EU AI Act voor het MKB: wat je vóór 2 augustus 2026 geregeld moet hebben

De EU AI Act geldt ook voor kleine bedrijven, maar wat je moet doen hangt af van twee dingen: welke rol je hebt (aanbieder of gebruiksverantwoordelijke) en in welke risicocategorie je AI-toepassing valt. Voor het overgrote deel van het Nederlandse MKB — bedrijven die AI gebruiken in plaats van bouwen — komt het neer op drie verplichtingen: geen verboden toepassingen, aantoonbare AI-geletterdheid bij medewerkers, en transparantie richting klanten wanneer zij met AI te maken hebben. Dat is aanzienlijk minder dan de compliance-verhalen doen vermoeden, maar het is niet nul, en vanaf 2 augustus 2026 wordt er actief op gehandhaafd.

In het kort

• Op 2 augustus 2026 start de actieve handhaving door de nationale toezichthouders.
• Verordening (EU) 2026/1744 (Digital Omnibus) schuift de hoog-risico-eisen naar 2 december 2027 en 2 augustus 2028.
• Uitgesteld zijn de hoog-risico-verplichtingen. Níét uitgesteld: het verbod op onaanvaardbare AI, artikel 4 (AI-geletterdheid) en artikel 50 (transparantie).
• De meeste MKB-bedrijven zijn gebruiksverantwoordelijke, geen aanbieder. Dat scheelt enorm in verplichtingen.
• In Nederland coördineren de AP en de RDI het toezicht, verdeeld over tien markttoezichthouders.
• Voor mkb en start-ups geldt bij boetes het láágste van de twee genoemde bedragen.

Wat is de EU AI Act precies?

De AI Act is Verordening (EU) 2024/1689: Europese wetgeving die AI-systemen indeelt naar risico en per categorie verplichtingen oplegt. Het is een verordening, geen richtlijn — dat betekent dat hij rechtstreeks in Nederland geldt en niet eerst in Nederlandse wetgeving hoeft te worden omgezet. De Nederlandse Uitvoeringswet AI-verordening regelt alleen wie er toezicht houdt en hoe er wordt gehandhaafd, niet wát er moet.

De wet werkt met vier risiconiveaus:

Niveau	Wat het betekent	Voorbeelden	Relevant voor MKB?
Onaanvaardbaar risico	Verboden, punt	Social scoring, emotieherkenning op de werkvloer, manipulatieve systemen	Ja — controleer je HR- en securitytools
Hoog risico	Zware eisen: risicobeheer, datakwaliteit, logging, menselijk toezicht, conformiteitsbeoordeling	AI in werving en selectie, kredietbeoordeling, biometrie, kritieke infrastructuur	Soms — vooral bij recruitmentsoftware
Transparantierisico	Informatieplicht richting gebruikers	Chatbots, AI-gegenereerde teksten en beelden, deepfakes	Ja — dit raakt vrijwel iedereen
Minimaal risico	Geen specifieke verplichtingen	Spamfilters, AI in voorraadprognoses, tekstsuggesties	Ja — hier valt het meeste MKB-gebruik onder

De meeste AI die in een MKB-bedrijf draait — samenvatten, concepten schrijven, mail sorteren, prognoses maken — valt in de onderste twee categorieën. Dat is de belangrijkste geruststelling in dit hele artikel.

Welke deadlines gelden nu écht?

De deadlines zijn in juli 2026 verschoven. Verordening (EU) 2026/1744, het zogeheten Digital Omnibus op AI, werd op 8 juli 2026 vastgesteld, op 24 juli 2026 in het Publicatieblad gepubliceerd en treedt op 27 juli 2026 in werking. Die verordening wijzigt de AI Act en stelt een deel van de verplichtingen uit.

