AI Act voor mkb en kmo: wat moet je nu regelen?

Dit artikel is praktische uitleg, geen juridisch advies. De regels zijn in 2026 nog aangepast, dus twijfel je over jouw situatie, vraag het dan na bij een jurist.

Wat is de AI Act?

De AI Act (officieel de AI-verordening) is een Europese wet die regelt hoe AI gebouwd en gebruikt mag worden. Hij geldt rechtstreeks in alle EU-landen, dus in Nederland en België dezelfde regels. Het idee is simpel: hoe groter het risico voor mensen, hoe strenger de regels. Een chatbot die vragen over openingstijden beantwoordt, valt in een heel andere categorie dan software die bepaalt wie een lening krijgt.

Geldt de AI Act ook voor mijn bedrijf?

Waarschijnlijk wel, maar minder zwaar dan je denkt. De wet maakt onderscheid tussen twee rollen:

De meeste kleine bedrijven zijn gebruiksverantwoordelijke. Laat je een eigen chatbot of AI-coach bouwen die onder jouw naam draait, dan kun je voor dat systeem ook als aanbieder gelden. Dat klinkt groot, maar voor een gewone chatbot betekent het vooral: zorg dat mensen weten dat ze met AI praten.

Welke risiconiveaus zijn er?

Het meeste wat mkb-bedrijven automatiseren valt in de onderste rij. Inkoopfacturen automatisch boeken of mail automatisch beantwoorden met een medewerker die verstuurt, levert onder de AI Act weinig extra werk op.

Wat is er uitgesteld en wat niet?

In 2026 heeft de EU de AI Act aangepast met de zogeheten Digital Omnibus, die sinds eind juli 2026 geldt. Daardoor lees je online veel tegenstrijdige informatie. Dit is de stand nu:

Kort gezegd: de deadline van augustus 2026 is alleen voor hoog risico verschoven. Transparantie en AI-geletterdheid gelden gewoon.

Wat betekent AI-geletterdheid voor mijn team?

Iedereen die in jouw bedrijf met AI werkt, moet genoeg weten om er verstandig mee om te gaan. Sinds de aanpassing van 2026 hoef je geen bepaald kennisniveau te garanderen, maar je moet wel aantoonbaar maatregelen nemen. Een dure cursus is niet verplicht. Voor een klein bedrijf is dit meestal genoeg:

1. Maak een lijstjevan de AI-tools die je gebruikt en waarvoor.
2. Spreek af wat wel en niet magBijvoorbeeld: geen klantgegevens in een gratis chatbot plakken.
3. Leg uit hoe het werktEen korte uitleg per tool: wat doet het, waar kan het fout gaan, wie controleert?
4. Schrijf het opEen A4'tje met wie wat heeft geleerd en wanneer, zodat je het kunt laten zien.

Is AI-training dan verplicht? Niet in de vorm van een cursus met certificaat. Wel moet je kunnen laten zien dat je mensen weten wat ze doen. Wie het grondiger wil aanpakken, kan dat stap voor stap leren bij De AI Academie.

Moet ik melden dat mijn chatbot AI is?

Ja. Praten mensen met een AI-systeem, dan moeten ze dat weten, tenzij het voor iedereen al overduidelijk is. Dat geldt voor een chatbot op je website, maar ook voor een bot die je Instagram-berichten automatisch beantwoordt. Juist een bot die in jouw eigen toon schrijft, kan voor een mens doorgaan. Daarom hoort er een melding bij.

Dat hoeft niet ongemakkelijk te zijn. Eén zin in het eerste bericht is genoeg, bijvoorbeeld: "Je chat nu met de AI-bot van [bedrijf]. Wil je liever een mens spreken? Laat het weten, dan neemt [naam] het over." Zo weet de klant waar die aan toe is, en hoe die bij een mens komt.

Bij de AI-coach van Zacht in je Kracht weten cliënten vooraf dat ze met een AI-coach werken. Die is gebouwd op Sannes eigen methode en draait in een afgeschermde omgeving met inlog. Meer over het verschil tussen een AI-coach en een AI-kloon lees je in AI-coach of AI-kloon.

Moet ik AI-content op social media labelen?

Dat hangt af van wat het is:

• Deepfakes, dus beeld, video of geluid dat echte mensen, plekken of gebeurtenissen nabootst en echt lijkt (een nagemaakte stem, een foto van iemand in een situatie die nooit gebeurde): ja, vermelden dat het met AI is gemaakt.
• Teksten voor je eigen posts en nieuwsbrieven: de AI Act verplicht geen label, zolang er geen nieuws of informatie over zaken van algemeen belang is die zonder menselijke controle wordt gepubliceerd. Wie social media-content automatiseert en zelf controleert wat er online gaat, hoeft dus geen label te plakken op elke caption.
• Instagram en Facebook hebben daarnaast hun eigen regels voor AI-labels. Die staan los van de wet.

Hoe zit het met AI in recruitment?

