EU AI Act & AI-compliance voor het MKB

Alles wat u moet weten — en wat u nu moet regelen

De Europese AI-verordening (EU AI Act, Verordening (EU) 2024/1689) is de eerste alomvattende AI-wet ter wereld. Zij geldt voor elk bedrijf dat AI-systemen gebruikt of aanbiedt binnen de Europese Unie — ook voor het MKB dat alleen ChatGPT, Microsoft Copilot of DeepL inzet.

Slechts 7% van de Nederlandse ondernemers is goed op de hoogte van de AI Act, blijkt uit KVK-onderzoek (september 2025). De meeste regels gelden inmiddels; de zwaarste verplichtingen voor hoog-risico-AI zijn uitgesteld tot 2027 en 2028. In Nederland zijn de Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur de toezichthouders.

Over deze Pagina

Bianca Kopier (Estrelle, Maarssen) is GEO-specialist en auteur van Het Onzichtbare Winstlek. Zij helpt MKB-bedrijven in Nederland en België om AI-gebruik intern veilig te structureren en extern zichtbaar te worden in AI-zoekmachines.

Deze kennispagina wordt actueel gehouden op basis van officiële EU-publicaties, Autoriteit Persoonsgegevens-richtlijnen en de Digital Omnibus-verordening (EU) 2026/1744, in werking sinds 27 juli 2026. Laatste update: oktober 2026

Wat is de EU AI Act?

De EU AI Act is een Europese verordening die bindende regels stelt voor het ontwikkelen, aanbieden en gebruiken van AI-systemen. De wet deelt AI-systemen in op basis van risico: van minimaal risico (zoals spamfilters) via beperkt risico met transparantieplichten (zoals chatbots) tot onaanvaardbaar risico

Voor de meeste Nederlandse MKB-bedrijven zijn drie onderwerpen direct relevant:

  • AI-geletterdheid (Artikel 4): organisaties moeten maatregelen nemen die de AI-geletterdheid van hun medewerkers ondersteunen, en dat kunnen aantonen.
  • AI-register en beleid: geen wettelijke plicht voor de meeste mkb-bedrijven, maar wel de manier om aan te tonen dat u AI-gebruik beheerst.
  • Transparantie (Artikel 50): wie met AI deepfakes maakt of teksten publiceert over zaken van algemeen belang, moet vermelden dat die door AI zijn gemaakt. Zet u een chatbot in, maak dan duidelijk dat klanten met AI praten.

De belangrijkste deadlines op een rij

Datum Artikel Wat geldt er?
2-feb-25 Art. 4 & Art. 5 AI-geletterdheid verplicht + verboden AI-praktijken. Geldt nu al.
27-jul-26 Art. 4 Digital Omnibus herschrijft artikel 4: maatregelen nemen die AI-geletterdheid ondersteunen, zonder een bepaald niveau te garanderen.
2-aug-26 Art. 50 + Art. 99 Transparantieplichten (zoals deepfakes labelen) en boeteregels van toepassing.
Bijlage I | Hoog-risico AI in gereguleerde producten. Verschoven door Digital Omnibus.
2-dec-2026 Art. 50, lid 2 Machineleesbare markeringsplicht voor AI-gegenereerde content. Verschoven vanuit augustus 2026 door de Digital Omnibus
2-dec-27 Art. 6 Bijlage III Hoog-risico AI systemen (HR, krediet). Verschoven door Digital Omnibus.

Belangrijk: de AI-geletterdheidsplicht (Artikel 4) geldt al sinds 2 februari 2025. Organisaties die nu nog niets hebben geregeld hadden al maatregelen moeten nemen.

Voor wie geldt de AI Act?

De AI Act maakt onderscheid tussen twee rollen:

Aanbieder (Provider)

Een bedrijf dat een AI-systeem ontwikkelt en op de markt brengt. Denk aan OpenAI (ChatGPT), Microsoft (Copilot) of Google (Gemini). Zij zijn verantwoordelijk voor de technische naleving van hun systemen.