Datum	Wat er ingaat	Gewijzigd?
2 februari 2025	Verbod op onaanvaardbare AI-praktijken (artikel 5) en de AI-geletterdheidsplicht (artikel 4)	Nee
2 augustus 2025	Verplichtingen voor aanbieders van AI-modellen voor algemene doeleinden (GPAI), governance en sanctieregime	Nee
2 augustus 2026	Hoofdmoot van de verordening van toepassing, transparantieplicht artikel 50, start actieve handhaving door nationale toezichthouders	Nee
2 december 2027	Verplichtingen voor zelfstandige hoog-risico AI-systemen (bijlage III)	Ja — was 2 augustus 2026
2 augustus 2028	Verplichtingen voor hoog-risico AI ingebed in gereguleerde producten (bijlage I)	Ja — was 2 augustus 2027

De verwarring in de markt komt door de kop "AI Act uitgesteld". Wat is uitgesteld, is de zwaarste laag: de conformiteitsdocumentatie voor hoog-risico systemen. Wat er op 2 augustus 2026 gewoon aankomt, is de handhaving op alles wat al gold. Als je bedrijf niets met hoog-risico AI doet — en dat geldt voor de meeste MKB-bedrijven — verandert het uitstel voor jou praktisch niets.

Ben je aanbieder of gebruiksverantwoordelijke?

Dit is het onderscheid dat het meest scheelt in werk, en dat het vaakst verkeerd wordt begrepen.

Gebruiksverantwoordelijke (deployer) ben je als je een AI-systeem gebruikt dat iemand anders op de markt heeft gebracht: ChatGPT Team, Microsoft Copilot, de AI-assistent in je CRM, een AI-functie in je boekhoudpakket. Je verplichtingen: het systeem gebruiken volgens de instructies van de leverancier, zorgen voor AI-geletterdheid, menselijk toezicht regelen waar dat vereist is, en transparant zijn richting de mensen die ermee te maken krijgen.

Aanbieder (provider) ben je als je een AI-systeem ontwikkelt of onder je eigen naam of merk op de markt brengt. Dan geldt het volledige pakket: technische documentatie, risicobeheersysteem, datagovernance, logging, conformiteitsbeoordeling en CE-markering bij hoog risico.

Let op de val hierin: je kunt van gebruiksverantwoordelijke naar aanbieder schuiven zonder dat je dat door hebt. Dat gebeurt onder meer als je een bestaand AI-systeem onder je eigen merknaam aan klanten aanbiedt, of als je een systeem zó wezenlijk aanpast dat het doel verandert. Een custom GPT die je intern gebruikt maakt je geen aanbieder. Diezelfde custom GPT als "slimme assistent" in je eigen klantportaal, onder jouw logo, kan dat wel doen.

Wie AI in klantgerichte producten wil verwerken, doet er goed aan die rolvraag expliciet te beantwoorden voordat er gebouwd wordt. Dat is ook precies waar het in een AI Opportunity Audit op tafel komt: niet als juridische toets, maar als ontwerpkeuze met kostengevolgen.

Wat moet je nu concreet regelen? (checklist)

Dit is de minimale set voor een MKB-bedrijf dat AI gebruikt maar niet aanbiedt.

1. Maak een AI-inventarisatie. Zet op één A4 welke AI-toepassingen er in je bedrijf draaien, wie ze gebruikt, welke data erin gaat en van welke leverancier ze zijn. Vergeet de schaduw-IT niet: de gratis ChatGPT-accounts die medewerkers zelf hebben aangemaakt tellen mee. In de praktijk vindt vrijwel elk bedrijf hier meer dan verwacht.

2. Screen op verboden praktijken. Kijk specifiek naar HR- en beveiligingstools. Emotieherkenning op de werkvloer en in het onderwijs is verboden, net als het afleiden van bijzondere persoonsgegevens uit biometrie. Software die "betrokkenheid" of "stemming" van medewerkers meet uit camera- of stemdata is hier het klassieke risicogeval.

3. Regel aantoonbare AI-geletterdheid. Artikel 4 verplicht je om te zorgen dat iedereen die met AI werkt daar voldoende kennis van heeft. Het is een inspanningsverplichting zonder voorgeschreven training of urenaantal, maar je moet kunnen laten zien wát je hebt gedaan en voor wie. Zie het uitgebreide stappenplan voor AI-geletterdheid.

