Er ligt een Europese AI-wet, hij wordt sinds deze zomer gehandhaafd, en toch weten de meeste ondernemers niet of hij op hen slaat. Dat is niet gek: de EU AI Act is honderden pagina’s dik en geschreven voor juristen. Maar het hart van de wet is verrassend simpel. Elke AI-toepassing wordt in één van vier hokjes gestopt, en dat hokje bepaalt wat jij moet doen. Weet je in welk hokje jouw tools zitten, dan weet je bijna alles.
De vier niveaus, van streng naar los
De AI Act — officieel Verordening (EU) 2024/1689 — verdeelt AI naar risico voor mensen, niet naar techniek.
Onaanvaardbaar risico is simpelweg verboden. Denk aan systemen die mensen manipuleren, aan social scoring naar Chinees model, of aan het ongericht schrapen van gezichten van internet. Dit raakt bijna geen enkele MKB’er, maar het is goed om te weten dat de ondergrens hard is.
Hoog risico is de categorie waar het echte werk zit. Het gaat om AI die iemands kansen in het leven beïnvloedt: software die sollicitanten selecteert, kredietwaardigheid beoordeelt, toegang tot onderwijs bepaalt of medische hulpmiddelen aanstuurt. Val je hieronder, dan komen er stevige eisen kijken rond risicobeheer, datakwaliteit, menselijk toezicht en documentatie.
Beginner-tip:Het verschil tussen hoog en beperkt risico zit hem in de vraag: neemt de AI een beslissing óver een mens? Een chatbot die productvragen beantwoordt, doet dat niet. Een systeem dat bepaalt wie een baan of lening krijgt, wél. Die tweede is hoog risico, de eerste niet.
Beperkt risico draait om transparantie. Gebruik je een chatbot, dan moet de klant weten dat hij met een machine praat. Maak je beeld of tekst met AI die als echt kan worden opgevat, dan hoort daar een duidelijke markering bij. Meer niet.
Minimaal risico is de grootste groep: spamfilters, aanbevelingen, AI in je fotobewerker. Hier gelden geen extra verplichtingen.
Waar zit de gemiddelde MKB’er?
Vrijwel altijd in de onderste twee lagen. De tools waarmee je dagelijks werkt — een AI-assistent voor teksten, een chatbot op je site, beeldgeneratie voor social media, samenvattingen van vergaderingen — vallen onder beperkt of minimaal risico. Je grootste taak is dan eerlijk zijn: vertel klanten wanneer ze met AI te maken hebben.
Het kantelt zodra je AI inzet om beslissingen over mensen te nemen. Draai je een tool die cv’s rangschikt of automatisch klanten weigert, dan zit je in hoog-risico-terrein en gelden er echte eisen. De praktische eerste stap is daarom een korte inventarisatie: zet op een rij welke AI-tools je gebruikt, waarvoor, en of er iets tussen zit dat over mensen oordeelt.
Wat geldt er nú al, en wat is uitgesteld?
De wet komt gefaseerd binnen. De verboden praktijken gelden al sinds 2 februari 2025. Sinds 2 augustus 2025 zijn er regels voor de makers van algemene AI-modellen en moesten de nationale toezichthouders klaarstaan. Op 2 augustus 2026 begon de eigenlijke handhaving.
Tegelijk kregen ondernemers wat lucht. Via het Digital Omnibus-pakket (Verordening (EU) 2026/1744, van toepassing sinds 27 juli 2026) zijn de zwaarste hoog-risico-verplichtingen opgeschoven: de kernregels voor Annex III-systemen gaan nu in op 2 december 2027, een andere categorie volgt op 2 augustus 2028. Ook de eis rond AI-geletterdheid is iets afgezwakt. De boodschap: je hebt meer tijd om hoog-risico-toepassingen op orde te krijgen, maar de basis geldt gewoon.
Wie controleert dit in Nederland?
Het toezicht is verdeeld over tien bestaande instanties, met de Autoriteit Persoonsgegevens (AP) en de Rijksinspectie Digitale Infrastructuur (RDI) in een coördinerende rol. De AP en RDI pakken samen de verboden systemen en een deel van de hoog-risico-AI op; sectorwaakhonden als de AFM en de NVWA kijken mee op hun eigen terrein. De precieze verdeling wordt vastgelegd in de Uitvoeringswet AI-verordening, die sinds april 2026 in consultatie ligt.
De prikkel om het serieus te nemen is fors: overtredingen kunnen oplopen tot 35 miljoen euro of 7% van je wereldwijde jaaromzet. Voor het overgrote deel van het MKB blijft de conclusie geruststellend: zolang je in de categorie beperkt of minimaal risico opereert, is transparantie je belangrijkste huiswerk.
Voor sectoren met strenger toezicht, zoals de financiële sector, weegt die AI Act-aansluiting nu al mee in leverancierskeuzes: ABN AMRO noemde regelgeving expliciet als reden om voor het Europese Mistral te kiezen in plaats van een Amerikaanse aanbieder.