Ja. Als je bedrijf AI gebruikt, is AI-geletterdheid verplicht. Die plicht staat in artikel 4 van de AI-verordening, geldt sinds 2 februari 2025, en er is geen ondergrens voor kleine bedrijven. Het sanctieregime staat sinds 2 augustus 2025, dus een toezichthouder kan er nu al iets mee.
Dat is het korte antwoord. Hieronder staat voor wie het precies geldt, wat "verplicht" hier betekent, en wat het minimum is dat je geregeld moet hebben.
Voor wie geldt het
De verordening legt de plicht bij twee rollen.
Aanbieder. Je ontwikkelt een AI-systeem, of je zet er je eigen naam op. Denk aan een softwarebedrijf dat een AI-functie in zijn product bouwt.
Gebruiksverantwoordelijke. Je zet een AI-systeem in binnen je eigen organisatie. Dit is de rol waar vrijwel elk MKB-bedrijf in valt. Je koopt in, je gebruikt.
Als je ChatGPT, Copilot, Gemini of een AI-chatbot op je website gebruikt, ben je gebruiksverantwoordelijke. Dan geldt artikel 4.
Er is één plek waar ondernemers zich vergissen: de aanname dat inkopen je vrijstelt. Dat is niet zo. De leverancier heeft zijn eigen verplichtingen, en jij hebt de jouwe. Ze vervangen elkaar niet.
Wat "verplicht" hier betekent
Artikel 4 vraagt maatregelen om te zorgen voor een toereikend niveau van AI-geletterdheid bij je personeel en bij iedereen die namens jou met AI werkt.
Sinds de Digital Omnibus is die formulering verzacht. Verordening (EU) 2026/1744 is aangenomen op 8 juli 2026 en in werking sinds 27 juli 2026. De nieuwe tekst spreekt van maatregelen die de ontwikkeling van AI-geletterdheid ondersteunen, en voegt er expliciet aan toe dat je geen bepaald niveau hoeft te garanderen.
Wat blijft staan: je moet iets doen, het moet passen bij je situatie, en je moet het kunnen laten zien.
Wat vervalt: de suggestie dat je per medewerker een aantoonbaar kennisniveau moet halen. Geen examen, geen minimumscore.
Dat verschil is belangrijk voor je verwachtingen. Je bouwt geen opleidingsprogramma. Je bouwt een dossier.
Vanaf wanneer wordt het gehandhaafd
Nu al, en dat is niet wat je overal leest.
De verplichting geldt sinds 2 februari 2025 (artikel 113 lid 2 sub a). Het sanctieregime en de nationale toezichtstructuur zijn van toepassing sinds 2 augustus 2025. In Nederland is de Autoriteit Persoonsgegevens de coördinerend toezichthouder op AI en algoritmes.
Talloze Nederlandse bronnen schrijven dat de handhaving pas op 2 augustus 2026 begint. Die datum komt uit artikel 113 lid 1, de hoofdregel voor de verordening als geheel, en artikel 4 valt daar juist buiten. Wie op die datum rekent, rekent op anderhalf jaar respijt dat er niet is.
Belangrijk: er komt geen inspecteur langs om te vragen of je een AI-cursus hebt gedaan. Toezicht werkt anders. De vraag komt op tafel wanneer er iets anders aan de hand is. Een klacht over een geautomatiseerd besluit. Een datalek waar een AI-tool bij betrokken was. Een klant die vraagt hoe je aan die tekst kwam.
Op dat moment is de vraag niet of je het geregeld hebt, maar of je het kunt laten zien.
Wat er gebeurt als je niets doet
Over boetes eerst de correctie, want er staat veel onzin online. Het bedrag van €35 miljoen of 7% van de wereldwijde omzet hoort bij verboden AI-praktijken, zoals sociale scoring door een overheid. Dat is niet dit.
Artikel 4 heeft geen eigen boetecategorie. Overtredingen van verplichtingen die op gebruiksverantwoordelijken rusten, vallen onder artikel 99 lid 4: tot €15 miljoen of 3% van de wereldwijde jaaromzet, het hoogste van de twee.
Voor een bedrijf van twintig tot tweehonderdvijftig mensen is dat een getal uit een andere wereld. Het is niet waar je risico zit.
Je reële risico zit hier:
- Bewijspositie bij een incident. Gaat er iets mis met een AI-uitkomst, dan is de eerste vraag of je mensen wisten wat ze deden. Zonder dossier is het antwoord "we denken van wel".
- Ketenvragen. Grote afnemers en aanbestedingen vragen inmiddels naar je AI-beleid. Een leeg antwoord kost je de opdracht, niet de boete.
- Verzekering en aansprakelijkheid. Waar een verzekeraar bij schade naar redelijke zorg kijkt, telt aantoonbare instructie van je personeel mee.
Dat maakt artikel 4 een van de goedkoopste verplichtingen uit de hele verordening om te regelen, en een van de duurste om te laten liggen.
Lees ook: AI-geletterdheid: wat de wet sinds februari van je vraagt
Het minimum dat je geregeld moet hebben
Vier dingen. Meer is niet nodig om te beginnen.
- Een lijst van elke AI-tool die in je bedrijf draait. Ook de gratis accounts die iemand zelf heeft aangemaakt. Die staan bijna nooit op de IT-lijst en zijn meestal het grootste deel.
- Per tool: wie werkt ermee en wat gaat er mis als de uitkomst fout is. Dat bepaalt je volgorde. Een AI die interne notulen samenvat is een ander verhaal dan een AI die klantmails beantwoordt.
- Een sessie voor de groep met het hoogste risico, met registratie. Naam, functie, datum, duur, onderwerp. Zonder die registratie heb je geen bewijs, alleen een herinnering.
- Eén document van twee A4 waarin staat wat je hebt gedaan, waarom dat past bij jouw risico, en wanneer je het herziet.
Dat is het. Geen certificaat, geen extern keurmerk, geen opleidingstraject van zes weken.
Wat je vandaag kunt doen
Stuur één mail naar je afdelingshoofden met de vraag welke AI-tools hun mensen gebruiken. Vraag het open en zonder dreiging, want anders krijg je een onvolledig antwoord en is de inventaris waardeloos.
Die lijst is je vertrekpunt. Zonder die lijst kun je niet bepalen wat toereikend is, en dan train je op goed geluk.
Veelgestelde vragen
Waar je nu staat
Als je niet weet welke AI er in je bedrijf draait, is dat je eerste probleem. Niet de training.
Een AI Act-nulmeting brengt dat in kaart: elk AI-systeem dat draait (ook de shadow-AI), de rolbepaling per systeem, de stand op AI-geletterdheid, en een geprioriteerde lijst met wat wanneer moet. Twee weken, €1.500, en het rapport is los bruikbaar richting je accountant, je verzekeraar of je grootste afnemer.
Plan een kennismakingsgesprek als je wilt weten of dat past bij waar jij staat.