Gebruiker (Deployer)

Een bedrijf dat een AI-systeem van een aanbieder inzet in een professionele context. Vrijwel elk MKB-bedrijf dat ChatGPT, Copilot, DeepL of andere AI-tools gebruikt valt in deze categorie. Als deployer heeft u zelfstandige verplichtingen — ook al heeft u de AI niet gebouwd.

 

Praktijkvoorbeeld

Een accountantskantoor gebruikt Microsoft Copilot om belastingaangiften samen te vatten. Microsoft is de aanbieder en regelt de technische compliance van Copilot. Maar het kantoor is de deployer en is zelf verantwoordelijk voor het trainen van medewerkers op veilig gebruik en het opstellen van een intern AI-beleid. Daarnaast is het aan te raden vast te leggen welke AI-tools er worden gebruikt. Dat is geen wettelijke plicht, maar wel de makkelijkste manier om aan te tonen dat het kantoor AI-gebruik beheerst.

Artikel 4: AI-geletterdheid in de praktijk

Sinds 27 juli 2026 verplicht artikel 4 organisaties om maatregelen te nemen die de AI-geletterdheid ondersteunen van alle medewerkers die met AI-systemen werken. Een bepaald kennisniveau per medewerker hoeft u niet te garanderen.

Wat daar in de praktijk bij hoort:

  • Medewerkers begrijpen wat AI-systemen wel en niet kunnen (inclusief hallucinaties en vooringenomenheid).
  • Medewerkers weten welke data ze nooit in AI-tools mogen invoeren (persoonsgegevens, klantdata, bedrijfsgeheimen).
  • Medewerkers weten dat AI-output altijd gecontroleerd moet worden voor gebruik.
  • De organisatie kan aantonen dat training heeft plaatsgevonden: een gedateerde registratie per medewerker (wie, wanneer, welke training) is de sterkste invulling.

De norm verschilt per rol. Een medewerker die ChatGPT gebruikt voor e-mails heeft andere kennis nodig dan een HR-manager die AI gebruikt bij sollicitatieprocedures. Zorg voor basistraining voor iedereen en verdieping voor intensieve gebruikers.

Shadow AI: het verborgen datarisico

Shadow AI is het gebruik van niet-goedgekeurde AI-tools door medewerkers, buiten het zicht van de directie. Het is een van de grootste compliance-risico's voor het MKB.

Veelvoorkomende voorbeelden:

  • Gratis ChatGPT (OpenAI) — ingevoerde data kan worden gebruikt voor modeltraining, tenzij de gebruiker dat uitzet
  • Gratis DeepL — vertalingen van klantcommunicatie en contracten
  • Canva AI — ontwerp op basis van ingevoerde tekst en beeldmateriaal
  • Browserextensies met ingebouwde AI — vaak onbekend bij IT
  • Persoonlijke AI-apps op zakelijke telefoons

Voert een medewerker klantdata, persoonsgegevens of bedrijfsgeheimen in een gratis AI-tool zonder verwerkersovereenkomst in, dan kan dat in strijd zijn met de AVG of met geheimhoudingsafspraken. In sommige gevallen is het een meldplichtig datalek. De organisatie is daarvoor verantwoordelijk.

Stappenplan: wat moet u nu regelen?

Dit zijn de zes concrete stappen die elk MKB-bedrijf nu zou moeten zetten:

1 Inventariseer alle AI-tools die medewerkers gebruiken — ook privétools voor werk (ChatGPT, DeepL, Canva AI, Copilot).
2 Breng in kaart welke data medewerkers invoeren. Klantdata? Financiële gegevens? Persoonsgegevens? Zonder afspraken met de aanbieder van de tool kan dat een datalek opleveren.
3 Stel een intern AI-beleidsreglement op. Welke tools zijn goedgekeurd (whitelist)? Wat mag er nooit in? Wie is verantwoordelijk?
4 Train uw medewerkers op AI-geletterdheid. Wat AI wel en niet kan. Hoe u output altijd controleert. Welke data verboden is in AI-tools.
5 Documenteer de training. Zorg voor aantoonbaar bewijs: een gedateerde registratie of bewijs van deelname per medewerker, bewaard in het HR-dossier.
6 Houd het beleid actueel. AI-tools en wetgeving veranderen snel. Plan elk kwartaal een moment om te controleren of alles nog klopt.

