EU AI Act: welke 10 toezichthouders straks jouw MKB raken

Nederland wil het toezicht op de EU AI Act verdelen over tien bestaande toezichthouders, met de Autoriteit Persoonsgegevens (AP) en de Rijksinspectie Digitale Infrastructuur (RDI) als coördinatoren. Dat staat in een wetsvoorstel dat nog geen wet is; formeel is dus nog geen enkele toezichthouder aangewezen. Voor de meeste mkb’ers wordt de AP straks het aanspreekpunt: die houdt toezicht op chatbots, werving, onderwijs en alles zonder eigen sectortoezichthouder.

Update 25 september 2026: de lijst met toezichthouders was onjuist. Volgens het conceptwetsvoorstel zijn het de AP, RDI, AFM, DNB, IGJ, ILT, NVWA, de Nederlandse Arbeidsinspectie, de procureur-generaal bij de Hoge Raad en de voorzitter van de Afdeling bestuursrechtspraak van de Raad van State; Onderwijsinspectie, ACM en Inspectie JenV staan er niet in (internetconsultatie). Het AI Act-uitstel geldt sinds 27 juli 2026 (Verordening (EU) 2026/1744) en de transparantieplicht sinds 2 augustus 2026 (Europese Commissie); tabel, voorbeelden en tijdlijn zijn aangepast. Verduidelijkt: de tien toezichthouders en de coördinerende rol van AP en RDI zijn beoogd in het wetsvoorstel; de Uitvoeringswet AI-verordening is nog geen wet, dus formeel is nog niemand aangewezen (Rijksoverheid). Titel en intro zijn daarop aangepast.

Update 29 mei 2026: dit stuk is bijgewerkt na het Digital Omnibus-akkoord van 7 mei 2026. De hoog-risico-deadline is officieel verschoven naar 2 december 2027 (en naar 2 augustus 2028 voor AI in producten zoals liften en speelgoed). 2 augustus 2026 blijft het kantelpunt voor transparantie, chatbot-melding en GPAI-verplichtingen; oude AI-content krijgt tot 2 december 2026 voor watermerken. (Bron: Consilium — 7 mei 2026) Voor een breder beeld van de governance-shift die hier achter zit: AI-verordening mei 2026 — van bewustwording naar governance. Alle verschoven én niet-verschoven data staan op een rij in AI Act-uitstel: de nieuwe deadlines van 2026 tot 2028.

Waarom je dit nieuws niet kunt overslaan

Stel je voor: je runt een Nederlandse MKB-onderneming, vijftien medewerkers, en je gebruikt ChatGPT voor offertes en een AI-tool om CV’s voor te sorteren. Op 20 april 2026 presenteerde staatssecretaris Aerdts (Digitale Economie en Soevereiniteit) het voorstel voor de Uitvoeringswet AI-verordening (UAIA): tien markttoezichthouders, één hybride stelsel, met de Autoriteit Persoonsgegevens (AP) en de Rijksinspectie Digitale Infrastructuur (RDI) als coördinerende paar (Bron: Rijksoverheid). Goed nieuws. Maar ook: je moet weten wie er over jou gaat. Hoe een publieke organisatie zelf met die regels omgaat, zie je bij de UWV-pilot met Microsoft Copilot — een praktijkles in voorzichtig AI-gebruik.

Belangrijk om te weten: de internetconsultatie liep tot en met 1 juni 2026. Het ministerie verwerkt nu de reacties; daarna gaat het voorstel naar de Raad van State en het parlement. De wet is er dus nog niet. De grote lijn — tien toezichthouders, AP en RDI centraal — is zeer waarschijnlijk de definitieve keuze, maar details kunnen nog schuiven.

Een recent voorbeeld van hoe snel deze toezichthouders kunnen schakelen op nieuwe AI-ontwikkelingen: de reactie op Anthropic’s Mythos-model bracht binnen twee weken de ECB, Bundesbank en het Nederlandse kabinet in stelling.

