Ryan KoningDe AI Act vraagt niet van elk bedrijf hetzelfde. Begin met een inventarisatie van de AI-systemen die u gebruikt of aanbiedt, bepaal wanneer klanten met AI te maken hebben en leg menselijke controle vast waar uitkomsten gevolgen hebben. Dit artikel is een praktische start, geen juridisch advies.
Update 17 oktober 2026: nieuwe data voor hoog-risico-AI
Sinds dit artikel verscheen, heeft de EU de AI Act aangepast met de zogeheten Digital Omnibus on AI: Verordening (EU) 2026/1744, gepubliceerd in het Publicatieblad op 24 juli 2026 en van kracht sinds 27 juli 2026 (EUR-Lex, OJ L 2026/1744; Europese Commissie). Voor de meeste mkb-bedrijven verandert er weinig aan dit artikel: de transparantieregels gelden nog steeds sinds 2 augustus 2026. Wat wel verschuift:
| Wat | Nieuwe datum | Bron |
|---|---|---|
| Regels voor hoog-risico-AI uit bijlage III (bijvoorbeeld AI bij werving en selectie) | 2 december 2027 | AI Act art. 113, geconsolideerd |
| Regels voor hoog-risico-AI in gereguleerde producten uit bijlage I (zoals machines en liften) | 2 augustus 2028 | AI Act art. 113, geconsolideerd |
| Markering van AI-content (art. 50, lid 2) door aanbieders van systemen die vóór 2 augustus 2026 op de markt waren | 2 december 2026 (stond al in dit artikel) | AI Act art. 111, lid 4, geconsolideerd |
Wat betekent dit voor u? Gebruikt u AI om sollicitanten te selecteren of te beoordelen, dan valt dat onder hoog-risico-AI uit bijlage III (AI Act, bijlage III). De zwaardere regels daarvoor gelden nu vanaf 2 december 2027 in plaats van augustus 2026. Dat is uitstel, geen afstel. Gebruik de tijd om uw AI-inventaris (stap één hieronder) af te maken en per toepassing vast te leggen wie de uitkomst controleert. Voor een chatbot op uw website of AI-gegenereerde beelden verandert er niets: die transparantieregels gelden al.
Dit is een praktische samenvatting, geen juridisch advies.
De AI Act is geen toekomstig aandachtspunt meer. Op 2 augustus 2026 zijn nieuwe handhavingsbevoegdheden en transparantieregels voor bepaalde AI-systemen van toepassing geworden. De Europese Commissie noemt daarbij onder meer chatbots die duidelijk moeten maken dat iemand met AI communiceert en AI-gegenereerde of aangepaste content die herkenbaar moet zijn.
Dat betekent niet dat elk bedrijf nu dezelfde checklist moet afwerken. De verplichtingen hangen af van de rol die u heeft, het systeem dat u gebruikt en het risico van de toepassing. Een bedrijf dat een chatbot inzet, een bedrijf dat AI in een eigen product verwerkt en een bedrijf dat alleen een schrijfassistent gebruikt, hebben niet automatisch dezelfde verantwoordelijkheid. Het raakt veel bedrijven: in 2025 gebruikte één op de zes Nederlandse bedrijven AI (CBS).
De praktische eerste stap is niet een nieuwe AI-tool kiezen, maar zichtbaar maken welke systemen er al in uw organisatie meedoen.
Wat is er sinds 2 augustus veranderd?
De Europese Commissie schrijft dat bepaalde AI-systemen vanaf 2 augustus 2026 onder nieuwe transparantieregels vallen. Mensen moeten bijvoorbeeld kunnen weten wanneer zij met een AI-systeem communiceren. Voor synthetische of aangepaste beelden, audio en video gelden herkenbaarheids- en markeringsregels. De precieze verplichting hangt af van het type systeem en de rol van de organisatie.
Er zijn ook overgangsregels. Volgens de officiële AI Act Service Desk hebben aanbieders van AI-systemen die vóór 2 augustus 2026 op de markt zijn geplaatst voor de markeer- en detectieverplichtingen uit artikel 50, lid 2, tot 2 december 2026. Dat is geen reden om de inventarisatie uit te stellen: u moet eerst weten welke systemen en content onder die regel kunnen vallen.