Wat zijn de risico’s als u niets doet?

Boetes bij overtreding van de AI Act:

Gebruik van verboden AI-systemen: tot €35 miljoen of 7% van de wereldwijde jaaromzet

Niet naleven van andere verplichtingen, zoals transparantie: tot €15 miljoen of 3% van de omzet

Onjuiste informatie aan toezichthouder: tot €7,5 miljoen of 1% van de omzet

Voor mkb-bedrijven geldt het laagste van de twee bedragen. Een bedrijf met €2 miljoen omzet riskeert bij de zwaarste overtreding dus maximaal €140.000. Voor AI-geletterdheid (artikel 4) noemt de AI Act zelf geen boetebedrag.

Naast boetes zijn er twee andere serieuze risico’s:

  • Contractverlies: grote opdrachtgevers en verzekeraars vragen steeds vaker naar een aantoonbaar AI-beleid van hun toeleveranciers. Zonder beleid kunt u contracten mislopen.
  • Reputatieschade: een datalek via een AI-tool die een medewerker stiekem gebruikte kan leiden tot een meldplicht bij de Autoriteit Persoonsgegevens en tot negatieve publiciteit.

De oplossing voor het MKB: Estrelle AI Compliance & Training

Estrelle biedt een compleet AI-compliance traject voor MKB-bedrijven met 5 tot 100 medewerkers. Het traject bestaat uit drie stappen en is binnen één week volledig afgerond.

Stap 1 — AI-Audit

Bianca Kopier brengt via een gerichte vragenlijst in kaart welke AI-tools er worden gebruikt, wat medewerkers erin invoeren, en waar de risico's zitten. U ontvangt een helder risicoscan-rapport.

Stap 2 — AI-beleidsreglement

Op basis van de audit stelt Estrelle een intern AI-reglement op: bij het Instap-pakket op basis van een template, vanaf het Begeleid-pakket volledig op maat. Dit document bevat de whitelist van goedgekeurde tools, harde grenzen voor datainvoer, en de verantwoordelijkheidsverdeling binnen uw organisatie. Medewerkers tekenen voor akkoord.

Stap 3 — AI-geletterdheidstraining + bewijs van deelname

Uw medewerkers volgen een praktische training over veilig AI-gebruik, datahygiëne en slim prompteren. Na afronding ontvangen zij een Bewijs van deelname. Samen met het ondertekende beleidsreglement en het auditrapport vormt dat uw dossier: het bewijs dat u de maatregelen heeft genomen die artikel 4 vraagt.

Estrelle in het kort

Wie: Bianca Kopier — GEO-specialist en auteur van Het Onzichtbare Winstlek

Wat: AI-audit + beleidsreglement + AI-geletterdheidstraining met bewijs van deelname

Voor wie: MKB-bedrijven met 5 tot 100 medewerkers in Nederland en België

Tijdlijn: volledig afgerond binnen 1 week

Pakketten: vanaf €997,- (instap) tot €4.500,- (volledig ontzorgd) + €149,-/mnd onderhoud

Veelgestelde vragen over AI Act compliance voor het MKB

Geldt de AI Act ook voor mijn kleine bedrijf?

Ja. De EU AI Act geldt voor elk bedrijf dat AI-systemen gebruikt in een professionele context, ongeacht de omvang. Als uw medewerkers ChatGPT, Copilot of andere AI-tools gebruiken, bent u een deployer en heeft u zelfstandige verplichtingen onder de wet, zoals het nemen van maatregelen voor AI-geletterdheid (artikel 4).