Beginner-tip: Weet je nog niet precies wat de EU AI Act inhoudt? Lees eerst onze gids over de EU AI Act — daarin staat de verordening van A tot Z. Dit artikel gaat specifiek over hoe Nederland haar gaat toepassen, en wat dat voor jouw MKB betekent.

Waarom tien toezichthouders, en wat dat betekent

EU-landen kiezen verschillende modellen. Duitsland wees via de KI-MIG, die op 29 juli 2026 in werking trad, de federale Bundesnetzagentur aan als centrale markttoezichthouder, aanspreekpunt en klachtenloket (Bron: BMDS). Frankrijk kiest — net als Nederland — voor een multi-authority-model: de DGCCRF als Single Point of Contact en coördinator, met CNIL (grondrechten), ARCOM (media) en ACPR (financieel) voor hun eigen domein. Nederland sluit daarbij aan, maar met een eigen accent: AI-toezicht hangt aan bestaande sector-regulators — je huidige toezichthouder krijgt er een AI-taak bij, met AP en RDI als coördinerende as.

De AP en RDI vormen samen de centrale as. In het voorstel is de RDI bovendien het Single Point of Contact (SPOC): het officiële aanspreekpunt namens Nederland richting de Europese Commissie, het AI Board en andere lidstaten (Bron: RDI). Daaromheen komen volgens het voorstel acht andere toezichthouders, elk voor een eigen terrein: AFM en DNB (financiële sector), IGJ (zorg en medische hulpmiddelen), ILT (transport en infrastructuur), NVWA (productveiligheid), de Nederlandse Arbeidsinspectie (machines en arbeidsmiddelen), de procureur-generaal bij de Hoge Raad (AI in de rechtspraak) en de voorzitter van de Afdeling bestuursrechtspraak van de Raad van State (Bron: internetconsultatie). Wat dat IGJ-toezicht in de praktijk betekent voor zorgaanbieders die met AI werken, beschrijven we in AI in de zorg: wat werkt er in 2026 echt.

De AP krijgt daarnaast specifiek toezicht op toepassingen zonder duidelijke bestaande toezichthouder: een groot deel van de hoog-risico AI-systemen, de transparantie-verplichtingen en verboden AI-praktijken. Voor die rol krijgt de AP een speciale AI-bestuurder.

Dit heeft twee gevolgen voor jou. Eén: je kent waarschijnlijk al jouw toezichthouder — het wordt geen onbekende nieuwe naam. Twee: een bedrijf dat meerdere sectoren raakt (een zorgverzekeraar met AI-claimbeoordeling, bijvoorbeeld) kan met meerdere toezichthouders tegelijk te maken krijgen. Dat is waar de coördinatie via AP en RDI in beeld komt — één bedrijf, één aanspreekpunt, is de belofte.

Welke toezichthouder gaat over jouw situatie?

Snelle kaart op basis van je hoofdactiviteit of gebruik:

Deze indeling volgt het conceptwetsvoorstel van april 2026; details kunnen nog schuiven tot de wet door het parlement is.

Voor het grootste deel van het MKB — iedereen zonder zwaar sector-specifiek toezicht — is de AP in de praktijk het aanspreekpunt. Want zodra AI personen raakt — werving, klantbeoordeling, marketing-segmentatie — is het ook een AVG-aangelegenheid, en die kennen ze daar in detail. Het wetsvoorstel versterkt dat: de AP krijgt expliciet toezicht op alle gebieden waar nog geen duidelijke toezichthouder bestond.

