Sinds 27 juli 2026 kent de AI Act een tweede groottecategorie. Small mid-cap enterprises, of SMC's, zijn bedrijven die de mkb-definitie zijn ontgroeid maar nog minder dan 750 mensen in dienst hebben. Zij krijgen nu een deel van de verlichting die de AI Act voor het mkb had gereserveerd. Niet alles. Vier van de regelingen die voor een Nederlands bedrijf van 250 tot 500 medewerkers het meeste uitmaken zijn bewust buiten de uitbreiding gehouden, en een daarvan gaat over boetes.
Wat is een small mid-cap onder de AI Act?
De categorie komt uit Aanbeveling (EU) 2025/1099 van 21 mei 2025. Punt 2 van de bijlage omschrijft een small mid-cap als een onderneming die geen mkb-bedrijf is, minder dan 750 mensen in dienst heeft, en ofwel een jaaromzet van maximaal 150 miljoen euro ofwel een balanstotaal van maximaal 129 miljoen euro.
Het woord om twee keer te lezen is "ofwel". Overweging 11 van de Aanbeveling zegt dat een onderneming pas buiten de categorie valt als zowel de omzet als het balanstotaal de plafonds overschrijdt. Een groothandel met 120 miljoen euro omzet en een lichte balans is dus nog steeds een SMC. Een maakbedrijf met een zware balans en bescheiden omzet ook. De meeste bedrijven in deze band halen een van de twee tests ruim, waardoor het aantal medewerkers in de praktijk beslist.
Verordening (EU) 2026/1744, de Digital Omnibus voor AI, heeft dit via een verwijzing in artikel 3 van de AI Act gezet als nieuw punt (14b), naast een nieuw punt (14a) dat het mkb-begrip eindelijk definieert onder verwijzing naar Aanbeveling 2003/361/EG. Vóór 27 juli 2026 gebruikte de AI Act het begrip mkb overal zonder het ooit te definiëren. De factsheet van de Commissie schat de populatie op ongeveer 38.000 bedrijven in de hele EU en noemt het probleem dat wordt opgelost een "cliff edge" bij 249 medewerkers.
Welke verlichting krijgen small mid-caps echt?
Elf bepalingen noemen nu SMC's. De twee met praktisch gewicht zijn deze.
- Vereenvoudigde technische documentatie. Artikel 11(1) staat mkb-bedrijven en SMC's toe de elementen van bijlage IV vereenvoudigd aan te leveren, via een formulier dat de Commissie moet publiceren. Aangemelde instanties zijn verplicht dat formulier te accepteren. Let op de formulering: kiest u de vereenvoudigde route, dan moet u het formulier gebruiken en niet uw eigen ingekorte versie. Het formulier was bij het schrijven van dit stuk nog niet gepubliceerd.
- Een lager boeteplafond, gedeeltelijk. Een nieuw artikel 99(6a) geeft SMC's bij de boetes van artikel 99(4) en (5) het laagste van het percentage of het vaste bedrag, in plaats van het hoogste van de twee dat voor grote ondernemingen geldt.
De rest is zachter. Artikel 17(2) bepaalt dat een kwaliteitsmanagementsysteem proportioneel moet zijn aan de omvang van de aanbieder, en noemt SMC's nu expliciet. Artikel 99(1) draagt lidstaten op de economische levensvatbaarheid van een SMC mee te wegen bij het bepalen van sancties. De artikelen 70(8), 95(4) en 96(1) sturen autoriteiten aan om voorlichting op SMC's te richten. Een nieuw artikel 57(3a) staat het AI Office toe een sandbox op Unieniveau op te zetten met voorrang voor SMC's, maar alleen voor systemen die onder artikel 75(1) vallen: systemen gebouwd op een general-purpose model dat dezelfde aanbieder ook levert. Een middenbedrijf dat zijn modellen inkoopt komt daar niet voor in aanmerking. Nuttig op punten, maar geen van deze bepalingen is een vrijstelling van een verplichting.
Welke mkb-verlichting krijgen SMC's nog steeds niet?
Hier is de berichtgeving over de omnibus onzorgvuldig geweest. "Mkb-vrijstellingen uitgebreid naar small mid-caps" was de gangbare samenvatting. Vier belangrijke zijn niet uitgebreid.
- Artikel 63, de uitzondering voor het kwaliteitsmanagementsysteem. De omnibus heeft dit wel verbreed, van micro-ondernemingen naar alle mkb-bedrijven inclusief start-ups, en overweging 28 legt dat uit als hulp aan "meer innovatoren". SMC's zijn er niet bij gezet. Een bedrijf met 300 mensen is geen mkb-bedrijf, dus de enige bepaling die een inhoudelijke verplichting echt verlicht komt er niet aan toe.