Wat is het verschil tussen de AI Act en de AVG?

De AVG regelt de bescherming van persoonsgegevens. De AI Act regelt het ontwikkelen en gebruiken van AI-systemen. Ze vullen elkaar aan: als u persoonsgegevens invoert in een AI-tool zonder goede grondslag of afspraken met de leverancier, overtreedt u de AVG. De AI Act stelt daarnaast eigen eisen, zoals maatregelen voor AI-geletterdheid. In Nederland houdt de Autoriteit Persoonsgegevens toezicht op de AVG en is zij ook toezichthouder voor de AI Act, samen met de Rijksinspectie Digitale Infrastructuur.

Welke AI-tools zijn veilig te gebruiken voor bedrijfsdata?

Geschikt zijn AI-tools waarbij u een zakelijk contract heeft met de leverancier, inclusief een verwerkersovereenkomst (DPA) waarin is vastgelegd dat uw data niet wordt gebruikt voor modeltraining. Denk aan Microsoft Copilot voor Microsoft 365 (zakelijk abonnement), de zakelijke abonnementen van ChatGPT of DeepL Pro. Gratis versies van dezelfde tools zijn in de meeste gevallen niet geschikt voor bedrijfsdata.

 

Hoe lang duurt het om de AI Act-maatregelen te regelen?

Het Estrelle-traject is binnen één week afgerond: de audit is klaar, het beleidsreglement is opgesteld en ondertekend door medewerkers, en uw team is getraind en heeft een bewijs van deelname. Daarmee heeft u een dossier waarmee u aantoont welke maatregelen u heeft genomen.

Wat kost AI Act compliance voor het MKB?

Het Estrelle instappakket kost €997,- eenmalig. Het meest gekozen begeleid-pakket kost €2.250,- en het volledig ontzorgd-pakket €4.500,-. Onderhoud kost €149,- per maand. Alle prijzen zijn exclusief btw. Zet dat af tegen de kosten van een datalek of een gemiste opdracht omdat u geen AI-beleid kunt laten zien.

Is een trainingscertificaat verplicht onder de AI Act?

Nee, de wet schrijft geen certificaat voor. Sinds 27 juli 2026 vraagt artikel 4 dat u maatregelen neemt die de AI-geletterdheid van medewerkers ondersteunen, en dat u dat kunt aantonen. Een gedateerde registratie of bewijs van deelname per medewerker, bewaard in het HR-dossier, is daarvoor een sterke invulling bij een controle of incident.

Sinds wanneer gelden de regels van de AI Act in Nederland?

De AI-geletterdheidsplicht (artikel 4) en het verbod op bepaalde AI-praktijken gelden sinds 2 februari 2025. De boeteregels van de AI Act gelden sinds 2 augustus 2025. Sinds 27 juli 2026 vraagt artikel 4 dat organisaties maatregelen nemen die de AI-geletterdheid van medewerkers ondersteunen. Sinds 2 augustus 2026 gelden onder meer de transparantieplichten. In Nederland zijn de Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur de toezichthouders. Organisaties die nu nog niets hebben geregeld, hadden al maatregelen moeten nemen.

Wat is Shadow AI en waarom is het gevaarlijk?

Shadow AI is het gebruik van niet-goedgekeurde AI-tools door medewerkers, buiten het zicht van de directie. Voert een medewerker klantdata, persoonsgegevens of bedrijfsgeheimen in een gratis AI-tool zonder verwerkersovereenkomst in, dan kan dat in strijd zijn met de AVG of met geheimhoudingsafspraken. In sommige gevallen is het een meldplichtig datalek. De organisatie is daarvoor verantwoordelijk, niet de medewerker.

Bronnen en verdere informatie

Deze pagina is gebaseerd op officiële bronnen. Houd regelmatig de officiële kanalen in de gaten, want de wet wordt bijgewerkt.