Door Laas NuryBijna geen enkel bedrijf bouwt zelf een AI-model. Wel gebruikt bijna iedereen er een: een chatbot op de website, Copilot in Outlook, software die facturen uitleest, een planningssysteem met een voorspelling erin. De AI Act (officieel: de AI-verordening) noemt die rol gebruiksverantwoordelijke. En voor die rol is de lijst met plichten een stuk korter dan voor bedrijven die AI bouwen.
Die kortere lijst zetten we hier op een rij. Wat geldt nu al, wat veranderde er toen de EU de verordening in juli 2026 aanpaste, en wat moet je vóór december 2027 geregeld hebben? Bedoeld voor wie in een bedrijf de vraag "voldoen we eigenlijk?" moet kunnen beantwoorden. Juristen hebben hun eigen bronnen.
In het kort
Gebruikt je bedrijf AI-tools, zonder ze zelf te bouwen of te verkopen? Dan zijn er vier dingen die tellen:
- Een paar toepassingen zijn verboden, al sinds februari 2025. De meeste bedrijven komen daar nooit in de buurt, maar één verbod verrast regelmatig: emotieherkenning op de werkvloer.
- AI-geletterdheid is nu al een plicht. Je zorgt dat je mensen begrijpen met welke AI ze werken.
- Transparantieplichten gelden sinds 2 augustus 2026. Die raken je als je door AI gemaakte beelden, video, audio of bepaalde teksten publiceert, of als je zelf de chatbot bouwde waar je klanten mee praten.
- Hoog-risicotoepassingen, zoals werving, kredietbeoordeling en premies voor levens- en zorgverzekeringen, brengen stevige verplichtingen mee. Die gelden nu vanaf 2 december 2027.
Het grootste deel van de 113 artikelen is geschreven voor de bedrijven die AI maken en verkopen.
Aanbieder of gebruiksverantwoordelijke?
De AI Act verdeelt de plichten per rol. Voor de meeste bedrijven zijn er twee van belang:
- Aanbieder (provider): het bedrijf dat een AI-systeem ontwikkelt en onder eigen naam op de markt brengt of in gebruik neemt. Denk aan OpenAI, Microsoft of de leverancier van je factuursoftware.
- Gebruiksverantwoordelijke (deployer): het bedrijf dat een AI-systeem onder eigen verantwoordelijkheid inzet in het eigen werk. Dat ben jij, zodra je team met Copilot werkt of je planners een voorspellingstool gebruiken.
In twee situaties word je als gebruiker toch aanbieder, en ze komen allebei vaak voor:
- Je bouwt zelf iets. Zet je team een klantenchatbot in elkaar op basis van een taalmodel en gaat die onder jouw bedrijfsnaam live? Dan ben jij de aanbieder, ook al is het model van een ander.
- Je gebruikt een tool voor iets anders dan waarvoor hij bedoeld is. Rangschik je sollicitanten met een algemene chatbot, dan ziet artikel 25 jou als aanbieder van een hoog-risicosysteem. De tool is niet veranderd. Het gebruik wel.
Vooral dat tweede punt is belangrijk. Zo belandt een gewoon bedrijf het vaakst ongemerkt in het zware deel van de wet.
Wat al geldt: de verboden en AI-geletterdheid
Verboden toepassingen (sinds 2 februari 2025)
Artikel 5 verbiedt een beperkt aantal toepassingen. De meeste staan ver af van het gewone bedrijfsleven: sociale scores door overheden, voorspellend politiewerk over personen, live gezichtsherkenning in de openbare ruimte door opsporingsdiensten. Deze kun je als bedrijf wel tegenkomen:
- Emotieherkenning op de werkplek of in het onderwijs, tenzij om medische of veiligheidsredenen. Software die uit stem of gezicht afleidt hoe je klantenservicemedewerkers zich voelen, mag niet.
- Manipulatie die mensen aanzet tot beslissingen die ze anders niet zouden nemen en die hen schaden, en misbruik van kwetsbaarheden zoals leeftijd, een beperking of een financieel lastige situatie.
- Gezichtsfoto's verzamelen van internet of camerabeelden om een database voor gezichtsherkenning te vullen.
- Biometrische categorisering die gevoelige kenmerken afleidt, zoals etniciteit, politieke voorkeur of seksuele geaardheid.
