Naar de inhoud
EN Plan een startsprint

Compliance en security

De AI Act: wat moet jouw organisatie regelen?

David Homan · · 4 min lezen

Het korte antwoord

De AI Act geldt voor elke organisatie die AI gebruikt, ook als dat alleen ChatGPT of Copilot is. Nu al moet je verboden toepassingen vermijden, je mensen AI‑geletterd maken en bij chatbots en gegenereerde content laten zien dat het AI is. De zware eisen voor hoog-risico-AI, zoals AI in werving of kredietbeoordeling, gelden pas vanaf 2 december 2027.

Geldt de AI Act voor jouw organisatie?

Bijna altijd wel. De AI Act (Verordening (EU) 2024/1689) kent twee hoofdrollen:

  • Aanbieder: wie een AI-systeem ontwikkelt of laat ontwikkelen en het onder eigen naam op de markt brengt of in gebruik neemt.
  • Gebruiksverantwoordelijke: wie een AI-systeem in zijn werk gebruikt. Een organisatie waar medewerkers ChatGPT, Copilot of een AI-functie in hun CRM gebruiken, is gebruiksverantwoordelijke.

Laat je een eigen AI-toepassing bouwen die je onder je eigen naam inzet, dan kun je zelf aanbieder zijn. Dat bepaalt welke verplichtingen bij jou liggen, en het is een van de eerste dingen die we bij een bouw vastleggen.

Welke risicoklasse heeft jouw toepassing?

De wet werkt met vier niveaus. De meeste toepassingen in een gewone organisatie vallen in de laagste twee.

KlasseWat eronder valtWat je moet doen
VerbodenSocial scoring, emotieherkenning op de werkvloer of in het onderwijs, manipulatie die mensen schade doetNiet gebruiken
Hoog risicoAI in werving en selectie, kredietbeoordeling, toegang tot onderwijs of essentiële diensten, veiligheidsonderdelen van productenRisicobeheer, logging, menselijk toezicht, documentatie, registratie
Beperkt risicoChatbots, AI-stemmen, gegenereerde tekst, beeld en geluidLaten zien dat het AI is
Minimaal risicoSamenvatten, zoeken in documenten, spamfilters, de meeste interne hulpmiddelenGeen extra eisen, wel AI-geletterdheid

Een voorbeeld: een AI-assistent die klantvragen beantwoordt, is beperkt risico. Hij moet melden dat hij AI is. Een systeem dat sollicitanten voorselecteert, is hoog risico, ook als een recruiter het laatste woord heeft.

Wat geldt wanneer?

De tijdlijn is in 2026 aangepast. Met de Digital Omnibus (Verordening (EU) 2026/1744, in werking sinds 27 juli 2026) zijn de regels voor hoog-risico-AI uitgesteld. Dit is de stand van oktober 2026:

DatumWat er geldtWat het voor jou betekent
1 augustus 2024De AI Act treedt in werkingDe klok begint te lopen
2 februari 2025Verboden toepassingen en AI-geletterdheid (artikel 4)Geen verboden toepassingen gebruiken; je mensen leren werken met AI
2 augustus 2025Regels voor AI-modellen voor algemene doeleinden, toezicht en boetesVooral voor de makers van grote modellen
2 augustus 2026Transparantieregels (artikel 50) en de meeste overige bepalingenChatbots en gegenereerde content laten zien dat het AI is
2 december 2026Markering van gegenereerde content voor systemen die al vóór 2 augustus 2026 op de markt warenOvergangstermijn voor bestaande systemen loopt af
2 december 2027Hoog-risicoregels voor de toepassingen in bijlage IIIWerving, krediet, onderwijs en vergelijkbare toepassingen moeten aan alle eisen voldoen
2 augustus 2028Hoog-risicoregels voor AI in gereguleerde producten (bijlage I)Medische hulpmiddelen, machines en vergelijkbare producten

Met de Omnibus is ook artikel 4 anders geformuleerd. Organisaties moeten maatregelen nemen die de AI-geletterdheid van hun mensen ondersteunen; de wet eist niet langer een gegarandeerd niveau per persoon. De plicht zelf blijft bestaan. Meer daarover lees je in AI-geletterdheid.

We houden deze tijdlijn bij en leggen hem elk kwartaal naast de officiële tekst. De datum bovenaan laat zien wanneer dat voor het laatst gebeurde.

