Heb je een chatbot op je website, een AI-telefoonassistent in je praktijk, AI-beelden in je advertenties of software die sollicitaties voorsorteert? Dan geldt de Europese AI-verordening ook voor jou – niet alleen voor OpenAI, Google of Microsoft. Het goede nieuws: voor de meeste mkb-bedrijven zijn de verplichtingen beperkt, voorspelbaar en goedkoop na te leven, zodra je weet welke er gelden en vanaf wanneer. Het slechte nieuws: een deel geldt al sinds februari 2025, en de transparantieregels zijn sinds augustus 2026 van kracht.
Deze gids zet de volledige tijdlijn na de Digital Omnibus op een rij, laat zien waar typische mkb-toepassingen terechtkomen, legt de boetes uit en eindigt met een plan voor 30 dagen dat je zonder eigen juridische afdeling kunt uitvoeren.
De AI-verordening in één alinea
De AI-verordening (Verordening (EU) 2024/1689) reguleert AI op basis van risico. Een korte lijst praktijken is simpelweg verboden. Hoog-risicosystemen – onder meer bij werving, kredietverlening, onderwijs en kritieke infrastructuur – kennen zware verplichtingen. Systemen die met mensen praten of content maken, hebben transparantieplichten. Al het andere is minimaal risico en mag vrij worden gebruikt, binnen het gewone recht zoals de AVG. In juli 2026 nam de EU het Digital Omnibus-pakket aan (Verordening 2026/1744, van kracht sinds 27 juli 2026). Dat schoof de hoog-risicodeadlines op, maar liet de transparantieregels ongemoeid (Cooley, ActuIA).
Eerste vraag: ben je aanbieder of gebruiksverantwoordelijke?
Bijna elke verplichting hangt aan een rol. Begin dus hier.
- Aanbieder is wie een AI-systeem ontwikkelt (of laat ontwikkelen) en het onder eigen naam op de markt brengt of in gebruik neemt – denk aan OpenAI, een SaaS-leverancier van een AI-receptionist of een softwarebedrijf met een eigen AI-product.
- Gebruiksverantwoordelijke (in het Engels deployer) is wie een AI-systeem onder eigen verantwoordelijkheid beroepsmatig gebruikt – de tandartspraktijk met een AI-receptionist, de webshop met een supportbot, de HR-afdeling met een screeningtool.
De meeste mkb-bedrijven zijn gebruiksverantwoordelijke. Je kunt echter ongemerkt aanbieder worden (artikel 25): als je een hoog-risicosysteem onder je eigen naam of merk aanbiedt, het ingrijpend wijzigt, of een algemeen hulpmiddel voor een hoog-risicodoel inzet – bijvoorbeeld een algemene chatbot ombouwt tot een rangschikkingsmachine voor kandidaten. Laat je een bureau een AI-agent op maat bouwen, leg dan in het contract vast wie welke rol heeft.
De tijdlijn na de Digital Omnibus
| Datum | Wat geldt | Wat het betekent voor het mkb |
|---|---|---|
| 2 feb. 2025 | Verboden praktijken (art. 5), waaronder emotieherkenning op het werk en in het onderwijs; AI-geletterdheid (art. 4, door de Omnibus afgezwakt tot „ondersteunende maatregelen”) | Emotie-analyse van medewerkers uitzetten; mensen die AI gebruiken trainen |
| 2 aug. 2025 | Verplichtingen voor aanbieders van AI-modellen voor algemene doeleinden (GPAI) | Vooral je modelleveranciers – zorg dat hun documentatie in je contracten landt |
| 2 aug. 2026 | Transparantie (art. 50): chatbots en voicebots kenbaar maken, machineleesbare markering van synthetische content, labelen van deepfakes | Elke klantgerichte bot en voicebot moet zeggen dat hij AI is; marketing moet realistische synthetische media labelen |
| 2 dec. 2026 | Einde van de overgangstermijn voor markering bij generatieve systemen die vóór 2 aug. 2026 op de markt kwamen; nieuwe verboden (intieme deepfakes zonder toestemming, CSAM) | Acceptable-use-beleid bijwerken; watermerken in tools verwachten |
| 2 dec. 2027 | Hoog-risicosystemen uit bijlage III: werk, krediet, onderwijs, essentiële diensten, biometrie en meer | Wervingstools, scoring- en toelatingssystemen hebben volledige controles nodig |
| 2 aug. 2028 | Hoog-risico-AI in gereguleerde producten (bijlage I: medische hulpmiddelen, machines, voertuigen) | Relevant voor fabrikanten en medtech |
Bronnen: ActuIA, AI Act Explorer, Jones Walker.
