De AI Act voor het mkb: wat u nu écht moet regelen (checklist 2026)

De vier risicocategorieën, en waar MKB-toepassingen echt vallen

De EU AI-verordening is opgebouwd rond een risicopiramide. Welke verplichtingen voor uw bedrijf gelden, hangt volledig af van de categorie waarin elk AI-gebruik valt — dus deze classificatie moet u eerst goed hebben voordat u iets anders doet.

• Onaanvaardbaar risico (verboden). Een korte lijst van verboden praktijken, waaronder social scoring door overheden, manipulatieve technieken die kwetsbaarheden misbruiken, en het ongericht scrapen van gezichtsafbeeldingen voor herkenningsdatabases. Doet u dit? Stop — geen enkel nalevingsdocument maakt het legaal.
• Hoog risico. AI in gevoelige domeinen: werving en cv-selectie, kredietscoring, biometrische identificatie, en veiligheidsonderdelen van gereguleerde producten. Deze categorie draagt de zware verplichtingen — risicobeheer, datagovernance, menselijk toezicht, logging en conformiteitsbeoordeling.
• Beperkt risico. Systemen die met mensen communiceren of content genereren. De verplichting hier is transparantie, geen volledig nalevingsregime. De meeste klantgerichte MKB-automatisering valt hier.
• Minimaal risico. Al het andere — spamfilters, voorraadprognoses, de meeste backofficeautomatisering. Geen specifieke verplichtingen onder de verordening.

De eerlijke werkelijkheid voor het typische Nederlandse MKB: het meeste van uw AI valt onder minimaal of beperkt risico. Een chatbot, een documentsamenvatter, een e-mailopsteller, een prognosemodel — die zijn niet hoog-risico. U komt pas in hoog-risicogebied wanneer AI helpt beslissen wie wordt aangenomen, wie krediet krijgt, of wie iemand is (biometrie). Herkent u dat? Neem het serieus. Zo niet, laat u dan geen hoog-risico-nalevingstraject aansmeren dat u niet nodig heeft. Niet zeker waar een specifiek gebruik valt? Daar is een AI-scan precies voor.

De transparantieplichten die bijna elk MKB raken

Zelfs bij beperkt risico raken drie transparantieverplichtingen een groot deel van de gewone bedrijven:

• Label uw chatbots en AI-agents. Wanneer iemand met een AI-systeem communiceert, moet dat kenbaar zijn — tenzij het uit de context overduidelijk is. Een supportbot op uw site moet duidelijk maken dat het een bot is.
• Markeer AI-gegenereerde content. Synthetische tekst, beeld, audio en video moeten herkenbaar zijn als machinaal gemaakt, waar mogelijk machinaal leesbaar.
• Meld deepfakes. Publiceert u AI-gegenereerde of gemanipuleerde media die echte personen of gebeurtenissen nabootsen, dan moet u vermelden dat het kunstmatig is.

Dit kost weinig moeite maar wordt makkelijk vergeten. Eén regel disclosure op uw chatbot en de gewoonte om AI-marketingmateriaal te labelen dekt het grootste deel.

Het gefaseerde tijdpad — controleer de actuele tekst

De verordening treedt niet in één keer in werking; ze wordt over meerdere jaren gefaseerd ingevoerd. In grote lijnen: ze is in augustus 2024 in werking getreden. De verboden op verboden praktijken en de AI-geletterdheidsplichten golden als eerste, begin 2025. Regels voor AI-modellen voor algemene doeleinden (GPAI) volgden in augustus 2025. Het gros van de hoog-risicoverplichtingen wordt gefaseerd van kracht in 2026 en 2027. Omdat exacte toepassingsdata en overgangstermijnen zijn verschoven en nog kunnen worden aangepast, plan geen budget op een uit het hoofd genoemde datum — controleer de actuele tekst van de verordening en eventuele Nederlandse uitvoeringsrichtlijnen voordat u rond een deadline plant.

AI-geletterdheid, en hoe de verordening naast de AVG staat

AI-geletterdheid is een lopende verplichting, geen toekomstige. Aanbieders en gebruiksverantwoordelijken moeten zorgen dat medewerkers die met AI-systemen werken voldoende begrijpen hoe die werken en welke risico's ze meebrengen. Voor een MKB is dit proportioneel — een korte interne training en een geschreven beleid, geen universitaire cursus. Onze gids voor het opstellen van een AI-beleid beschrijft wat in dat document hoort.

De AI-verordening vervangt de AVG niet — de twee lopen parallel. Verwerkt uw AI persoonsgegevens (en dat doet de meeste), dan heeft u nog steeds een rechtsgrondslag, dataminimalisatie en vaak een DPIA nodig. De AI-verordening komt daar bovenop; ze neemt geen enkele privacyplicht weg. Behandel ze als één gecombineerd programma, niet als twee concurrerende.

Boetes, en een praktische methode in vijf stappen

De boetes zijn gestructureerd naar ernst. De hoogste categorie bedraagt tot €35 miljoen of 7% van de wereldwijde jaaromzet, afhankelijk van welke hoger is, voor verboden praktijken. Lagere categorieën gelden voor andere overtredingen. Voor een MKB gaat het niet om het krantenkopbedrag maar om het principe: krijg de classificatie en documentatie goed en u blijft ruim uit de buurt van handhaving.

Een methode die elk MKB kan uitvoeren:

• 1. Inventariseer. Noteer overal waar AI uw bedrijf raakt — gekochte tools, ingebouwde functies, en alles wat u zelf bouwde.
• 2. Classificeer. Wijs elk gebruik toe aan een categorie: verboden, hoog, beperkt of minimaal.
• 3. Pas toe. Koppel de verplichtingen aan de categorie — transparantielabels bij beperkt, het volledige regime alleen waar u werkelijk hoog-risico bent.
• 4. Documenteer. Leg de inventaris, de classificaties en uw redenering vast. Documentatie is uw verdediging.
• 5. Wijs een eigenaar aan. Eén met naam genoemde persoon die verantwoordelijk is om het register actueel te houden als tools en regels veranderen.

Dat is voor de meeste MKB een dag gestructureerd werk, geen nalevingsafdeling. Wilt u een tweede paar deskundige ogen op de classificatie, dan is onze AI-voor-MKB-dienst daarvoor gemaakt.