Dossier · Regelgeving voor het MKB
AVG & AI voor ondernemers
AI-tools beloven tijdwinst, maar zodra er klantgegevens in gaan, gelden de AVG én de EU AI Act. Dit dossier houdt op één plek bij wat je als ondernemer mag, wat je moet regelen en wanneer — zonder juridisch jargon, met praktische stappen.
In het kort
Je mag AI in je bedrijf gebruiken, ook met klantdata — maar alleen met een geldige AVG-grondslag en een verwerkersovereenkomst met de leverancier, en je moet weten of je invoer voor modeltraining wordt gebruikt. Daarnaast geldt de EU AI Act, ook voor het MKB: je ondersteunt de AI-geletterdheid van je medewerkers, en sinds 2 augustus 2026 moet een chatbot laten weten dat klanten met AI praten. Twijfel je over persoonsgegevens? Anonimiseer waar het kan en kies een zakelijke versie met dataverwerkingsafspraken.
Wat geldt wanneer
- 2 feb 2025
AI-geletterdheid (EU AI Act art. 4)
Wie AI gebruikt of aanbiedt in de EU moet werk maken van de AI-kennis van medewerkers die ermee werken, ook in het MKB. Sinds de AI Omnibus (27 juli 2026) vraagt de wet maatregelen die AI-geletterdheid "ondersteunen" in plaats van een gegarandeerd niveau. Een verplichte cursus of certificaat is er niet.
- doorlopend
AVG: grondslag vóór je persoonsgegevens verwerkt
Klantdata in een AI-tool stoppen is "verwerken". Dat mag alleen met een geldige grondslag, een verwerkersovereenkomst met de leverancier en duidelijkheid of je data voor training wordt gebruikt.
- 15 jul 2026
Europese richtsnoeren over webscraping
De Europese privacytoezichthouders (EDPB) publiceerden richtsnoeren over het scrapen van gegevens voor generatieve AI; de consultatie loopt tot 30 oktober 2026. Relevant als je AI-tools websites laat uitlezen voor marktonderzoek.
- 27 jul 2026
AI Omnibus in werking
Verordening (EU) 2026/1744 past de AI Act aan: de hoog-risico-eisen schuiven op, de plicht rond AI-geletterdheid is afgezwakt en AI die zonder toestemming seksueel expliciete beelden van echte personen maakt, is verboden.
- 2 aug 2026
Transparantieplichten (EU AI Act art. 50)
Een chatbot moet laten weten dat de klant met AI praat, en makers van generatieve AI moeten hun output als AI-gemaakt markeren. Raakt iedere ondernemer die AI naar klanten toe inzet.
- 21 aug 2026
AP-boete: software mag niet alleen beslissen
De Autoriteit Persoonsgegevens beboette Uber met bijna 825 miljoen euro voor automatische blokkades van chauffeurs zonder betekenisvolle menselijke check (artikel 22 AVG). Die regel kent geen ondergrens: ook een MKB-bedrijf dat software over mensen laat beslissen, valt eronder.
- 2 dec 2026
Markering voor bestaande generatieve AI
Generatieve AI-systemen die al vóór 2 augustus 2026 op de markt waren, moeten hun output vanaf deze datum als AI-gemaakt markeren. Vooral een taak voor aanbieders; vraag je leverancier of die het regelt.
- 2 dec 2027
Hoog-risico-verplichtingen (bijlage III)
AI bij bijvoorbeeld werving of kredietbeoordeling moet aan de volledige eisen voldoen; door de AI Omnibus schoof deze datum op van augustus 2026. Relevant zodra je AI inzet in beslissingen over mensen.
- 2 aug 2028
Hoog-risico-AI in producten (bijlage I)
AI in gereguleerde producten, zoals machines en medische hulpmiddelen, valt vanaf deze datum onder de hoog-risico-eisen. Relevant als je zulke producten maakt of er AI in verwerkt.
Laatst bijgewerkt: 25 september 2026. De lijn volgt onze berichtgeving; bronnen staan bij de gekoppelde artikelen hieronder. De brede tijdlijn en NL-toezicht van de wet zelf houden we bij op ons zusterplatform:het dossier EU AI Act. Blader ook door al onze praktische AI-gidsen enartikelen over AI-regelgeving.
Al onze gidsen en duiding (14)
Firecrawl voor marktonderzoek in het MKB: voor wie werkt het?