Een paar concrete voorbeelden, zodat je jezelf herkent:

• Webshop met AI-recommendations en klant-chatbot → AP (chatbot-melding én persoonsgegevens in gedragsprofielen). Voor de praktische kant van zo’n chatbot opzetten zonder developer, met de transparantie-melding die de AI Act vereist, zie WhatsApp Business + AI: jouw eerste klantenservice-chatbot zonder code.
• Accountantskantoor dat klantdossiers met AI samenvat → AP in de kern, AFM als er financieel toezicht-werk bij komt.
• Installatiebedrijf dat offertes met AI laat schrijven → AP als je klantdata verwerkt; verder zelden andere toezichthouders. (Hoe je die offertes binnen 10 minuten en met juiste tone-of-voice opstelt: zie de offerte-tutorial voor ChatGPT. Voor het bredere plaatje over waar MKB nu staat: AI in het Nederlandse MKB — stand van zaken juni 2026.)
• Uitzendbureau of werving-MKB met AI-CV-scoring → AP: AI voor werving en selectie is een hoog-risicotoepassing, en die valt in het conceptvoorstel onder de AP.
• Huisartsenpraktijk met AI-triage of notitie-assistent → IGJ (zorg) + AP. Een actueel voorbeeld van wat dit in de praktijk betekent: Microsoft Copilot for Health — een AI-assistent die medische dossiers leest en persoonlijk gezondheidsadvies geeft.
• Rijschool of opleider met AI-toetsbeoordeling → AP (AI in onderwijs en toetsing valt in het conceptvoorstel onder de AP).

Herken je jezelf in geen van deze? Dan is de AP vrijwel zeker je enige aanspreekpunt, en kun je de rest van dit artikel met minder stress lezen.

Wat moet een MKB concreet regelen?

Eerlijk: dit voelt als veel op één keer. Maar voor de meeste MKB’ers valt het mee. De EU AI Act kent vier risicocategorieën — verboden, hoog, beperkt, minimaal — en jouw AI-gebruik zit hoogstwaarschijnlijk in de onderste twee.

Kort uitgelegd, met één voorbeeld per categorie:

• Verboden — AI-toepassingen die grondrechten direct schenden. Denk aan social scoring van burgers of real-time biometrische identificatie in de openbare ruimte zonder wettelijke grondslag. Voor MKB vrijwel nooit van toepassing.
• Hoog risico — AI die beslissingen neemt over mensen met grote gevolgen: werving, kredietbeoordeling, medische diagnose, toelating tot onderwijs. Hier gelden DPIA’s, documentatie-plichten, menselijke toets en een CE-achtig markeringsregime.
• Beperkt risico — AI-output die mensen zien of mee interacteren, zoals chatbots of AI-gegenereerde teksten en beelden. Plicht: melden dat mensen met AI praten, en deepfakes als AI markeren.
• Minimaal risico — interne tools zonder directe impact op personen, zoals AI die je agenda clustert of een eigen samenvatting maakt. Geen specifieke verplichtingen.

Bij “beperkt risico” gelden vooral transparantie-plichten: je moet mensen vertellen dat ze met AI te maken hebben. Voor veruit de meeste MKB-toepassingen — offerte-assistentie, klant-chatbots, standaard-samenvattingen — is dat het niveau waar je zit. Werk je met autonome AI-agents in security- of IT-werk, lees dan 754 open cybersecurity-skills voor AI-agents — daar zie je hoe een gestandaardiseerde laag tussen agent en uitvoering een audit-trail oplevert.

Drie dingen die je nu moet regelen

Drie acties die je kunt zetten, elk binnen een werkdag.

1. Maak een AI-inventarisatie. Welke tools gebruik je, waarvoor, en welke beslissingen leunen op AI-output? Een accountantskantoor dat klantdossiers met AI samenvat heeft andere risico’s dan een installatiebedrijf dat offertes laat schrijven of een webshop met een productaanbeveling-bot. Een simpele spreadsheet met vijf kolommen is genoeg. Hou deze aan:

Zodra je dit overzicht hebt, zie je in één oogopslag waar je uitzonderlijk oplet en waar het meevalt. Meer concrete MKB-voorbeelden vind je in onze gids AI voor MKB: vijf kansen in 2026.

