Wat de AI-verordening praktisch betekent voor het mkb.

De Europese AI-verordening, meestal de AI-act genoemd, is sinds augustus 2024 van kracht en wordt in stappen ingevoerd. In het mkb zien we twee reacties: paniek (“mogen we dit nog wel?”) en schouderophalen (“dat gaat over big tech, niet over ons”). Allebei kloppen ze niet. De verordening is geschreven om risicovolle toepassingen te reguleren, niet om te voorkomen dat een AI-assistent je notulen samenvat. Maar een paar plichten gelden wel degelijk, ook voor kleine organisaties. We zetten het praktisch op een rij.

Vier risicoklassen in gewone taal.

De verordening deelt AI-toepassingen in naar risico. Hoe hoger het risico, hoe zwaarder de eisen.

Onaanvaardbaar risico: verboden. Sinds 2 februari 2025 zijn bepaalde toepassingen simpelweg niet toegestaan. Denk aan social scoring, manipulatieve systemen en emotieherkenning op de werkvloer. Voor de meeste organisaties is dit een korte check: doe je dit niet, dan ben je met deze categorie klaar.

Hoog risico: strenge eisen. Dit is AI die meebeslist over mensen. Sollicitanten selecteren, kredietwaardigheid beoordelen, toegang tot onderwijs of essentiële diensten bepalen. Voor deze systemen gelden vanaf 2 augustus 2026 de zwaarste verplichtingen.

Beperkt risico: transparantie. Mensen moeten weten dat ze met AI te maken hebben. Een chatbot moet dat melden, en AI-gegenereerde beelden of stemmen moeten herkenbaar zijn als kunstmatig.

Minimaal risico: vrij te gebruiken. Alles wat overblijft, en dat is verreweg het meeste. Hier stelt de verordening geen extra eisen.

Wat er bij kantoorautomatisering meestal niet onder valt.

De meeste interne AI-toepassingen zitten in die laatste categorie. Een assistent die e-mails helpt opstellen, documenten samenvat, vergaderingen notuleert of je kennisbank doorzoekt: minimaal risico. Hetzelfde geldt voor spamfilters, vertaaltools en AI die helpt bij het schrijven van code. Geen registratie, geen conformiteitsbeoordeling, geen CE-markering.

Eén kanttekening: de AVG blijft gewoon gelden. Zodra er persoonsgegevens door een AI-tool gaan, gelden dezelfde regels als bij alle andere software: een grondslag, een verwerkersovereenkomst en bij voorkeur data die binnen de EU blijft.

Waar je wel op moet letten.

Er zijn drie situaties waarin een gewone organisatie wél concrete plichten heeft.

AI in beslissingen over mensen. Laat je AI cv’s voorsorteren, sollicitanten rangschikken of medewerkers beoordelen, dan gebruik je een hoogrisicosysteem. De verordening noemt jou dan “gebruiksverantwoordelijke”: je moet zorgen voor menselijk toezicht, het systeem gebruiken volgens de instructies van de leverancier, de werking in de gaten houden en de betrokkenen informeren. Het mag dus wel, maar niet op de automatische piloot.

Klantcontact en content. Een chatbot op je website moet duidelijk maken dat het AI is. Publiceer je AI-gegenereerde beelden of audio die echt lijken, dan moet dat herkenbaar zijn.

De verboden hoek. Emotieherkenning bij medewerkers of het heimelijk beïnvloeden van gedrag is geen grijs gebied, maar gewoon verboden. Dit komt in de praktijk zelden voor, al is het verstandig om tools die “sentiment” of “betrokkenheid” van medewerkers meten hier even langs te leggen.

Eén plicht geldt nu al voor iedereen.

Sinds 2 februari 2025 vraagt de verordening om AI-geletterdheid: wie met AI werkt, moet voldoende begrijpen wat het doet, waar het goed in is en waar het de mist ingaat. Dat hoeft geen dure cursus te zijn. Een duidelijke richtlijn (wat mag wel en niet in een AI-tool) en een korte uitleg die past bij de rol van de medewerker is voor de meeste organisaties voldoende.

Zo sorteer je voor zonder paniek.

1. Inventariseer. Welke AI wordt er gebruikt, inclusief de tools die medewerkers zelf hebben geïnstalleerd?
2. Classificeer. Beslist de toepassing over mensen, of helpt die alleen bij werk dat een mens beoordeelt? Dat onderscheid bepaalt vrijwel alles.
3. Regel basiskennis. Een richtlijn plus korte uitleg dekt de geletterdheidsplicht voor de meeste rollen af.
4. Kijk naar je leveranciers. Waar staat de data, is er een verwerkersovereenkomst, en wat zeggen ze zelf over de AI-act?

De eerste twee stappen overlappen flink met de vijf vragen uit Hoe AI-ready is jouw organisatie?, want een organisatie die haar data en processen kent, heeft deze inventarisatie al half af.

Laat je maatwerk bouwen, dan is dit vooral iets om aan de voorkant te regelen. Wij bouwen onze oplossingen standaard met data in de EU, conform AVG en AI-act, modulair en cloud-agnostisch. En omdat je de volledige code, deployment-scripts en documentatie in eigendom krijgt, kun je altijd laten zien hoe een systeem werkt. Dat scheelt bij elke controle, nu en later.

Twijfel je in welke categorie jouw AI-plannen vallen, of wil je weten wat er nodig is om verantwoord te starten? Plan een korte inventarisatie: een gratis gesprek van 30 minuten. Daarna krijg je van ons een rapport met advies en een vaste prijs, ook als je er zelf mee verder gaat. Zo weet je waar je staat voordat je iets bouwt of koopt.