EU AI Act: wat betekent het voor jouw bedrijf?

Wat is de EU AI Act?

De EU AI Act is de Europese wet die regels stelt aan het ontwikkelen en gebruiken van AI-systemen. De officiële naam is Verordening (EU) 2024/1689, in het Nederlands de AI-verordening. De wet is op 1 augustus 2024 in werking getreden en geldt rechtstreeks in alle EU-lidstaten.

De wet werkt met risiconiveaus: hoe groter het risico van een toepassing voor veiligheid, gezondheid of grondrechten, hoe strenger de regels. De regels gelden voor aanbieders die AI-systemen op de markt brengen en voor gebruiksverantwoordelijken, de organisaties die AI beroepsmatig inzetten. Gebruik je ChatGPT, Claude of een AI agent in je bedrijf, dan val je in die tweede groep.

Dit artikel beschrijft wat de regels vragen, met als peildatum oktober 2026. Het is algemene informatie. Leg je eigen situatie voor aan een jurist.

Wanneer gaat de EU AI Act in?

De EU AI Act gaat gefaseerd in: de eerste regels gelden sinds 2 februari 2025 en de laatste vanaf 2 augustus 2028.

Bron: Europese Commissie, stand augustus 2026.

Wat is er in 2026 veranderd aan de EU AI Act?

In 2026 heeft de EU de AI Act aangepast met de AI Omnibus, Verordening (EU) 2026/1744, die op 27 juli 2026 in werking is getreden. De Europese Commissie deed het voorstel op 19 november 2025 en op 7 mei 2026 volgde een politiek akkoord.

De wijzigingen die je als ondernemer raken:

• Hoog-risico regels gaan later in. De regels voor hoog-risico AI uit bijlage III gelden vanaf 2 december 2027. De oorspronkelijke datum was 2 augustus 2026. Voor AI in producten uit bijlage I wordt het 2 augustus 2028.
• AI-geletterdheid is anders geformuleerd. Artikel 4 vraagt nu dat je maatregelen neemt om de AI-geletterdheid van je mensen te ontwikkelen. Een bepaald niveau schrijft de wet niet meer voor.
• Er is een negende verbod. AI-systemen die zonder toestemming seksueel expliciete of intieme beelden maken, of materiaal van seksueel kindermisbruik, worden verboden. Dat verbod gaat in december 2026 in.
• Meer bedrijven vallen onder de lichtere regels. Vereenvoudigingen voor het mkb gelden nu ook voor small mid-caps, waaronder eenvoudigere technische documentatie.

Oudere artikelen noemen voor hoog-risico AI nog augustus 2026 en augustus 2027. Die data zijn sinds de wijziging achterhaald.

Welke risiconiveaus kent de EU AI Act?

De EU AI Act kent vier risiconiveaus: onaanvaardbaar risico, hoog risico, transparantierisico en minimaal risico.

Onaanvaardbaar risico. Deze praktijken zijn verboden. Voorbeelden zijn social scoring, schadelijke manipulatie, emotieherkenning op de werkplek en in het onderwijs, en het ongericht verzamelen van gezichtsbeelden van internet of camerabeelden voor herkenningsdatabases.

Hoog risico. Dit zijn toepassingen met grote gevolgen voor mensen. De Commissie noemt onder meer software die cv's sorteert bij werving, kredietscores die bepalen of iemand een lening krijgt, het beoordelen van examens en veiligheidscomponenten in kritieke infrastructuur. Voor deze systemen gelden eisen aan risicobeheer, datakwaliteit, logging, documentatie, menselijk toezicht en robuustheid.

Transparantierisico. Dit niveau wordt vaak beperkt risico genoemd. Het gaat om systemen waarbij mensen moeten weten dat ze met AI te maken hebben, zoals chatbots en AI-gegenereerde beelden en teksten.

Minimaal risico. Hieronder valt volgens de Commissie het overgrote deel van de AI-systemen in de EU, zoals spamfilters. De AI Act stelt hier geen eigen regels aan. Andere wetten, zoals de AVG, blijven gelden.

Volgens de Autoriteit Persoonsgegevens is het je eigen verantwoordelijkheid om te beoordelen in welke risicogroep een systeem valt dat je ontwikkelt of gebruikt.

Wat regel je als ondernemer voor de EU AI Act?

Als ondernemer regel je vijf dingen: een overzicht van je AI-gebruik, een risico-indeling, transparantie, AI-geletterdheid en bij hoog-risico AI de gebruikersplichten.

Stap 1: maak een overzicht. Zet op een rij welke AI-tools en AI-functies je bedrijf gebruikt, ook de functies die in je CRM, HR-software of boekhoudpakket zitten.

Stap 2: deel elke toepassing in. Bepaal per toepassing het risiconiveau. Gebruik je AI bij werving en selectie of bij kredietbeoordeling, kijk dan of de toepassing in bijlage III staat.

Stap 3: regel transparantie. Zorg dat mensen die met je AI agent of chatbot communiceren weten dat het AI is. Maak je deepfakes of publiceer je AI-teksten over zaken van publiek belang, dan vraagt artikel 50 dat je dat kenbaar maakt.

