Gebruik je AI in je bedrijf, dan vraagt de AI Act nu twee dingen van je: maatregelen voor de AI-kennis van je mensen (artikel 4, sinds 2 februari 2025) en eerlijkheid naar klanten bij een AI-chat of AI-beeld dat voor echt kan doorgaan (artikel 50, sinds 2 augustus 2026). De zware regels voor AI met hoog risico, zoals AI die sollicitanten beoordeelt, gelden pas vanaf 2 december 2027.
Hieronder staat wat er voor een klein bedrijf echt geldt, wat de wijziging van juli 2026 veranderde, wie in Nederland gaat toezien en wat je deze maand regelt. Elke regel verwijst naar het artikel in de wet, gelezen op EUR-Lex op 6 november 2026.
~/.claude/skills/ (of .claude/skills/ in je project)./ai-paspoort.AGENTS.md in je repo.AGENTS.md.
De AI Act gaat niet op een dag in, maar in stappen. Voor een klein bedrijf dat AI gebruikt zijn twee data nu al voorbij: 2 februari 2025 en 2 augustus 2026. De zware regels voor hoog risico zijn in juli 2026 uitgesteld.
Bron: AI-verordening, geconsolideerde tekst 27-07-2026, artikel 113 en 111, en Verordening (EU) 2026/1744. Gelezen op 6 november 2026.
Ja, zodra je AI beroepsmatig gebruikt. De wet noemt je dan een gebruiksverantwoordelijke: iemand die een AI-systeem onder eigen verantwoordelijkheid gebruikt, tenzij dat voor een louter persoonlijke, niet-beroepsmatige activiteit is (artikel 3, punt 4, en artikel 2, lid 10). Een dakdekker die ChatGPT offertes laat opzetten, een kapsalon met een AI-chat voor afspraken en een webshop die productteksten met Claude schrijft, zijn allemaal gebruiksverantwoordelijke.
Daarnaast kent de wet de aanbieder: wie een AI-systeem ontwikkelt of laat ontwikkelen en het onder eigen naam of merk in de handel brengt of in gebruik stelt (artikel 3, punt 3). OpenAI, Google en Anthropic zijn aanbieder van hun modellen. Een mkb'er wordt dat pas als hij zelf een AI-toepassing bouwt en die onder zijn eigen naam aanbiedt.
Het onderscheid doet ertoe, want de zware plichten liggen bij de aanbieder. Voor de gewone gebruiker blijven er vooral drie dingen over: de AI-kennis van je mensen, eerlijk zijn naar klanten, en niet doen wat verboden is.
Dan is het bureau, of de leverancier van het onderliggende systeem, meestal de aanbieder en ben jij gebruiksverantwoordelijke. Zet je de chatbot onder je eigen naam in en heb je hem zelf samengesteld, dan kun je ook zelf aanbieder zijn. Leg in de opdracht vast wie welke plicht invult, in elk geval de melding dat de klant met AI praat.
Artikel 4 geldt sinds 2 februari 2025. In de huidige tekst nemen aanbieders en gebruiksverantwoordelijken "maatregelen om de ontwikkeling van AI-geletterdheid" te ondersteunen van hun personeel en van anderen die namens hen met AI werken. Ze houden daarbij rekening met kennis, ervaring, opleiding, de gebruikscontext en de mensen op wie de AI wordt toegepast.
De wijziging van juli 2026 maakte dit lichter. Eerst stond er dat je moest zorgen voor "een toereikend niveau". Nu staat er uitdrukkelijk dat je geen bepaald niveau per persoon hoeft te waarborgen. De Europese Commissie schrijft erbij dat er geen certificaat nodig is, geen meetplicht bestaat en geen aparte AI-functionaris verplicht is; een interne registratie van wat je hebt gedaan volstaat (Commissie, vragen en antwoorden over AI-geletterdheid, bijgewerkt 20 oktober 2026).
Hoe je dat in een klein bedrijf praktisch aanpakt, per rol, staat in ons artikel over AI-geletterdheid voor personeel.
Sinds 2 augustus 2026 geldt artikel 50. Het gaat over drie situaties die in het mkb veel voorkomen.
Een AI-chat of AI-telefoonassistent. Iemand die met een AI-systeem praat, moet weten dat het AI is, tenzij dat voor een normaal oplettende persoon al duidelijk is (lid 1). De melding komt uiterlijk bij het eerste contact, duidelijk en toegankelijk (lid 5). Formeel ligt deze plicht bij de aanbieder van het systeem; in de praktijk zorg jij dat de melding in je chatvenster of aan het begin van het gesprek staat.