Stap één: maak een AI-inventaris
Begin met een lijst van alle toepassingen waarin AI een rol speelt. Kijk niet alleen naar projecten van IT. Een medewerker kan zelfstandig een schrijfassistent gebruiken, een marketingteam kan beelden genereren en een leverancier kan AI verwerken in een SaaS-pakket dat u al gebruikt. Vaak zit de AI al in een pakket: in 2025 gebruikte 19 procent van de bedrijven met 10 of meer werkzame personen kant-en-klare AI-software, tegen 9 procent die AI-software liet maken of aanpassen (CBS StatLine).
- Naam van de tool of leverancier en het proces waarin die wordt gebruikt.
- Welke gegevens erin gaan: openbare informatie, bedrijfsinformatie, persoonsgegevens of vertrouwelijke documenten.
- Wat de uitkomst doet: alleen een voorstel maken, een medewerker ondersteunen of zelfstandig een actie starten.
- Wie eigenaar is van het proces en wie beslist bij twijfel of een fout.
- Welke informatie een klant, medewerker of andere betrokkene te zien krijgt over het gebruik van AI.
Stap twee: bepaal waar transparantie nodig is
Kijk daarna naar de momenten waarop iemand de uitkomst van AI kan verwarren met menselijk werk of echte content. Denk aan een websitechatbot, automatisch gegenereerde afbeeldingen bij een campagne, een samenvatting die aan een klant wordt doorgestuurd of een systeem dat tekst herschrijft zonder dat de ontvanger dat weet.
Leg per toepassing vast welke melding, markering of toelichting passend is. Zet die informatie op de plek waar de gebruiker de keuze maakt of de uitkomst ontvangt. Een algemene zin in een intern beleid helpt weinig als een bezoeker op de website niet ziet dat de chat met AI verloopt. De Autoriteit Persoonsgegevens vat de plicht zo samen: „Vanaf 2 augustus 2026 zijn aanbieders en gebruikers van AI-systemen verplicht duidelijk te maken wanneer mensen met artificiële intelligentie (AI) te maken hebben.”
Stap drie: leg menselijke controle vast
Transparantie is niet hetzelfde als controle. Als een AI-systeem een voorstel doet dat invloed heeft op een klant, medewerker, betaling of contract, moet u ook bepalen wie de uitkomst controleert en wanneer. Beschrijf wat die persoon controleert, welke fouten niet acceptabel zijn en wat er gebeurt als de uitkomst niet klopt.
Een controle die alleen op papier bestaat, beschermt uw proces niet. Wijs een eigenaar aan en test met echte uitzonderingen uit de dagelijkse praktijk.
Wat kunt u deze maand vastleggen?
- Een centraal overzicht van AI-tools, leveranciers en processen.
- Per toepassing de gegevens, eigenaar, gebruikers en belangrijkste risico's.
- De tekst of werkwijze waarmee u duidelijk maakt wanneer iemand met AI te maken heeft.
- Een menselijke controle voor uitkomsten die niet direct mogen worden overgenomen.
- Een eenvoudige route om fouten, incidenten en wijzigingen bij te houden.
Wanneer moet u nog niets automatiseren?
Begin niet met automatiseren als u niet kunt uitleggen welke gegevens het systeem gebruikt, wie de uitkomst controleert of wat er gebeurt bij een fout. Ook een laag-risico toepassing verdient een eigenaar. Zonder die basis weet u niet welke leverancier u moet aanspreken, welke melding nodig is of hoe u achteraf uitlegt wat er is gebeurd.
Goede AI-governance begint niet met een dik beleidsdocument, maar met een actueel overzicht van systemen, gegevens en verantwoordelijkheden. (Ryan Koning, oprichter van Fast Software)
De AI Act vraagt om een risicogebaseerde aanpak. Voor hoog-risico AI-systemen gelden andere verplichtingen en termijnen dan voor een gewone schrijfassistent. Gebruik dit artikel daarom als startpunt voor uw inventarisatie en laat de concrete juridische beoordeling doen door iemand die uw situatie en de toepasselijke regels kent. De officiële Europese bronnen zijn leidend; dit is geen juridisch advies.