Notuleren met AI: zo laat je je vergadering automatisch uitwerken
Europese AI-apps 2026: alternatieven voor ChatGPT op een rij
AI-geletterdheid regelen in je team zonder dure cursus
AI-geletterdheid: wat de AI Act van je bedrijf vraagt
AI Act en HR: wat nu al geldt voor je werving en wat pas in 2027
AI-sollicitatiegesprekken: 3 regels die nu al voor jou gelden
EU AI Act: welke 10 toezichthouders straks jouw MKB raken
Granola voor MKB: vergader-notulen in 5 minuten klaar
AI-contracten 2026: 20 inkoop-vragen vóór je tekent
Laat jij software over mensen beslissen? Dan geldt artikel 22
Open AI-modellen veilig zelf draaien: 5 checks voor je bedrijf
AI Act: in welk risiconiveau valt jouw AI-tool?
UWV test Copilot onder strenge regels: vier lessen voor jou
Veelgestelde vragen over AVG & AI
Mag ik klantgegevens in ChatGPT of een andere AI-tool invoeren?
Alleen met een geldige AVG-grondslag en goede afspraken. Klantdata in een AI-tool stoppen is "verwerken" van persoonsgegevens. Je hebt een verwerkersovereenkomst met de leverancier nodig, je moet weten of je invoer voor het trainen van het model wordt gebruikt, en je gebruikt bij voorkeur een zakelijke of enterprise-versie waar training standaard uitstaat. Anonimiseer gegevens waar dat kan.
Geldt de EU AI Act ook voor mijn kleine onderneming?
Ja. De wet kent geen drempel naar bedrijfsomvang: zodra je AI gebruikt of aanbiedt in de EU, val je eronder. De AI-geletterdheidsplicht (artikel 4) geldt sinds 2 februari 2025; sinds de AI Omnibus (27 juli 2026) moet je maatregelen nemen die de AI-geletterdheid van je medewerkers ondersteunen. Sinds 2 augustus 2026 gelden ook de transparantieplichten, zoals melden dat een chatbot AI is. De zware hoog-risico-eisen, bijvoorbeeld voor AI bij werving, gelden pas vanaf 2 december 2027.
Mag ik met AI gegevens van websites scrapen voor marktonderzoek?
Wees voorzichtig. De Autoriteit Persoonsgegevens stelt dat het scrapen van persoonsgegevens bijna altijd op gespannen voet staat met de AVG — ook als die gegevens openbaar op een website staan. Voor niet-persoonsgebonden data (zoals prijzen of productinformatie) is er meer ruimte, maar let op de gebruiksvoorwaarden en robots.txt van de bron. De Europese privacytoezichthouders (EDPB) hebben richtsnoeren over scrapen voor generatieve AI in consultatie tot 30 oktober 2026.
Heb ik een verwerkersovereenkomst nodig met mijn AI-leverancier?
Ja, als de leverancier persoonsgegevens namens jou verwerkt. Een verwerkersovereenkomst legt vast wat de leverancier met de data mag doen, hoe die wordt beveiligd en dat hij de gegevens niet voor eigen doeleinden gebruikt. Zonder zo'n overeenkomst loop je een AVG-risico zodra er klant- of personeelsgegevens door de tool gaan.
Wat is AI-geletterdheid en hoe regel ik dat zonder dure cursus?
AI-geletterdheid betekent dat de mensen die met AI werken begrijpen wat de tool wel en niet kan, en de risico's herkennen. Sinds juli 2026 vraagt de wet dat je maatregelen neemt die dat ondersteunen; een vast niveau, urenaantal of certificaat schrijft ze niet voor. Voor een klein team kan dat met een korte interne sessie, duidelijke afspraken over welke data wél en niet in een tool mag, en gratis of goedkope basistrainingen — een uitgebreide externe cursus is niet verplicht.
Wie houdt in Nederland toezicht op de AI Act?
Dat is nog niet formeel geregeld. Het kabinet legde de Uitvoeringswet AI-verordening van 20 april tot 1 juni 2026 in internetconsultatie, met de Autoriteit Persoonsgegevens en de RDI als beoogde coördinerende toezichthouders. Zolang die wet er niet is, zijn de toezichthouders niet formeel aangewezen. Op de AVG houdt de Autoriteit Persoonsgegevens wel gewoon toezicht.
Mag software zelfstandig beslissen over klanten of personeel?
Niet bij besluiten met grote gevolgen. Artikel 22 van de AVG verbiedt besluiten die volledig automatisch worden genomen en iemand flink raken, zoals een afwijzing of blokkade, zonder betekenisvolle menselijke check. Die regel kent geen ondergrens naar bedrijfsomvang. De Autoriteit Persoonsgegevens beboette Uber daarvoor op 21 augustus 2026 met bijna 825 miljoen euro; voor een MKB-bedrijf liggen de bedragen veel lager, maar de plicht is dezelfde.