AI-beeld, -geluid of -video dat voor echt kan doorgaan. Wie dat met AI maakt of bewerkt, maakt bekend dat het kunstmatig is (lid 4, eerste alinea). Bij duidelijk creatief, satirisch of fictief werk volstaat een vermelding die het werk niet in de weg zit. Een AI-foto van een "afgeronde" badkamer in je advertentie hoort er dus een label bij te krijgen.
AI-tekst over zaken van algemeen belang. Publiceer je met AI gemaakte tekst om het publiek te informeren over zaken van algemeen belang, dan meld je dat. Die plicht vervalt als een mens de tekst heeft nagekeken en iemand er redactioneel verantwoordelijk voor is (lid 4, tweede alinea). Een blog die je zelf naleest valt er dus buiten.
Kant-en-klare zinnen voor je website maak je in het gratis AI-paspoort. Draait je site op WordPress, dan zet de AI-transparantie-label plugin een label bij AI-beeld en -tekst.
Dat is een plicht voor de aanbieders: systemen die beeld, geluid, video of tekst genereren, markeren hun uitvoer machineleesbaar (lid 2). Voor systemen die al vóór 2 augustus 2026 op de markt waren, geldt daarvoor 2 december 2026 als uiterste datum (artikel 111, lid 4). Jij als gebruiker hoeft die techniek niet te bouwen.
Hoe de regels uitpakken hangt af van wat je met AI doet. Vier situaties die we bij kleine bedrijven tegenkomen, met het artikel dat erbij hoort.
Gebruiksverantwoordelijke. Zorg dat wie de offertes maakt weet dat AI prijzen en maten kan verzinnen, dat alles nagekeken wordt en dat er geen klantgegevens in gaan zonder afspraak. Dat laatste is ook een AVG-vraag.
Klanten moeten bij het eerste bericht zien dat ze met AI praten, en weten hoe ze een mens bereiken. Leg vast wie de chat beheert en wat hij wel en niet mag toezeggen.
Een realistische AI-foto van een badkamer die nooit gebouwd is, kan voor echt doorgaan. Zet er een label bij, of gebruik foto's van eigen werk.
AI die cv's filtert of kandidaten beoordeelt, valt onder hoog risico (bijlage III, punt 4). Vanaf 2 december 2027 gelden extra plichten, zoals menselijk toezicht en het informeren van kandidaten.
Bron: AI-verordening, geconsolideerde tekst, artikel 4, 26 en 50 en bijlage III. Gelezen op 6 november 2026.
Artikel 5 verbiedt sinds 2 februari 2025 een korte lijst toepassingen. De meeste spelen in een klein bedrijf niet, maar een paar kunnen je zonder dat je het doorhebt raken:
Vanaf 2 december 2026 komen er twee verboden bij, ingevoerd door de wijziging van juli 2026: AI die zonder toestemming seksuele beelden van een herkenbaar persoon maakt, en AI die materiaal van kindermisbruik maakt. Voor een gebruiker is het verbod van toepassing als je het systeem daarvoor gebruikt (artikel 5, lid 1 bis).
De zware regels uit de AI Act gaan over AI met hoog risico. Voor een mkb'er zijn vooral twee categorieën uit bijlage III van belang: AI voor werving en selectie en voor besluiten over personeel, zoals promotie, ontslag, taakverdeling op basis van gedrag en het monitoren van prestaties (punt 4), en AI voor het beoordelen van de kredietwaardigheid van personen (punt 5, onder b).
Die regels gelden sinds de wijziging van juli 2026 pas vanaf 2 december 2027. Gebruik je zo'n systeem, dan moet je het vanaf dan volgens de gebruiksaanwijzing gebruiken, menselijk toezicht opdragen aan iemand met de nodige kennis en bevoegdheid, de werking in de gaten houden, logs minstens zes maanden bewaren, werknemers vooraf informeren en de mensen over wie het systeem beslist laten weten dat het wordt gebruikt (artikel 26).
Niet alles in bijlage III is automatisch hoog risico. Doet het systeem alleen een beperkte, voorbereidende taak zonder wezenlijk risico, dan kan het erbuiten vallen; maar een systeem dat mensen profileert, is altijd hoog risico (artikel 6, lid 3). Die afweging maakt de aanbieder en legt hij vast. Vraag je leverancier ernaar.
Op 27 juli 2026 trad Verordening (EU) 2026/1744 in werking, de "digitale omnibus inzake AI". Daarin zitten vier wijzigingen die een klein bedrijf merkt:
Let op als je elders leest: niet elke officiële pagina is al bijgewerkt. De themapagina van de Autoriteit Persoonsgegevens noemde op 6 november 2026 nog de oude tijdlijn en de oude tekst van artikel 4. De wettekst gaat voor.
