden onverkort.
Ja. De wet geldt niet alleen voor bedrijven die AI ontwikkelen, maar ook voor bedrijven die AI inkopen, aanbieden of gebruiken in hun processen. Als mkb-bedrijf ben je bijna altijd gebruiker, met lichtere verplichtingen dan een aanbieder.
De formele registratieplicht in de EU-database geldt voor hoog-risico systemen. Een eigen intern overzicht van welke AI-tools er draaien is voor elk bedrijf verstandig en is de goedkoopste voorbereiding die er is.
Je bent dan gebruiker van een AI-systeem. De zwaarste verplichtingen gelden niet, maar de AI-geletterdheidsplicht en de transparantieplichten wel — en de AVGDe privacywet: welke persoonsgegevens je mag verwerken, waarvoor, en hoe lang je ze bewaart. gold al.
De AVG gaat over persoonsgegevens, de AI Act over het systeem en het risico ervan. Ze overlappen maar vervangen elkaar niet: je kunt AVG-conform zijn en toch de AI Act schenden.
Waar staat jouw bedrijf op AI?
De Frisse blik brengt je volwassenheid, je businesscase in euro's en de deadlines die voor jóu gelden in kaart.
Van weten naar doen
Dit artikel helpt je oriënteren. Bekijk daarna de concrete aanpak voor due diligence bedrijfskennis.