- Het boeteplafond van artikel 99(6). Mkb-bedrijven krijgen de laagste-van-twee behandeling bij artikel 99(3), (4) en (5). De nieuwe SMC-regel dekt alleen (4) en (5). Lid 3 is de boete voor verboden praktijken van 35 miljoen euro of 7 procent van de wereldwijde omzet. Voor een SMC geldt daar nog steeds het hoogste van die twee bedragen.
- Gratis toegang tot de sandbox. Artikel 58(2)(d) maakt nationale sandboxen kosteloos voor mkb-bedrijven inclusief start-ups. Dat artikel is niet gewijzigd.
- Artikel 62 in zijn geheel. Voorrang bij nationale sandboxen en proportioneel verlaagde kosten voor conformiteitsbeoordeling onder artikel 43 staan beide in artikel 62, en de omnibus heeft dat artikel helemaal niet aangeraakt.
De eerlijke samenvatting is dus smaller dan de koppen: een SMC krijgt lichter papierwerk en een zachter plafond op de meeste boetes. Geen inhoudelijke uitzondering, geen goedkoopste route naar een sandbox, en geen korting op de conformiteitsbeoordeling.
Waarom u de kop over "1.000 medewerkers" moet negeren
Wie dit dossier in de zakelijke pers volgde heeft misschien het getal 1.000 in zijn hoofd. Dat komt uit een ander wetgevingstraject. De Single Market Omnibus, ook Omnibus IV genoemd, wil SMC's definiëren als bedrijven onder 1.000 medewerkers met maximaal 200 miljoen euro omzet of 172 miljoen euro aan activa. Onderhandelaars van Parlement en Raad bereikten op 9 juni 2026 een voorlopig akkoord.
Voorlopig is het sleutelwoord. Die tekst moet nog formeel worden aangenomen door beide instellingen en in het Publicatieblad verschijnen. Belangrijker: hij grijpt aan op MiFID II, de Prospectusverordening, de AVG-regels over registerplichten en de richtlijn kritieke entiteiten, in een pakket dat ook de batterijzorgplicht en het F-gassenportaal herziet. Hij wijzigt de AI Act niet. De AI Act verwijst naar Aanbeveling 2025/1099, dus voor de AI Act is de grens 750 medewerkers. Een bedrijf met 900 mensen dat over SMC-verlichting leest, leest over kapitaalmarkten en F-gassen, niet over zijn AI-project.
Kan een Nederlandse holdingstructuur u de verlichting kosten?
Zeer wel mogelijk, en dit is de controle die u als eerste zou moeten doen. De SMC-definitie neemt de machinerie van de mkb-definitie over: zelfstandige, partner- en verbonden ondernemingen, met een deelneming van 25 procent als drempel, en consolidatie van medewerkers en cijfers over verbonden ondernemingen. Punt 3.3 van de bijlage sluit daarnaast elke onderneming uit waarin overheidsinstanties 25 procent of meer van het kapitaal of de stemrechten houden, behoudens de uitzonderingen voor investeerders in punt 3.4.
Voor Nederlandse bedrijven weegt dit zwaarder dan in veel andere lidstaten, omdat de holding-bv hier de standaardstructuur is en niet de uitzondering. Een werkmaatschappij met 300 mensen onder een holding die ook drie zusterbedrijven bezit, wordt beoordeeld op de groep en niet op de loonlijst van de entiteit die het softwarecontract ondertekende. Tel de groep voordat u uw eigen personeel telt.
Er is een mogelijk tegenwicht, en het is goed te weten hoe zwak het is. Overweging 15 van de Aanbeveling stelt dat venture capital- en private-equityfondsen niet als verbonden onderneming gelden wanneer de onderneming en het fonds gescheiden boekhoudingen aanhouden en het fonds een vooraf bepaalde exitstrategie heeft. De bijlage zelf is minder ruim. Punt 3.4 maakt die uitzondering voor investeerders afhankelijk van de voorwaarde dat de investeerder niet verbonden is onder punt 3.5, en punt 3.5(a) is juist het houden van een meerderheid van de stemrechten. Een minderheidsbelang is verdedigbaar op grond van de overweging. Een meerderheidsbelang is een discussie, geen gegeven.
Artikel 63 gaat nog verder en sluit iedereen uit die überhaupt partner- of verbonden ondernemingen heeft. Die uitsluiting is de omnibus ongewijzigd doorgekomen, dus een bedrijf in groepsverband krijgt niets uit artikel 63, ook niet als het qua omvang ruim binnen de mkb-definitie valt.