Nederland regelt het toezicht in een eigen uitvoeringswet. Het kabinet legde die van 20 april tot en met 1 juni 2026 voor in internetconsultatie. Het voorstel: tien bestaande toezichthouders, waarvan de Autoriteit Persoonsgegevens (AP) en de Rijksinspectie Digitale Infrastructuur (RDI) samen coördineren en de RDI het centrale contactpunt wordt. De AP krijgt de verboden praktijken, de transparantieregels van artikel 50 en AI voor werk en personeel (Kamerbrief van 20 april 2026).
Die wet is nog niet in werking. De AP schreef op 9 oktober 2026 dat zij "beoogd markttoezichthouder" is, maar nog niet aangewezen, en pas bevoegdheden heeft als de uitvoeringswet geldt (AP, 9 oktober 2026). Het kabinet benadrukt dat de verordening intussen gewoon rechtstreeks geldt.
De boetes staan in artikel 99: tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet voor verboden praktijken, en tot 15 miljoen euro of 3 procent voor onder meer de plichten van artikel 26 en artikel 50. Voor een kmo geldt telkens het laagste van de twee bedragen (lid 6). Voor artikel 4 noemt de verordening geen eigen boetemaximum; dat laat de wet aan het nationale recht.
Dat staat niet expliciet in het voorstel van het kabinet. De Europese Commissie zegt dat de nationale markttoezichthouders vanaf 2 augustus 2026 toezien op artikel 4 en dat sancties op nationaal recht rusten. Zolang de uitvoeringswet niet geldt, is in Nederland niemand formeel aangewezen.
Vijf stappen, in de volgorde die het meeste oplevert. De eerste vier gelden voor iedereen die AI gebruikt; de vijfde alleen als je AI inzet voor personeel of krediet.
Stap 1 tot 4 maak je in een keer met het gratis AI-paspoort: register, beleid, plan per rol en website-teksten.
De Europese Commissie heeft een AI Act Service Desk met een Compliance Checker en een contactformulier, uitdrukkelijk ook voor startups en het mkb. Over artikel 4 staat een uitgebreide vraag-en-antwoordpagina die na de wijziging van juli 2026 is bijgewerkt. De Autoriteit Persoonsgegevens publiceerde twee handreikingen over AI-geletterdheid: "Aan de slag met AI-geletterdheid" (januari 2025) en "Verder bouwen aan AI-geletterdheid" (oktober 2025). Die verschenen vóór de wijziging van artikel 4; lees ze als praktische inspiratie, niet als de huidige norm.
Dit artikel is geen juridisch advies. Het volgt de wettekst zoals die op 6 november 2026 op EUR-Lex stond. Twijfel je over een concrete toepassing, zeker bij AI voor personeel of krediet, laat dan meekijken door iemand die je situatie kent.
Ja, als je het voor je werk gebruikt. Je bent dan gebruiksverantwoordelijke. Voor jou gelden vooral artikel 4 (maatregelen voor de AI-kennis van wie ermee werkt), artikel 50 als klanten met AI in aanraking komen, en de verboden van artikel 5. Persoonlijk, niet-beroepsmatig gebruik valt erbuiten.
Nee, een cursus is niet verplicht. Artikel 4 vraagt maatregelen die passen bij hoe je AI gebruikt. De Europese Commissie zegt dat er geen certificaat nodig is en dat een interne registratie van wat je deed volstaat. Een kort gesprek per rol, vastgelegd met naam en datum, is voor veel kleine bedrijven genoeg.
Niet in het algemeen. Wel als een klant met een AI-chat of AI-telefoon praat, bij AI-beeld, -geluid of -video dat voor echt kan doorgaan, en bij ongecontroleerde AI-tekst over zaken van algemeen belang. Een tekst die je zelf nakijkt en waarvoor je verantwoordelijk bent, valt buiten die laatste plicht.
Na de wijziging van juli 2026 vanaf 2 december 2027 voor de toepassingen uit bijlage III, zoals werving en selectie en kredietwaardigheid, en vanaf 2 augustus 2028 voor AI in producten uit bijlage I.
De verordening geldt rechtstreeks, maar in Nederland is de uitvoeringswet nog niet in werking en is de toezichthouder nog niet formeel aangewezen (stand 9 oktober 2026). Boetes zijn voor kmo's begrensd op het laagste van een vast bedrag of een percentage van de omzet, en lidstaten moeten rekening houden met de levensvatbaarheid van kleine bedrijven. Wachten is geen plan: de plichten gelden al.
De AI Act lijkt groot, maar voor de meeste kleine bedrijven komt het neer op vier dingen: weten welke AI je gebruikt, afspreken hoe, je mensen uitleggen waar ze op letten, en eerlijk zijn naar klanten. Dat kun je vandaag nog op papier zetten.
Het gratis AI-paspoort maakt die vier stukken in je browser, zonder account en zonder dat er iets wordt opgeslagen. Wil je dat je website de meldingen meteen goed heeft staan, plan dan een gesprek.