4. Leg intern AI-beleid vast. Geen verplichting op zichzelf, maar wel het document waarmee je alle andere punten aantoonbaar maakt: welke tools mogen, welke data er wel en niet in mag, wie akkoord geeft, wie controleert. Zie AI-beleid opstellen voor de opzet en een voorbeeldstructuur.

5. Regel transparantie voor 2 augustus 2026. Artikel 50 vraagt dat mensen weten wanneer ze met AI te maken hebben. Concreet: een chatbot op je website moet zich als AI kenbaar maken, AI-gegenereerde afbeeldingen en video's die op echt materiaal lijken moeten als zodanig te herkennen zijn, en klanten die een AI-gegenereerd antwoord krijgen mogen daarover niet misleid worden.

6. Check je hoog-risico blootstelling. Doorloop bijlage III op de vraag of je AI gebruikt bij werving en selectie, promotiebeslissingen, kredietverlening of toegang tot essentiële diensten. Zo ja, dan heb je tot 2 december 2027 — maar dan is het wel een traject, geen middagje werk.

7. Leg vast wat je hebt gedaan. Datum, deelnemers, versie van het beleid, welke tools zijn goedgekeurd. Bij een inspectie is "we doen er wel iets aan" geen antwoord; een gedateerd document met namen erin wel.

Wat gebeurt er als je niets doet?

De AI Act kent drie boeteniveaus:

Overtreding	Maximumboete
Verboden AI-praktijken (artikel 5)	€35 miljoen of 7% van de wereldwijde jaaromzet
De meeste andere overtredingen, waaronder artikel 4 en artikel 50	€15 miljoen of 3% van de wereldwijde jaaromzet
Onjuiste of misleidende informatie aan toezichthouders	€7,5 miljoen of 1% van de wereldwijde jaaromzet

Voor mkb en start-ups geldt een expliciete uitzondering: daar wordt het laagste van de twee bedragen gehanteerd, niet het hoogste. Voor een bedrijf met €4 miljoen omzet betekent dat bij een artikel 4-overtreding een theoretisch maximum van 3% — €120.000 — in plaats van €15 miljoen.

Realistisch gezien is een maximumboete voor een MKB-bedrijf dat te goeder trouw AI gebruikt niet het scenario waar je 's nachts van wakker moet liggen. Toezichthouders beginnen bij de grote en de evidente gevallen. Het waarschijnlijker risico is indirect: een aanbestedende partij of een corporate klant die in het inkoopproces vraagt hoe je AI-governance geregeld is, en die het antwoord meeweegt. Die vraag komt sinds 2026 steeds vaker voor in leveranciersvragenlijsten.

Wie handhaaft er in Nederland?

Het Nederlandse toezicht is verdeeld over tien bestaande markttoezichthouders, elk voor het eigen domein. De Autoriteit Persoonsgegevens (AP) en de Rijksinspectie Digitale Infrastructuur (RDI) vervullen daarbij de coördinerende rol. De concept-Uitvoeringswet AI-verordening, die dit verdeelmodel vastlegt, stond van 20 april tot 1 juni 2026 open voor internetconsultatie.

Praktisch: als je AI gebruikt in een gereguleerde sector, is je bestaande toezichthouder waarschijnlijk ook je AI-toezichthouder. Zorginstellingen kijken naar de IGJ, financiële dienstverleners naar AFM en DNB, en de rest komt bij AP of RDI uit.

Veelgemaakte misverstanden

"De AI Act geldt alleen voor techbedrijven." Nee. De wet regelt het gebruik van AI, niet het bouwen ervan. Een installatiebedrijf dat ChatGPT gebruikt voor offerteteksten valt eronder — met, zoals hierboven blijkt, een licht takenpakket.

"Wij gebruiken alleen Microsoft, dus Microsoft regelt dit." Microsoft is aanbieder en regelt de aanbiederskant. De verplichtingen van de gebruiksverantwoordelijke — geletterdheid, correct gebruik, transparantie richting jouw klanten — blijven bij jou liggen.

"Het is uitgesteld, we hebben tot 2027." Alleen de hoog-risico-eisen zijn uitgesteld. Artikel 4 geldt al sinds februari 2025 en de handhaving start op 2 augustus 2026.

