De AI Act, de Europese wet voor kunstmatige intelligentie, is sinds 2 augustus 2026 grotendeels van toepassing. Wie de afgelopen maanden het nieuws volgde, zag vooral berichten over uitstel. Dat klopt ook: de zwaarste regels voor hoog-risico-AI zijn verschoven naar december 2027. Maar dat betekent niet dat er niets geldt.
In dit artikel zetten we op een rij wat er nu al geldt, wat later komt en wat het betekent voor een gewoon automatiseringsproject bij een mkb-bedrijf. Dit is geen juridisch advies. Werk je aan iets wat in de buurt komt van de zwaardere categorieën, schakel dan een jurist in.
De belangrijkste data
- 2 februari 2025: de verboden AI-toepassingen gelden, en organisaties moeten zorgen voor voldoende AI-geletterdheid bij de mensen die met AI werken.
- 2 augustus 2025: regels voor aanbieders van algemene AI-modellen, zoals de grote taalmodellen, en de inrichting van het toezicht.
- 2 augustus 2026: het grootste deel van de wet is van toepassing, waaronder de transparantieregels voor bijvoorbeeld chatbots en door AI gemaakte content.
- 2 december 2027: regels voor hoog-risico-AI-systemen, zoals AI voor werving en selectie of kredietbeoordeling.
- 2 augustus 2028: regels voor AI die is ingebouwd in gereguleerde producten, zoals medische hulpmiddelen, speelgoed en liften.
De verschuiving van de hoog-risico-regels komt uit de zogeheten Digital Omnibus, een wijziging van de AI Act die op 27 juli 2026 in werking trad. De Europese Commissie gaf als reden dat de technische normen waarmee bedrijven aan de regels kunnen voldoen, nog niet klaar waren.
Vier risiconiveaus
De AI Act deelt AI in op basis van risico. Wat je moet doen, hangt af van waar jouw toepassing valt.
Verboden. Een beperkte lijst toepassingen mag helemaal niet, zoals social scoring, emotieherkenning op de werkvloer (behalve om medische of veiligheidsredenen) en manipulatieve technieken. Voor een gewoon automatiseringsproject is dit zelden relevant.
Hoog risico. AI die kan ingrijpen in iemands veiligheid of grondrechten. Denk aan AI die sollicitanten filtert of beoordeelt, die bepaalt of iemand een lening krijgt, of die toegang geeft tot essentiële diensten. Voor deze systemen gelden vanaf december 2027 zware eisen, zoals risicobeheer, documentatie, menselijk toezicht en registratie.
Transparantie. Voor sommige toepassingen moet duidelijk zijn dat er AI in het spel is. Een chatbot die met klanten praat, moet laten weten dat het een AI-systeem is. Door AI gemaakte beelden, audio of video die echt lijken, moeten als zodanig herkenbaar zijn. Deze regels gelden sinds 2 augustus 2026.
Minimaal risico. Volgens de Europese Commissie valt het grootste deel van de AI-systemen hieronder. Daarvoor gelden geen extra verplichtingen vanuit de AI Act, al blijft bestaande wetgeving zoals de AVG gewoon van toepassing.
Wat betekent dit voor een typisch automatiseringsproject?
De meeste projecten waar wij over schrijven, zoals e-mails sorteren, documenten uitlezen of conceptantwoorden maken voor medewerkers, vallen waarschijnlijk in de categorie minimaal risico. Er beslist geen AI over mensen, er is een medewerker die controleert, en de klant praat niet direct met een AI.
Dat verandert als:
- je een chatbot inzet die direct met klanten praat. Dan moet duidelijk zijn dat het om AI gaat.
- AI een rol krijgt in beslissingen over mensen, zoals selectie van sollicitanten, beoordeling van medewerkers of toegang tot diensten. Dan kom je in hoog-risico-terrein.
- je zelf een AI-systeem bouwt en op de markt brengt in plaats van het alleen te gebruiken. De AI Act maakt onderscheid tussen aanbieders, die een systeem ontwikkelen en op de markt brengen, en gebruiksverantwoordelijken, die het inzetten. Aanbieders hebben meer verplichtingen.
Wat staat er op het spel?
De boetes zijn fors, al zijn ze vooral bedoeld voor ernstige overtredingen. Voor verboden toepassingen kan een boete oplopen tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet. Voor andere overtredingen gelden lagere maxima. Voor mkb-bedrijven geldt steeds het laagste van de twee bedragen. Het toezicht ligt in Nederland bij nationale toezichthouders.
Vijf praktische stappen
Ook als je project waarschijnlijk minimaal risico heeft, zijn dit verstandige stappen:
- Breng in kaart waar je AI gebruikt. Inclusief de AI-functies in software die je al hebt. Veel bedrijven onderschatten hoeveel het er zijn.
- Bepaal per toepassing de risicocategorie. De Europese Commissie heeft een Compliance Checker die daarbij helpt.
- Investeer in AI-geletterdheid. Zorg dat de mensen die met AI werken weten wat het wel en niet kan, en waar ze op moeten letten. De Omnibus heeft aan de formulering van deze verplichting gesleuteld, maar ook zonder wettelijke plicht voorkomt dit fouten.
- Maak afspraken met je leverancier of bureau. Wie is aanbieder, wie is gebruiksverantwoordelijke, en wie zorgt voor de documentatie?
- Vergeet de AVG niet. Voor de meeste projecten is de privacywet uiteindelijk relevanter dan de AI Act. Zie ook de vragen over data in Een AI-bureau kiezen: 7 vragen voordat je tekent.
Voor bureaus: een kans, en een verantwoordelijkheid
Voor AI-bureaus brengt de AI Act nieuwe vraag met zich mee: klanten willen weten waar ze staan, en hebben hulp nodig bij classificatie, documentatie en inrichting. Tegelijk verwachten klanten dat hun bureau deze kennis gewoon heeft. Een bureau dat een chatbot oplevert zonder transparantiemelding, of een selectietool bouwt zonder de hoog-risico-regels te kennen, loopt risico.
Heb je die kennis niet zelf in huis, dan is samenwerken met een specialist in AI-governance een logische stap. Daarover lees je meer in Waarom AI-bureaus steeds vaker samenwerken.
Bronnen
- Europese Commissie, Navigating the AI Act, laatst bijgewerkt 7 augustus 2026
- Europese Commissie, AI Act Compliance Checker
Dit artikel geeft de stand van zaken per september 2026 en is geen juridisch advies.
Een AI-project met de juiste kennis aan tafel
Wil je een AI-project starten en weten welke expertise je nodig hebt, of ben je een bureau met kennis van AI-governance? Matcherly stelt op basis van een intake één passende partij voor. We starten met een kleine pilotgroep.