2. Check je communicatie richting klanten. Praat een klant met een chatbot, dan moet hij dat weten, en gegenereerde beelden die echt lijken (deepfakes) moet je als AI markeren. Die plichten gelden sinds 2 augustus 2026. Een regel in je algemene voorwaarden voldoet daarvoor niet; een zichtbare melding op het moment zelf wel. Bij een AI-aanbeveling of AI-samenvatting is een melding niet altijd verplicht, maar wel verstandig. Denk aan: “Dit antwoord is gegenereerd door AI en gecontroleerd door een medewerker.” Een webshop met AI-recommendations zet bij het advies: “Voorgesteld op basis van AI-analyse van jouw bezoekgedrag.” Een accountant die AI-samenvattingen naar de klant mailt, benoemt dat expliciet in de aanhef.

3. Lees je AI-leveranciers-contracten na. Veel tools — inclusief de grote spelers — hebben in de Enterprise-voorwaarden clausules over data-gebruik voor training. Kijk welke defaults je hebt: ChatGPT, Copilot en Notion AI kennen verschillende opt-outs. Een breder overzicht van welke tool bij welk type MKB past, vind je in onze vergelijkingsgids ChatGPT, Claude, Gemini en Copilot. En als je wilt weten welke modellen écht meekomen met EU-regelgeving: Aithos testte twaalf grote modellen — geen enkele haalde de helft.

Lees onderstaand blok als je al met DPIA’s en verwerkersovereenkomsten werkt. Begin je net, sla gerust over.

Gevorderden: Let vooral op clausules in opt-out-vorm: bij consumentenabonnementen mogen aanbieders vaak standaard trainen op je data tenzij je afmeldt, terwijl zakelijke abonnementen dat meestal uitsluiten. ChatGPT Enterprise, Microsoft Copilot Business en Claude Team bieden verschillende defaults. Kijk niet alleen in de hoofdvoorwaarden — de DPIA-bijlagen en sub-processor-lijsten zijn waar de duivel in de details zit.

Boetes, proporties en in de praktijk

De nominale bedragen zijn pittig. Tot 35 miljoen euro of 7% van de wereldwijde jaaromzet voor het gebruik van verboden AI (social scoring, real-time biometrische identificatie in de publieke ruimte zonder juridische grond). Tot 15 miljoen of 3% voor de meeste andere overtredingen, waaronder die van de hoog-risico- en transparantie-eisen. Tot 7,5 miljoen of 1% voor foutieve informatie aan autoriteiten.

Maar dit zijn plafonds, geen startpunten. Voor mkb’ers en start-ups geldt steeds het laagste van de twee bedragen (artikel 99, lid 6), en sinds de Omnibus gelden sommige mkb-verlichtingen ook voor kleine midcaps (Bron: Europese Commissie). Hoe Nederlandse toezichthouders gaan handhaven, moet nog blijken, want de uitvoeringswet is er nog niet. Bij de hoogte van een boete telt onder meer mee hoe ernstig en langdurig de overtreding was en of je meewerkt.

Hulp bij het inschatten van je eigen situatie is er al. De Europese Commissie biedt een gratis AI Act Service Desk met een Compliance Checker (Bron: Europese Commissie).

Lees deze tip als je nog geen vast beeld hebt van je eigen risicocategorie.

Beginner-tip: Twijfel je hoe jouw AI-gebruik te classificeren valt? Loop dan de gratis Compliance Checker van de Europese Commissie door: die stelt je een reeks vragen en laat zien welke verplichtingen waarschijnlijk voor jou gelden. Met concrete vragen over persoonsgegevens kun je ook bij de AP terecht.

Tijdlijn — wat wanneer? (bijgewerkt 25 september 2026)

De EU AI Act wordt gefaseerd ingevoerd. De Digital Omnibus (akkoord op 7 mei, van kracht sinds 27 juli 2026) heeft een aantal data verschoven; transparantie en chatbot-melding blijven staan, hoog risico schuift door. Voor een MKB zijn deze momenten belangrijk:

Voor het gemiddelde MKB was 2 augustus 2026 het kritische moment: sinds die dag gelden de transparantieplichten, en mag de Europese Commissie aanbieders van algemene AI-modellen (zoals OpenAI, Anthropic en Google) beboeten. Check dus of je contracten en verwerkersovereenkomsten daarop aansluiten. Zet ook 2 december 2026 in je agenda: dan eindigt de overgangstermijn voor generatieve AI-tools die al vóór augustus op de markt waren. Die markeerplicht ligt bij de aanbieder van de tool; publiceer je zelf deepfakes, dan moet je die als AI benoemen.

