AI Act voor het mkb: wat moet je als klein bedrijf regelen?

De Europese AI-verordening — in de praktijk "AI Act" genoemd — klinkt als iets voor grote techbedrijven. Voor het grootste deel is dat ook zo. Maar er zijn een paar verplichtingen die wél voor een bedrijf met vijf medewerkers gelden, en één categorie waar je zonder het te weten in kunt vallen.

Ben jij "aanbieder" of "gebruiker"?

Dit onderscheid bepaalt vrijwel alles, en het wordt vaak verkeerd begrepen.

• Aanbieder ben je als je een AI-systeem ontwikkelt en onder je eigen naam op de markt brengt. Dan rust het zwaarste pakket verplichtingen op jou.
• Gebruiker (in de wet: gebruiksverantwoordelijke) ben je als je een bestaand AI-systeem in je bedrijf inzet. Dit is wat vrijwel elk mkb-bedrijf is.

Gebruik je ChatGPT, een AI-chatbot van een leverancier of de AI-functies in je CRM, dan ben je gebruiker. Je verplichtingen zijn dan een stuk lichter — maar niet nul.

De vier risicocategorieën

De verordening kijkt niet naar de techniek maar naar de toepassing. Dezelfde AI kan in de ene toepassing onschuldig en in de andere hoog risico zijn.

Onaanvaardbaar: verboden

Deze toepassingen mogen niet, ongeacht bedrijfsgrootte. Voor het mkb is er één die echt relevant is: emotieherkenning op de werkvloer. Software die aan stem of gezicht probeert af te lezen hoe je medewerkers zich voelen, mag niet. Verder onder andere social scoring, het ongericht schrapen van gezichtsfoto's en manipulatieve systemen die mensen schaden.

Hoog risico: hier kun je inrollen

Dit is de categorie waar kleine bedrijven zich meestal niet bewust van zijn. Het gaat om AI die meebeslist over mensen. In de praktijk raakt dit het mkb bij:

• Personeel. AI die sollicitanten selecteert of rangschikt, of die beslissingen over promotie, beoordeling of ontslag ondersteunt.
• Toegang tot diensten. Kredietwaardigheid beoordelen, of beslissen wie een dienst krijgt.
• Onderwijs. Toelating of beoordeling van studenten.

Zit je hierin, dan gelden onder andere: menselijk toezicht inrichten, logs bewaren, de instructies van de leverancier volgen, medewerkers informeren, en bij beslissingen over personen moeten betrokkenen uitleg kunnen krijgen. Dat is een serieus traject — laat het juridisch toetsen voordat je zo'n systeem inzet.

Een CV laten samenvatten voor je eigen leesgemak is iets anders dan kandidaten laten rangschikken. De grens zit in of het systeem de beslissing beïnvloedt.

Beperkt risico: transparantie

Dit raakt bijna iedereen die AI gebruikt:

• Chatbots. Mensen moeten weten dat ze met een AI-systeem praten. Eén regel in je openingsboodschap volstaat — zie AI-chatbot op je website.
• Door AI gegenereerde content. Synthetische afbeeldingen, audio en video moeten als zodanig herkenbaar zijn. Voor deepfakes geldt een expliciete labelplicht.

Minimaal risico: de meeste toepassingen

Teksten laten schrijven, samenvatten, concepten voorbereiden, interne documenten doorzoeken, administratie ondersteunen. Hier gelden geen specifieke verplichtingen uit de verordening. Let op: de AVG geldt wel degelijk, zodra er persoonsgegevens in het spel zijn — zie mag je klantgegevens in ChatGPT zetten.

De verplichting die wél voor iedereen geldt: AI-kennis

Artikel 4 van de verordening verplicht organisaties die AI inzetten om te zorgen dat de mensen die ermee werken voldoende kennis en vaardigheden hebben. Dit geldt ongeacht risicocategorie en ongeacht bedrijfsgrootte, en is sinds februari 2025 van toepassing.

Dat betekent niet dat je iedereen op een dure cursus moet sturen. Wat verwacht wordt, is passend bij jouw gebruik:

• medewerkers weten wat het systeem doet en waarvoor het bedoeld is
• ze weten dat uitkomsten fout kunnen zijn en moeten worden gecontroleerd
• ze weten wat er wel en niet ingevoerd mag worden
• ze weten bij wie ze terechtkunnen bij twijfel

Een interne instructie van een paar pagina's plus een werkoverleg waarin je het doorneemt, is voor veel kleine bedrijven een redelijke invulling. Leg vast dát je het gedaan hebt — dat is het bewijs dat je aan de verplichting hebt gedacht. Een opzet staat in AI-beleid opstellen, en een praktische manier om het team bij te brengen zijn AI-workshops.

De invoering in fasen

De verordening trad op 1 augustus 2024 in werking en wordt stapsgewijs van toepassing:

Dit is de planning zoals vastgelegd. Zoals in de waarschuwing hierboven staat: er zijn voorstellen gedaan om onderdelen hiervan aan te passen, dus controleer de actuele stand voordat je ergens een conclusie op baseert.

Toezicht in Nederland is verdeeld over bestaande toezichthouders, met een coördinerende rol voor de Rijksinspectie Digitale Infrastructuur↗ en voor algoritmetoezicht de Autoriteit Persoonsgegevens↗.

Wat regel je concreet, als klein bedrijf?

Vijf stappen die voor vrijwel elk mkb-bedrijf volstaan:

1. Maak een lijst van waar je AI gebruikt. Ook de AI-functies in software die je al had. Je kunt niets beoordelen wat je niet in kaart hebt.
2. Zet er per regel de risicocategorie bij. In de praktijk valt bijna alles in "minimaal" of "beperkt". Blijf staan bij alles wat met personeel, krediet of toegang te maken heeft.
3. Regel de transparantie. Chatbot? Meld dat het AI is. Door AI gemaakte beelden? Label ze.
4. Regel de AI-kennis. Instructie op papier, één keer doornemen met het team, vastleggen dat het gebeurd is.
5. Leg de rolverdeling met leveranciers vast. Wie is aanbieder, wie is gebruiker, en wat levert de leverancier aan documentatie?

Loop je bij stap 2 tegen een toepassing aan die hoog risico lijkt, stop daar en laat het toetsen. Dat is goedkoper dan achteraf ontdekken dat je een compliancetraject had moeten doorlopen.