Wat regel je nu, in vier stappen?

  1. Inventariseer. Maak een lijst van alle AI die je gebruikt: losse tools, AI-functies in bestaande software en wat je zelf hebt laten bouwen. Klaar als: elke toepassing een eigenaar heeft.
  2. Classificeer. Bepaal per toepassing de risicoklasse en of je gebruiksverantwoordelijke of aanbieder bent. Klaar als: je weet welke toepassingen extra eisen hebben.
  3. Regel de geletterdheid. Zorg dat iedereen die met AI werkt weet wat het kan, waar het misgaat en wat niet in een prompt hoort, passend bij zijn rol. Klaar als: je kunt laten zien wie wanneer waarop is getraind. Zie AI-geletterdheid.
  4. Leg afspraken vast. Welke tools mogen, welke gegevens erin mogen, wie toezicht houdt en hoe je laat zien dat iets AI is. Klaar als: er een kort AI-beleid ligt met een eigenaar. Zie AI-beleid opstellen.

Gebruik je hoog-risico-AI, dan komen daar menselijk toezicht en logging bij. Hoe je dat in een systeem bouwt, lees je in menselijk toezicht en logging.

Als je zelf AI laat bouwen

Classificatie, logging en menselijk toezicht zijn ontwerpkeuzes. Achteraf inbouwen kost meer dan het meteen goed doen. Bij elke bouw bepalen we daarom in de startsprint de risicoklasse, en leggen we vast wie aanbieder is. Logging, doorschakelen naar een mens en transparantie zitten vanaf de eerste versie in het systeem.

Een voorbeeld is de assistent op deze site. Hij zegt dat hij AI is, en op de transparantiepagina staat hoe hij werkt en wat er met gesprekken gebeurt.

Wat AI Heroes hier doet

Met de AI Act-check brengen we je huidige AI-gebruik in kaart, classificeren we elke toepassing en krijg je een lijst van wat je moet regelen, in volgorde van belang. Laat je bij ons iets bouwen, dan zit de AI Act vanaf de tekentafel in het ontwerp. Dat is onderdeel van de standaard bij elke bouw.

Bronnen

Veelgestelde vragen

Geldt de AI Act ook voor kleine bedrijven?

Ja. Er is geen uitzondering voor het mkb. Wel zijn de boetes voor het mkb begrensd op het laagste van de twee maxima, en krijgen kleine bedrijven lichtere documentatie-eisen als ze zelf AI‑systemen aanbieden.

Wat zijn de boetes?

Voor verboden toepassingen tot €35 miljoen of 7% van de wereldwijde jaaromzet, voor de meeste andere verplichtingen tot €15 miljoen of 3%, en voor onjuiste informatie aan toezichthouders tot €7,5 miljoen of 1%. Voor het mkb geldt het laagste van beide bedragen. Voor artikel 4 (AI‑geletterdheid) staat geen eigen boete in de verordening.

Wie houdt in Nederland toezicht?

Dat legt de Uitvoeringswet AI‑verordening vast, die in oktober 2026 nog in voorbereiding is. Het voorstel geeft de Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur een coördinerende rol, naast sectorale toezichthouders. De Europese regels gelden intussen rechtstreeks.

Is ChatGPT gebruiken al AI inzetten onder de wet?

Ja. Wie een AI‑systeem in zijn werk gebruikt, is gebruiksverantwoordelijke. Voor gewoon kantoorgebruik betekent dat vooral: zorg voor AI‑geletterdheid en maak afspraken over wat wel en niet in de tool mag.

Wanneer is een toepassing hoog risico?

Als ze valt onder de gebieden in bijlage III van de AI Act, zoals werving en selectie, kredietbeoordeling, toegang tot onderwijs of essentiële diensten, of als ze een veiligheidsonderdeel is van een gereguleerd product. Een AI die sollicitanten rangschikt is hoog risico; een AI die e‑mails samenvat niet.

Is een AI‑beleid verplicht?

De wet noemt het document niet bij naam. Je hebt het wel nodig om aan te tonen dat je aan artikel 4 en de transparantieregels voldoet. Lees hoe je een AI‑beleid opstelt.

Wil je weten waar je staat? Met de AI Act‑check brengen we je huidige AI‑gebruik in kaart, classificeren we het en zie je wat je moet regelen.

Bekijk de AI Act-check

Verder lezen