Stap 4: werk aan AI-geletterdheid. Leg vast wie met welke AI-systemen werkt en welke kennis daarvoor nodig is. Met de AI-geletterdheid test zie je waar je team staat.

Stap 5: volg de gebruikersplichten bij hoog-risico AI. Gebruik het systeem volgens de gebruiksaanwijzing van de aanbieder, organiseer menselijk toezicht, gebruik relevante invoerdata en meld incidenten bij de aanbieder en de toezichthouder. Deze plichten gelden vanaf 2 december 2027.

Welke regels gelden voor modellen zoals ChatGPT en Claude?

Voor de modellen achter ChatGPT, Claude en Gemini gelden sinds 2 augustus 2025 aparte regels voor AI-modellen voor algemene doeleinden. Die regels richten zich op de aanbieders van de modellen, zoals OpenAI, Anthropic en Google.

De aanbieders moeten onder meer technische documentatie opstellen en beleid voeren om auteursrechten te respecteren. Voor modellen met een systeemrisico moeten ze die risico's beoordelen en beperken. Het Europese AI Office houdt toezicht op deze modelregels.

Als gebruiker van zo'n model hoef je die modelplichten niet zelf uit te voeren. Jouw plichten zitten in hoe je het model inzet: transparantie, AI-geletterdheid en de regels van het risiconiveau van je toepassing.

Hoe hoog zijn de boetes van de EU AI Act?

De boetes van de EU AI Act lopen op tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet. Artikel 99 kent drie niveaus:

Voor grote ondernemingen geldt het hoogste van de twee bedragen. Voor het mkb en startups geldt het laagste van de twee.

Het toezicht in Nederland is in oktober 2026 nog niet volledig in de wet vastgelegd. Het kabinet bracht op 20 april 2026 het voorstel voor de Uitvoeringswet AI-verordening in consultatie. In dat voorstel houden bestaande toezichthouders toezicht binnen hun eigen domein en krijgen de Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur een coördinerende rol.

Hoe verhoudt de EU AI Act zich tot de AVG?

De EU AI Act en de AVG gelden naast elkaar: verwerkt je AI-systeem persoonsgegevens, dan heb je met beide wetten te maken. De AVG regelt wat je met persoonsgegevens mag doen. De AI Act regelt aan welke eisen het AI-systeem en het gebruik ervan voldoen.

Een voorbeeld: software die sollicitaties beoordeelt verwerkt persoonsgegevens en valt daarmee onder de AVG. Dezelfde software staat als hoog-risico toepassing in de AI Act. Wat de AVG van je vraagt bij AI lees je in AVG-proof AI gebruiken.

Wat betekent de EU AI Act voor AI agents?

Voor een AI agent die klantvragen beantwoordt of administratie voorbereidt zijn de transparantieregels het belangrijkste onderdeel van de EU AI Act. Mensen die met de agent communiceren moeten weten dat het een AI-systeem is.

Neemt de agent beslissingen in een gebied uit bijlage III, zoals het selecteren van sollicitanten of het beoordelen van kredietwaardigheid, dan kan hij als hoog-risico systeem gelden. Bepaal dat voordat je de agent in gebruik neemt.

Praktische punten voor elk bedrijf met een AI agent:

• Laat de agent zich bij het eerste contact als AI bekendmaken
• Regel dat een medewerker kan meekijken en ingrijpen
• Leg vast welke gegevens de agent verwerkt en waar die staan
• Vermeld in je privacyverklaring dat je AI inzet

Hoe je een agent stap voor stap invoert lees je in het stappenplan om een AI agent te implementeren.

Veelgestelde vragen

Geldt de EU AI Act ook voor kleine bedrijven? Ja. De wet geldt voor elke organisatie die AI-systemen aanbiedt of beroepsmatig gebruikt, ook in het mkb. Welke plichten je hebt hangt af van het risiconiveau van je toepassing. Voor het mkb gelden lagere boeteplafonds.

Wanneer gaan de regels voor hoog-risico AI in? Op 2 december 2027 voor de gevoelige gebieden uit bijlage III, zoals werving, onderwijs en kredietverlening. Voor AI in producten zoals liften en speelgoed is het 2 augustus 2028. Dat volgt uit de wijziging van juli 2026.

Moet ik melden dat klanten met AI communiceren? De transparantieregels van de EU AI Act gelden sinds 2 augustus 2026. Mensen moeten weten dat ze met een AI-systeem communiceren. Laat je AI agent of chatbot dat bij het eerste contact duidelijk maken.

Is AI-geletterdheid nog verplicht na de wijziging van 2026? Ja. Artikel 4 blijft een verplichting voor aanbieders en gebruikers van AI. Sinds juli 2026 vraagt het artikel dat je maatregelen neemt om AI-geletterdheid te ontwikkelen; een vast niveau schrijft de wet niet voor.

Wie houdt in Nederland toezicht op de EU AI Act? Dat ligt in oktober 2026 nog niet volledig vast. In het kabinetsvoorstel van april 2026 houden bestaande toezichthouders toezicht in hun eigen domein en coördineren de Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur.

Verder met AI in je bedrijf

Leer AI verantwoord toepassen in een 1-op-1 AI training, lees wat een AI agent kost of plan een vrijblijvend gesprek over je situatie.