Met de wijziging van juli 2026 komen daar vanaf 2 december 2026 twee verboden bij: AI-systemen die zonder toestemming intieme beelden maken, en door AI gemaakt materiaal van seksueel misbruik van kinderen.
AI-geletterdheid (sinds 2 februari 2025, in juli 2026 afgezwakt)
Artikel 4 verplichtte aanbieders en gebruiksverantwoordelijken eerst om een toereikend niveau van AI-geletterdheid bij hun personeel te waarborgen. Sinds de wijziging moeten ze maatregelen nemen die AI-geletterdheid bevorderen. Een inspanningsverplichting dus, geen resultaatsverplichting. Maar hij geldt nog steeds voor elk bedrijf dat AI gebruikt, en je moet kunnen laten zien wat je gedaan hebt.
Het advies van de Autoriteit Persoonsgegevens is nuchter: weet welke AI-systemen je mensen gebruiken, bepaal per groep wat ze moeten weten en plan hoe je die kennis opbouwt. Een certificaat per medewerker is uitdrukkelijk niet de enige manier om te voldoen. In een apart artikel over AI-geletterdheid werken we dit stap voor stap uit.
Sinds 2 augustus 2026: transparantie
Artikel 50 is niet uitgesteld. De plichten draaien om één ding: mensen moeten weten wanneer ze met AI te maken hebben. Voor bedrijven zijn er drie van belang:
| Situatie | Bij wie ligt de plicht? | Wat je doet |
|---|---|---|
| Klanten chatten met een AI-systeem, zoals een supportbot of verkoopassistent | Bij de aanbieder: wie het bouwde en live zette. Bouwde je eigen team het, dan bij jou. | Maak duidelijk dat iemand met AI praat, tenzij dat uit de situatie al blijkt. |
| Je publiceert door AI gemaakte of bewerkte beelden, video of audio die echt lijken (een deepfake) | Bij de gebruiksverantwoordelijke: jij, als degene die publiceert | Vermeld dat het om door AI gemaakte of bewerkte content gaat. Voor duidelijk artistiek of satirisch werk gelden lichtere regels. |
| Je publiceert door AI geschreven tekst om het publiek te informeren over zaken van algemeen belang | Bij de gebruiksverantwoordelijke | Vermeld het, tenzij een mens de tekst heeft gecontroleerd en je bedrijf er redactioneel verantwoordelijk voor is. |
Daarnaast moeten aanbieders van generatieve AI hun output machineleesbaar markeren. Systemen die vóór 2 augustus 2026 al op de markt waren, krijgen daarvoor tot 2 december 2026. Die plicht ligt bij de leveranciers, niet bij jou. Het is wel een goede vraag om ze te stellen.
Wat verschoof: de hoog-risicoverplichtingen
De grootste verandering in Verordening (EU) 2026/1744, van kracht sinds 27 juli 2026, is de planning:
- Hoog-risicotoepassingen uit bijlage III (zie de tabel): vanaf 2 december 2027, in plaats van 2 augustus 2026.
- AI als veiligheidscomponent van producten die al onder Europese productregels vallen, zoals machines of medische hulpmiddelen: vanaf 2 augustus 2028, in plaats van 2 augustus 2027.
Uitstel, geen afstel: de verplichtingen zelf bleven gelijk. Van de gebieden in bijlage III kan een gewoon bedrijf deze tegenkomen:
| Gebied | Voorbeelden van hoog-risicogebruik |
|---|---|
| Werk en personeel | Cv's selecteren of rangschikken, vacatures gericht tonen, beslissen over promotie of ontslag, taken verdelen op basis van gedrag of persoonlijke kenmerken, prestaties volgen en beoordelen |
| Krediet | Kredietwaardigheid van personen beoordelen of hun kredietscore bepalen |
| Verzekeringen | Risico's inschatten en premies bepalen voor levens- en ziektekostenverzekeringen van personen |
| Essentiële diensten | Beslissen over toegang tot uitkeringen en essentiële private diensten |
| Kritieke infrastructuur | Veiligheidscomponenten in het beheer van water, gas, warmte, elektriciteit of wegverkeer |
| Onderwijs | Toelating, beoordeling en toezicht tijdens toetsen |
AI die leveringen plant, facturen verwerkt, de vraag voorspelt of offertes opstelt, staat niet op deze lijst. Voor het meeste operationele werk speelt het hoog-risicoregime dus gewoon niet.