Wat dit betekent voor een Nederlands AI-project in het middenbedrijf
Begin bij een taalprobleem. Het CBS verdeelt Nederlandse bedrijven in zzp, microbedrijf van 2 tot 10 werkzame personen en klein- en middenbedrijf van 10 tot 250. Alles daarboven is grootbedrijf. In elk Nederlands gesprek dat een bedrijf met 300 mensen voert, met de bank, de accountant, de branchevereniging of het statistiekbureau, is het een grootbedrijf. Brussel heeft nu een categorie gemaakt die zegt dat het bijna een mkb-bedrijf is, en niets in de Nederlandse context zal daarop wijzen. Dat gat is precies de reden dat deze verlichting onbenut zal blijven.
Bij de sandbox merkt u het het snelst. Het kabinet bracht de uitvoeringswet AI-verordening op 20 april 2026 in internetconsultatie, open tot 1 juni 2026, met een hybride model waarin bestaande sectortoezichthouders binnen hun eigen domein toezicht houden op AI, en de Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur coördineren. Komt er een Nederlandse sandbox, dan arriveert een SMC zonder de gratis toegang van artikel 58(2)(d) en zonder de voorrang van artikel 62(1)(a). Reken op de kosten en op de wachtrij.
Over de timing worden twee data vaak verward. Hoogrisicoverplichtingen uit bijlage III gelden nu vanaf 2 december 2027 en systemen in producten uit bijlage I vanaf 2 augustus 2028. De transparantieplicht van artikel 50 is niet uitgesteld. Die geldt sinds 2 augustus 2026, ongeacht wanneer het systeem op de markt kwam. Wat op 2 december 2026 staat is smaller dan het lijkt. Het nieuwe artikel 111(4) geeft aanbieders van systemen die synthetische audio, beeld, video of tekst genereren en die vóór 2 augustus 2026 op de markt waren, tot die datum om te voldoen aan artikel 50(2): de machineleesbare markering van synthetische output, en niets anders. Over de plicht uit artikel 50(1) om mensen te vertellen dat zij met een machine te maken hebben zegt het niets, en die geldt al sinds augustus. Gebruikt u een ingekochte assistent in plaats van er zelf een te leveren, dan raakt artikel 111(4) u helemaal niet. Dezelfde datum draagt ook de nieuwe verboden op niet-consensueel intiem beeldmateriaal. Onze uitleg over artikel 50 beschrijft hoe die vermelding eruit moet zien.
Wat te doen vóór 2 december 2027
- Stel het groepsaantal vast. Consolideer verbonden ondernemingen en toets de 25-procentregel voor overheidsdeelnemingen. Dit is een middag met uw accountant en het bepaalt al het overige.
- Scheid aanbieder van gebruiksverantwoordelijke. De meeste bedrijven in het middenbedrijf gebruiken ingekochte systemen in plaats van er zelf een op de markt te brengen. De plichten van artikel 26 zijn een andere en kortere lijst, en de documentatieverlichting van artikel 11 is een voordeel voor aanbieders. Onze risicochecker doorloopt de classificatie.
- Wacht niet op het vereenvoudigde formulier. De inhoud van bijlage IV krimpt niet, alleen de presentatie. Verzamel het onderliggende materiaal nu en herformatteer later.
- Leg de maatregelen voor artikel 4 vast. De plicht rond AI-kennis is niet afhankelijk van omvang en geldt al sinds februari 2025, al heeft de omnibus hem verzacht van het waarborgen van voldoende AI-kennis naar het nemen van maatregelen om die te bevorderen. Schrijf op wat u hebt gedaan.
De status van small mid-cap is het claimen waard, en het nauwkeurig claimen waard. Hij verschuift papierwerk en verzacht de meeste boetes. Hij haalt geen enkel systeem uit de hoogrisicobijlagen. Behandel de classificatie als een poort op de weg van pilot naar productie en niet als administratie: bepaal nu welke interne functie het materiaal voor bijlage IV bezit en wie het aftekent, want dat is de vraag waarop een uitrol in het middenbedrijf in jaar twee vastloopt. Wilt u de classificatie vastleggen vóór december 2027, dan zijn onze AI Act-checklist voor het middenbedrijf en de dienst toegepaste AI voor organisaties van 250 tot 500 fte de twee plekken om te beginnen. Voor het bredere omnibusbeeld: onze eerdere analyse van de Digital Omnibus.
Laatst bijgewerkt: 17 september 2026.
Onze AI Act-check (€950, vaste prijs) geeft binnen een week uw risicoclassificatie, verplichtingen en een concrete to-dolijst, inclusief wat u gerust kunt negeren.
Bekijk de AI Act-check →