De EU AI Act voor kmo's:wat geldt er nu?

Waarom nog een artikel over de AI Act

De AI Act trad in augustus 2024 in werking, maar de regels gelden gefaseerd. Deze zomer paste de EU de tijdlijn aan met de Digital Omnibus, een pakket dat delen van de wet vereenvoudigt en uitstelt. Veel artikels online vermelden nog de oude datums. Dit is wat we weten in oktober 2026.

We zijn geen advocaten. We bouwen AI in de software die bedrijven dagelijks gebruiken, en klanten vragen ons wat de wet voor hen betekent. Dit is het antwoord dat we hen geven, met links naar de officiële teksten onderaan. Neem je een beslissing met juridisch gewicht, overleg dan met een advocaat.

Eerst: wat is jouw rol?

De AI Act maakt een onderscheid tussen aanbieders, die een AI systeem ontwikkelen en op de markt brengen, en bedrijven die een AI systeem in hun werk gebruiken (officieel gebruiksverantwoordelijken, in het Engels deployers). De meeste kmo's horen bij die tweede groep. Gebruik je een tool die inkomende mail leest, een assistent die antwoordt vanuit je dossiers of een agent die herinneringen opstelt? Dan gebruik je AI, je verkoopt het niet.

Dat onderscheid is belangrijk, want de zwaarste verplichtingen liggen bij de aanbieders. Laat je software bouwen voor eigen gebruik, dan neemt de bouwer voor dat systeem een deel van de rol van aanbieder op. Leg dus schriftelijk vast wie wat doet.

Vier risiconiveaus

De wet deelt AI in volgens risico. Een klein aantal toepassingen is verboden, zoals social scoring of mensen manipuleren op een manier die hen schade berokkent. Toepassingen met een hoog risico, zoals AI die sollicitanten screent, kredietwaardigheid beoordeelt of beslist over toegang tot onderwijs, moeten aan strenge eisen voldoen. Voor sommige toepassingen gelden enkel transparantieplichten. Al de rest, en dat is het grootste deel van het zakelijke gebruik, heeft geen specifieke verplichtingen bovenop de algemene.

Mails lezen en koppelen, antwoorden opstellen, deadlines opvolgen of vragen beantwoorden vanuit je eigen dossiers: dat is geen hoog risico. Een tool die sollicitanten rangschikt of beslist wie korting krijgt op een lening, is een ander verhaal.

Wat nu al geldt

Sinds 2 februari 2025 is het verbod op de verboden praktijken van kracht, en moeten bedrijven die AI gebruiken maatregelen nemen om de AI geletterdheid te ondersteunen van de mensen die ermee werken. De Digital Omnibus hield die plicht overeind, maar maakte duidelijk dat het gaat om maatregelen nemen, niet om een kennisniveau per persoon garanderen. De Europese Commissie en de lidstaten moeten kmo's daarbij ondersteunen.

Sinds 2 augustus 2026 gelden de meeste andere regels, waaronder transparantie. Mensen moeten weten wanneer ze met een AI systeem te maken hebben, inhoud die door AI gegenereerd is, moet gemarkeerd worden en deepfakes moeten een label krijgen. Voor generatieve AI systemen die al voor die datum op de markt waren, schoof de technische markeringsplicht op naar 2 december 2026. Vanaf diezelfde datum zijn systemen verboden die zonder toestemming intieme beelden van echte mensen genereren.

De boetes zijn niet min: tot €35 miljoen of 7% van de wereldwijde omzet voor verboden praktijken, en tot €15 miljoen of 3% voor de meeste andere inbreuken. Voor kmo's geldt het laagste van de twee bedragen.

Wat werd uitgesteld

De Digital Omnibus, Verordening (EU) 2026/1744, trad op 27 juli 2026 in werking. Daarmee schoven de regels voor systemen met een hoog risico uit Bijlage III van de wet, zoals aanwerving, krediet en onderwijs, op van 2 augustus 2026 naar 2 december 2027. Voor AI met een hoog risico die deel uitmaakt van gereguleerde producten, zoals machines of medische hulpmiddelen, wordt dat 2 augustus 2028. De deadline voor de lidstaten om regulatory sandboxes (gecontroleerde testomgevingen) op te zetten, schoof op naar augustus 2027.

Uitgesteld is niet afgeschaft. Wil je AI inzetten bij aanwervingen of bij beslissingen over mensen, dan komen die eisen er hoe dan ook. Ze nu inbouwen is goedkoper dan ze achteraf toevoegen.

Wat een kmo dit jaar best doet

Maak een lijst van de AI tools die je mensen gebruiken, ook de gratis tools in de browser. Noteer per tool waarvoor hij dient en welke data erin gaat.

Spreek korte richtlijnen af: welke tools goedgekeurd zijn, welke data nooit buiten die tools gedeeld mag worden en bij wie je terechtkunt als je twijfelt. Geef je mensen een korte opleiding over hoe de tools werken en waar ze in de fout gaan. Daarmee dek je de kern van AI geletterdheid, en kun je aantonen wat je gedaan hebt.

Ga na of een toepassing raakt aan de lijst met hoog risico, zeker alles rond aanwerving, het evalueren van personeel of beslissingen over klanten. En publiceer je inhoud die met AI gemaakt is, of laat je klanten chatten met een AI, maak dat dan duidelijk voor hen.

Als je AI laat bouwen

Laat je AI inbouwen in je eigen software, vraag de bouwer dan hoe het systeem logt wat het doet, hoe mensen goedkeuren wat belangrijk is en hoe je kunt aantonen waar een antwoord vandaan komt. Dat zijn goede praktijken voor elk systeem, en het is precies wat de wet vraagt voor toepassingen met een hoger risico. Een systeem dat zo gebouwd is, hoeft niet opnieuw gebouwd te worden wanneer de regels strenger worden.