"We moeten een AI-officer aanstellen." Nergens verplicht. Wel verstandig om één persoon aan te wijzen die de inventarisatie bijhoudt en nieuwe tools beoordeelt — dat is meestal een bestaande rol met een paar uur per maand erbij, geen nieuwe functie.

"Compliance kost ons maanden." Voor een gebruiksverantwoordelijke zonder hoog-risico toepassingen is de basis in twee tot vier dagdelen te leggen: inventarisatie, screening, beleid, training, vastlegging. De uitzondering is recruitmentsoftware — daar zit wel een echt traject in.

Hoe verhoudt de AI Act zich tot de AVG?

Ze staan naast elkaar en vervangen elkaar niet. De AVG gaat over persoonsgegevens: mag je deze data verwerken, op welke grondslag, hoe lang. De AI Act gaat over het systeem: is deze toepassing toegestaan, hoe risicovol is hij, weten mensen dat het AI is.

In de praktijk raken ze elkaar zodra je persoonsgegevens door een AI-systeem haalt — wat vaak gebeurt. Dan heb je beide nodig: een grondslag en een verwerkersovereenkomst vanuit de AVG, plus de AI-Act-verplichtingen rond geletterdheid en transparantie. Bedrijven die hun AVG-huishouding op orde hebben, hebben het grootste deel van het denkwerk al gedaan; het verschil zit vooral in het documenteren van de AI-laag erbovenop.

Hoe begin je zonder er een compliance-project van te maken?

De valkuil die we het vaakst zien: bedrijven zetten de AI Act op de agenda, schrikken van de omvang, en zetten daarom hun AI-plannen stil. Dat is precies de verkeerde reactie — het levert geen compliance op en wel achterstand.

Een werkbare volgorde:

1. Week 1: inventariseer wat er draait, inclusief schaduwgebruik. Eén A4.
2. Week 2: screen op verboden praktijken en op bijlage III-toepassingen. Meestal is de uitkomst "niets aan de hand", en dan weet je dat.
3. Week 3: schrijf het AI-beleid en laat het door de directie vaststellen.
4. Week 4: train de mensen die met AI werken en leg vast wie wat heeft gevolgd.
5. Doorlopend: nieuwe tool = dezelfde toets, één keer per kwartaal het overzicht bijwerken.

Dat is geen project van maanden. En het heeft een prettig neveneffect: de inventarisatie uit week 1 is precies de input die je nodig hebt om te bepalen welke processen zich lenen voor AI. Compliance en implementatie beginnen bij dezelfde vraag — wat doen we eigenlijk met AI?

Conclusie

De EU AI Act is voor het gemiddelde MKB-bedrijf beter nieuws dan de berichtgeving suggereert. De zware verplichtingen zitten bij aanbieders en bij hoog-risico toepassingen, en die laatste zijn met Verordening (EU) 2026/1744 doorgeschoven naar december 2027. Wat wél nu telt, is de basis: weten wat er draait, geen verboden toepassingen gebruiken, mensen opleiden en transparant zijn. Dat is werk van dagen, niet maanden — en het is werk dat je toch al moest doen om AI serieus in te zetten.

Wil je die inventarisatie combineren met de vraag wat AI in jouw processen zou opleveren, kijk dan naar de AI Opportunity Audit of naar het stappenplan voor AI-implementatie in het MKB.

Bronnen

• Verordening (EU) 2024/1689 (AI Act), volledige tekst
• Digital Omnibus op AI: Verordening (EU) 2026/1744, gepubliceerd 24 juli 2026
• Gibson Dunn — EU AI Act Omnibus Agreement: Postponed High-Risk Deadlines
• Concept-Uitvoeringswet AI-verordening: wat regelt Nederland zelf?
• Binnenlands Bestuur — Nederlands toezicht op AI-verordening bekend

Dit artikel beschrijft de stand van zaken op 27 juli 2026 en is algemene informatie, geen juridisch advies. Bij hoog-risico toepassingen of twijfel over je rol als aanbieder is juridische toetsing aan te raden.