Het moeilijke stuk, hoog-risico AI, heeft door de Omnibus nu tot 2 december 2027 voordat alle aspecten van toepassing zijn. Gebruikt jouw bedrijf AI voor recruitment, kredietbeoordeling of medische context? Je hebt iets meer adem dan een paar maanden geleden, maar de inventarisatie en governance hoor je dit jaar al klaar te hebben — niet in Q3 2027.

Voor de meeste MKB’s was 2 augustus 2026 het eerste compliance-kantelpunt: sinds die dag is “we wachten nog even af” geen verdedigbare houding meer, ook al schoof hoog risico op. En pas op met aanbieders die deze deadlines aangrijpen om je een “verplichte” cursus te verkopen: zo kies je een AI-training zonder in de wildgroei te trappen — of geef hem gewoon zelf met ons trainingsprogramma van vier sessies.

Hoe Nederland zich verhoudt tot de EU

Het hybride stelsel is bewust gekozen. Het voorkomt dat er één super-regulator ontstaat die alles over AI weet — iets wat expertise-technisch onhaalbaar is — en het sluit aan bij de Nederlandse toezicht-cultuur. Sectorale kennis bij AFM, DNB of IGJ is dieper dan een centrale AI-toezichthouder ooit zou kunnen opbouwen. Hoe hard die sectorkennis nodig is, laat de bankensector zien: ING geeft AI sinds juni een grote rol bij de hypotheekbeoordeling, met AFM en DNB op de eerste rij.

De keerzijde: MKB’ers kunnen in principe met meerdere toezichthouders te maken krijgen. De AP/RDI-coördinatie moet dat voorkomen — één bedrijf, één aanspreekpunt — maar of dat in de praktijk werkt, moet nog blijken. Dat zal pas blijken zodra de uitvoeringswet er is en het stelsel echt draait.

Interessant: deze keuze sluit aan bij de bredere trend om AI-governance te verdelen over bestaande structuren. Voor de ethische kant van die keuze schreven we eerder over hoe we AI menselijk houden — regelgeving is daar één laag van. Voor Nederland-specifieke context rond GPT-NL en de AI-fabriek is onze eerdere analyse van GPT-NL en de EU AI Act in Nederland een goed startpunt.

Checklist EU AI Act voor MKB

Vink af wat je al geregeld hebt. Alles “nee”? Dan heb je een middag werk — niet meer.

• AI-inventarisatie gemaakt (tool, proces, persoonsgegevens, risico, leverancier) — ja / nee
• Klanten zien zichtbaar bij de output wanneer AI meeschrijft of adviseert — ja / nee
• AI-leveranciers-contracten gelezen op training- en data-gebruik-clausules — ja / nee (zie onze inkoop-checklist voor AI-contracten 2026 voor de twintig vragen per domein)
• Primaire toezichthouder geïdentificeerd (AP en/of sector-toezichthouder) — ja / nee
• Chatbot-melding en AI-markering van deepfakes op orde (verplicht sinds 2 augustus 2026), en een review-moment gepland vóór 2 december 2026 — ja / nee

Blijf op de hoogte

Wil je als eerste weten wanneer de uitvoeringswet naar de Tweede Kamer gaat en nieuwe richtsnoeren per sector verschijnen? Schrijf je in voor onze nieuwsbrief — één mail per week, alleen de nieuwsfeiten en acties die je kunt gebruiken.

Eén toepassing waar de AI Act nu al hard op is: werving en selectie. Wat dat concreet betekent staat in AI-sollicitatiegesprekken: 3 regels die nu al voor jou gelden.