Het meest gehoorde misverstand: „de AI Act is uitgesteld”. Dat klopt niet. Alleen de hoog-risicodata zijn verschoven. Draait er vandaag een chatbot op je website, dan geldt de transparantieplicht al.
Waar typische mkb-toepassingen terechtkomen
| Toepassing | Risicoklasse | Belangrijkste plicht | Geldt vanaf |
|---|---|---|---|
| Supportbot op website of WhatsApp | Transparantie | Melden dat de gebruiker met AI praat | 2 aug. 2026 |
| AI-receptionist of voicebot | Transparantie | Kenbaar maken bij de eerste interactie | 2 aug. 2026 |
| AI-advertentiebeelden, avatars, stemklonen | Transparantie (deepfakes) | Zichtbaar label; toestemming van echte personen | 2 aug. 2026 |
| Interne kennisassistent (RAG) | Minimaal | AI-geletterdheid, AVG | al van toepassing |
| Uitlezen van facturen en documenten | Minimaal | AVG, menselijke controle op uitzonderingen | al van toepassing |
| Gesprekskwaliteit: scriptnaleving en resultaat | Minimaal | AVG; geen emotieherkenning | al van toepassing |
| Gesprekskwaliteit met emotie-analyse van medewerkers | Verboden | Uitzetten | sinds 2 feb. 2025 |
| Cv-screening, rangschikking, beoordeling van sollicitatiegesprekken | Hoog risico (bijlage III) | Plichten gebruiksverantwoordelijke, art. 26 | 2 dec. 2027 |
| Kredietscore van consumenten | Hoog risico (bijlage III) | Plichten gebruiksverantwoordelijke, art. 26 en 27 | 2 dec. 2027 |
Dit is een vereenvoudiging: de precieze indeling hangt af van het beoogde doel. Volgens artikel 6, lid 3, kunnen sommige bijlage III-systemen buiten de hoog-risicoklasse vallen als ze alleen een beperkte procedurele taak uitvoeren en een beslissing niet wezenlijk beïnvloeden. Die uitzondering moet je wel beoordelen en vastleggen – aannemen is niet genoeg.
Wat nu al verboden is
Artikel 5 geldt sinds 2 februari 2025. De lijst is kort maar absoluut (volledige tekst):
- manipulatieve of misleidende technieken die aanzienlijke schade veroorzaken;
- misbruik van kwetsbaarheden door leeftijd, handicap of sociaal-economische situatie;
- social scoring;
- het voorspellen van strafbare feiten uitsluitend op basis van profilering of persoonlijkheidskenmerken;
- ongerichte scraping van gezichtsafbeeldingen voor gezichtsherkenningsdatabanken;
- biometrische categorisering om gevoelige kenmerken als religie of seksuele geaardheid af te leiden;
- emotieherkenning op de werkplek en in het onderwijs (art. 5, lid 1, onder f), behalve om medische of veiligheidsredenen.
Over dat laatste verbod struikelen mkb-bedrijven echt. „Sentiment”-dashboards die scoren hoe geïrriteerd of enthousiast callcentermedewerkers klinken, zijn in de VS een populair product. In de EU moet kwaliteitscontrole beoordelen wat er gezegd en gedaan is – scriptnaleving, oplossing, verplichte formuleringen – niet hoe de medewerker zich voelde.
Transparantie sinds 2 augustus 2026
Artikel 50 is de plicht waar de meeste mkb-bedrijven vandaag mee te maken hebben (tekst):
- Bots en voicebots moeten mensen uiterlijk bij de eerste interactie laten weten dat ze met AI communiceren, tenzij dat uit de context duidelijk is.