AI die sollicitanten selecteert, rangschikt of beoordeelt, valt onder hoog risico. De strenge regels daarvoor gelden vanaf 2 december 2027. Gebruik je nu al AI om kandidaten en vacatures te matchen, dan is het slim om nu al te werken zoals de wet straks vraagt:

• Een mens beslist. Bij CrossJob stelt de AI de beste drie kandidaten voor, maar een recruiter beoordeelt en verstuurt zelf.
• Elke score heeft een onderbouwing. Dan kun je controleren waarom iemand bovenaan staat.
• Alleen het nodige gaat naar de AI. Bij CrossJob is dat alleen de werkervaring, niet het hele cv.

Wat is het verschil tussen de AI Act en de AVG?

De AVG gaat over persoonsgegevens: welke gegevens je verwerkt, waar ze staan en wie erbij kan. De AI Act gaat over het AI-systeem zelf: hoe riskant het is en wat mensen moeten weten. Gebruik je AI met klant- of personeelsgegevens, dan gelden ze allebei. Hoe je de privacykant regelt, lees je in Is AI-automatisering AVG-proof?

Welke boetes staan er op de AI Act?

Voor mkb- en kmo-bedrijven geldt het laagste van de twee bedragen. Die maxima zijn bedoeld voor grote overtreders. Voor een klein bedrijf is het grootste risico niet de boete, maar een klant die zich bedrogen voelt omdat hij dacht met een mens te praten.

Wie houdt toezicht? In Nederland bereiden de Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur het toezicht voor. In België coördineert de FOD Economie de invoering. Een Belgische toezichthouder was op het moment van schrijven nog niet officieel aangewezen; het BIPT wordt daarvoor het vaakst genoemd.

Wat moet ik nu doen? Een checklist in vijf stappen

1. InventariseerWelke AI-tools en automatiseringen gebruik je, en wie gebruikt ze?
2. Bepaal het risiconiveauValt iets onder verboden of hoog risico? Voor de meeste mkb-toepassingen is het antwoord nee.
3. Regel de meldingenLaat elke chatbot en DM-bot in het eerste bericht zeggen dat het AI is, en hoe je een mens bereikt. Label deepfakes: beeld, video of geluid dat echte mensen of gebeurtenissen nabootst.
4. Regel AI-geletterdheidAfspraken, een korte uitleg per tool en een A4'tje als bewijs.
5. Houd een mens verantwoordelijkBij besluiten over mensen beslist een mens. Dat is goed voor de kwaliteit en vaak de reden dat iets niet onder hoog risico valt.

Laat je een automatisering bouwen, dan hoort dit er gewoon bij. Bij Almetaal zet de AI conceptantwoorden klaar en verstuurt een medewerker zelf. Wat een project kost, lees je in Wat kost AI-automatisering voor een mkb-bedrijf? Weet je nog niet waar je moet beginnen? Lees Welke processen automatiseer je het eerst? of doe de gratis automatiseringsscan.

Veelgestelde vragen

Geldt de AI Act ook als ik alleen ChatGPT gebruik?

Ja, maar beperkt. Je bent dan gebruiksverantwoordelijke. De belangrijkste plicht is AI-geletterdheid: zorg dat je mensen weten wat ze wel en niet met ChatGPT doen, bijvoorbeeld geen klantgegevens in een gratis account.

Is de AI Act uitgesteld?

Gedeeltelijk. De regels voor hoog-risico-AI zijn uitgesteld naar 2 december 2027 (en 2 augustus 2028 voor AI in producten). De verboden, AI-geletterdheid en de transparantieplicht voor chatbots en deepfakes zijn niet uitgesteld.

Moet ik mijn medewerkers een AI-training laten volgen?

Een cursus met certificaat is niet verplicht. Je moet wel maatregelen nemen zodat medewerkers voldoende weten van de AI die ze gebruiken, en dat kunnen laten zien. Afspraken, uitleg per tool en een korte vastlegging zijn voor een klein bedrijf vaak genoeg.

Moet ik melden dat mijn Instagram-bot AI is?

Ja. Sinds 2 augustus 2026 moeten mensen weten dat ze met een AI-systeem praten, tenzij dat overduidelijk is. Een korte zin in het eerste bericht volstaat, liefst met de mogelijkheid om een mens te spreken.

Gelden in België andere regels dan in Nederland?

Nee, de AI Act is een Europese verordening en geldt in beide landen hetzelfde. Wel verschilt wie toezicht houdt. In België was op het moment van schrijven nog geen toezichthouder officieel aangewezen.

Wat is het verschil tussen de AI Act en de AVG?

De AVG beschermt persoonsgegevens, de AI Act regelt de risico's van AI-systemen. Werk je met AI en persoonsgegevens, dan gelden beide.

Jurgen Claassens bouwt AI-automatiseringen voor ondernemers en mkb. Vijftien jaar operations bij Vattenfall, daarna mede-eigenaar van sales- en marketingbureaus. Bekijk zijn projecten.