Gebruik je wel hoog-risico-AI?
Vanaf 2 december 2027 moet een bedrijf dat een hoog-risicosysteem gebruikt, maar niet zelf bouwde, volgens artikel 26:
- Het systeem gebruiken volgens de gebruiksaanwijzing van de aanbieder.
- Menselijk toezicht beleggen bij mensen met de kennis, training en bevoegdheid om dat te doen.
- Zorgen dat de invoergegevens die het zelf beheert relevant en representatief zijn.
- Het systeem in gebruik volgen en ernstige incidenten melden aan de aanbieder en de toezichthouder.
- De logs van het systeem minstens zes maanden bewaren.
- Medewerkers en de ondernemingsraad informeren voordat een hoog-risicosysteem op het werk in gebruik gaat.
- Mensen laten weten wanneer een hoog-risicosysteem meebeslist over hen.
Overheidsorganisaties en bedrijven die kredietscores bepalen of premies voor levens- en ziektekostenverzekeringen vaststellen, doen vóór het eerste gebruik bovendien een grondrechteneffectbeoordeling (artikel 27).
Veertien maanden lijkt ruim. Maar de eerste stap, uitzoeken of je überhaupt een hoog-risicotoepassing hebt, kost een middag. Wat daarna komt, hangt af van het antwoord.
Boetes
| Overtreding | Maximale boete |
|---|---|
| Een verboden toepassing gebruiken | EUR 35 miljoen of 7% van de wereldwijde jaaromzet, als dat hoger is |
| De meeste andere verplichtingen overtreden, ook die van gebruiksverantwoordelijken | EUR 15 miljoen of 3% van de omzet |
| Onjuiste of misleidende informatie geven aan toezichthouders | EUR 7,5 miljoen of 1% van de omzet |
Voor het mkb geldt het laagste van de twee bedragen. Sinds juli 2026 geldt die verlichting ook voor kleinere midcap-bedrijven. Toezichthouders moeten bovendien rekening houden met de omvang van het bedrijf en de mate waarin het meewerkte.
Toezicht in Nederland
In april 2026 bracht het kabinet de uitvoeringswet in consultatie; die liep tot 1 juni 2026. Het model is hybride. Bestaande toezichthouders houden hun eigen terrein: de AFM en DNB voor financiële instellingen, producttoezichthouders voor producten. De Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur krijgen de centrale rol, waarbij de AP toezicht houdt waar geen sectortoezichthouder is. Samen richten ze ook een regulatory sandbox in, waar bedrijven AI kunnen testen onder begeleiding van de toezichthouder.
Werk je vanuit België of met Britse klanten? De verordening geldt in de hele EU op dezelfde manier. En ze kijkt naar de output, niet naar het kantooradres: een Brits bedrijf waarvan de AI-output in de EU wordt gebruikt, valt er ook onder.
Zes stappen voor dit kwartaal
Wil je de vraag "voldoen we?" met een gerust hart kunnen beantwoorden, dan is dit een praktische volgorde:
- Breng in kaart welke AI je gebruikt. Losse tools, AI-functies in bestaande software (je ERP, CRM en HR-systeem hebben er vast een paar) en alles wat je team zelf bouwde. Eén spreadsheet volstaat: tool, eigenaar, waarvoor, welke gegevens erin gaan.
- Geef elke regel een label: verboden (hoort leeg te blijven), hoog risico (bijlage III), transparantieplicht (artikel 50) of gewoon gebruik.
- Regel AI-geletterdheid voor de mensen die met elke tool werken. Kort, specifiek en vastgelegd.
- Check de transparantieplichten bij alles wat klanten zien: je chatbot, AI-beelden in je marketing, gepubliceerde teksten.
- Stel je leveranciers twee vragen: welke functies gebruiken AI, en hoe voldoen jullie aan je plichten als aanbieder? Zet de antwoorden in dezelfde spreadsheet.
- Maak één persoon eigenaar van de lijst. Die houdt hem actueel en zorgt dat een nieuwe AI-toepassing erop staat voordat die live gaat.
Een consultant heb je hiervoor niet nodig. Vind je bij stap 2 een hoog-risicotoepassing, of wil je AI in je eigen organisatie bouwen en dat vanaf het begin goed regelen onder de AI Act, dan helpen wij graag.