- Aanbieders van generatieve tools moeten output machineleesbaar markeren. De praktijkcode voor transparantie, die de Commissie als toereikend heeft bevestigd, verwacht minstens twee lagen – bijvoorbeeld ondertekende metadata plus een onzichtbaar watermerk (Reed Smith).
- Gebruiksverantwoordelijken die deepfakes publiceren – realistische synthetische beelden, audio of video – moeten die zichtbaar labelen. Volgens de definitieve richtsnoeren van de Commissie van 20 juli 2026 valt reclame doorgaans niet onder het lichtere regime voor artistiek of satirisch werk (Faegre Drinker).
- Overtredingen van de transparantieplichten kosten tot € 15 miljoen of 3% van de wereldwijde omzet.
Formuleringen, plaatsing en randgevallen behandelen we in onze gids over artikel 50. Bellen je agents ook klanten in de VS, lees dan legale AI-telefoongesprekken: TCPA, AI Act en AVG.
Hoog risico vanaf 2 december 2027: wat gebruiksverantwoordelijken moeten doen
Gebruik je AI om kandidaten te screenen, over promoties te beslissen, kredietwaardigheid te beoordelen of studenten te beoordelen, dan zet je een hoog-risicosysteem in. Het zware werk – risicobeheer, technische documentatie, conformiteitsbeoordeling, CE-markering, registratie – ligt bij de aanbieder. De plichten van de gebruiksverantwoordelijke onder artikel 26 zijn alsnog aanzienlijk:
- Het systeem gebruiken volgens de gebruiksaanwijzing van de aanbieder.
- Menselijk toezicht beleggen bij mensen met de kennis, training en bevoegdheid om in te grijpen.
- Zorgen dat de invoergegevens die je zelf beheert relevant en voldoende representatief zijn.
- De werking monitoren en ernstige incidenten en risico’s melden aan aanbieder en toezichthouder.
- Automatisch gegenereerde logs minstens zes maanden bewaren.
- Werknemers en hun vertegenwoordiging informeren voordat een hoog-risicosysteem op de werkplek wordt ingezet.
- Mensen informeren dat beslissingen over hen door een hoog-risicosysteem worden genomen of ondersteund; zij hebben recht op uitleg (art. 86).
- Waar nodig een DPIA onder de AVG uitvoeren, met de informatie van de aanbieder.
Overheidsinstanties, private partijen die publieke diensten leveren en gebruiksverantwoordelijken die de kredietwaardigheid van consumenten beoordelen of levens- en zorgverzekeringen prijzen, moeten daarnaast een effectbeoordeling voor grondrechten doen (art. 27).
Werving is het hoog-risicodomein dat mkb-bedrijven het vaakst tegenkomen. De overname van Paradox door Workday – een wervingsassistent met 189 miljoen kandidaatgesprekken – laat zien hoe snel deze technologie zich verspreidt (HR Executive). We werken de regels uit in AI bij werving: hoog-risicoregels en veilig gebruik.
Boetes en toezicht
- Verboden praktijken: tot € 35 miljoen of 7% van de wereldwijde jaaromzet.
- De meeste andere overtredingen, waaronder transparantie- en hoog-risicoplichten: tot € 15 miljoen of 3%.
- Mkb en start-ups: het laagste van de twee bedragen geldt (ActuIA).
Handhaving is nationaal geregeld. Duitsland heeft het markttoezicht bijvoorbeeld bij de Bundesnetzagentur belegd, op basis van de KI-MIG-wet die sinds 29 juli 2026 geldt. Boetes zijn ook niet het enige risico: een niet-conforme bot kan door een platform worden geblokkeerd, door een toezichthouder worden aangesproken of door de inkoopafdeling van een grote klant worden afgewezen, lang voordat er een boete komt.
Een plan voor 30 dagen
Week 1 – Inventariseren. Breng elk AI-systeem in gebruik in kaart: SaaS-functies (AI in de helpdesk, CRM-assistenten), maatwerkagents en de browsertools die medewerkers zelf betalen. Schaduw-AI bestaat echt: in de VS komt ongeveer 27% van de uitgaven aan AI-toepassingen uit self-service-aankopen, met privécreditcards erbij bijna 40% (Menlo Ventures). Noteer per systeem: doel, leverancier, verwerkte gegevens, wie er geraakt wordt.
Week 2 – Classificeren. Bepaal per systeem je rol (aanbieder of gebruiksverantwoordelijke) en de risicoklasse (verboden, hoog risico, transparantie, minimaal). Leg de onderbouwing in twee of drie zinnen vast. Zet alles uit wat onder artikel 5 valt.
Week 3 – Geldende plichten invullen. Voeg meldingsteksten toe aan bots en voicebots, labels aan synthetische media, en werk je privacyverklaring bij. Controleer leverancierscontracten: zijn machineleesbare markering, toegang tot logs en gebruiksaanwijzingen geregeld?
Week 4 – Mensen en routekaart. Organiseer een sessie AI-geletterdheid van een uur voor iedereen die AI gebruikt en bewaar de presentielijst. Ook nu de Omnibus artikel 4 heeft afgezwakt, is gedocumenteerde training je beste bewijs van zorgvuldigheid. Maak voor elke hoog-risicokandidaat een routekaart tot december 2027: eigenaar van het toezicht, logging, informatie aan medewerkers en ondernemingsraad, DPIA.
Alles gaat in één map: inventarisatie, classificaties, meldingsteksten, trainingsbewijzen, leveranciersdocumenten. Die map is je antwoord als een klant, auditor of toezichthouder vraagt hoe je met AI omgaat.
Veelgemaakte fouten
- „We gebruiken alleen ChatGPT, de AI Act is voor AI-bedrijven.” Wie AI beroepsmatig gebruikt, is gebruiksverantwoordelijke.
- De Omnibus lezen als algemeen uitstel. Transparantie geldt sinds 2 augustus 2026.
- De verantwoordelijkheid bij de leverancier leggen. Een conforme tool die voor het verkeerde doel of zonder melding wordt gebruikt, blijft jouw probleem.
- „Emotie-AI” in gesprekskwaliteit laten staan. Op de werkplek verboden sinds februari 2025.
- Geen inventarisatie. Wat je niet in kaart hebt, kun je niet classificeren.
- AI Act en AVG los van elkaar behandelen. In de praktijk heeft hetzelfde systeem beide nodig: een DPIA, een verwerkersovereenkomst met leveranciers, bewaartermijnen. Zie AVG voor AI-chatbots.
Compliance als concurrentievoordeel
Europese kopers zijn voorzichtig. Onder Duitse bedrijven die al AI gebruiken, noemt 66% de eisen rond gegevensbescherming en 56% juridische onzekerheid als belemmering (Bitkom). In de hele EU gebruikte in 2025 slechts 17% van de kleine bedrijven AI, tegenover 55% van de grote (Eurostat). Wie een nette inventarisatie, kant-en-klare meldingsteksten en een leveranciersdossier kan laten zien, neemt de belangrijkste bezwaren weg voordat inkoop ze opwerpt – en verkort zo ook de verkoop van eigen AI-diensten.
Conclusie
Voor de meeste mkb-bedrijven komt de AI-verordening neer op vier gewoonten: blijf weg van verboden praktijken, vertel mensen wanneer ze met een machine praten, label realistische synthetische media en bereid je goed voor vóór december 2027 als je AI inzet bij werving, krediet of onderwijs. Daar is geen complianceafdeling voor nodig – wel een inventarisatie, een paar heldere teksten en de discipline om beslissingen vast te leggen.
Lotus Libre bouwt AI-agents en beheerste AI-systemen waarin melding, logging en hosting in de EU vanaf dag één zijn ingebouwd. Wil je weten waar jouw huidige tools op de tijdlijn staan? Plan een gratis audit van 15 minuten – we brengen je systemen in kaart en vertellen je wat er eventueel moet gebeuren.
Dit artikel is algemene informatie en geen juridisch advies. Raadpleeg voor beslissingen over jouw specifieke situatie een gekwalificeerde jurist.