Ja. Als je bedrijf AI gebruikt, is AI-geletterdheid verplicht. De plicht staat in artikel 4 van de AI-verordening en geldt sinds 2 februari 2025. Voor kleine bedrijven is er geen ondergrens.
Sinds 27 juli 2026 is die plicht lichter geformuleerd. Sinds augustus 2026 mogen toezichthouders ernaar kijken.
Lichter betekent niet weg. Je moet nog steeds kunnen laten zien wat je hebt gedaan en dat het past bij hoe jouw bedrijf AI gebruikt.
Wat is AI-geletterdheid?
AI-geletterdheid is het vermogen om AI-systemen met begrip in te zetten. Concreet: weten wat een systeem doet, weten waar het misgaat en kunnen beoordelen wanneer je de uitkomst niet mag vertrouwen.
Het is een wettelijk begrip. Artikel 3 van de AI-verordening omschrijft het als de vaardigheden, kennis en het begrip om AI-systemen geïnformeerd in te zetten. Daar hoort ook het besef van de kansen en risico's bij.
In de praktijk valt het uiteen in drie lagen.
Laag 1: weten wat het is. Een taalmodel voorspelt welk woord logisch volgt. Het zoekt niet op wat waar is. Daardoor kan het iets opschrijven dat vloeiend klinkt en toch verzonnen is.
Laag 2: weten waar het misgaat. Het model kent alleen data tot een bepaald moment. Het presteert beter in het Engels dan in het Nederlands. Een sturende vraag levert een sturend antwoord op.
Laag 3: weten wanneer een mens moet kijken. Dit is de laag die telt en die het vaakst ontbreekt. Weten dat AI fouten maakt is één ding. Per taak bepalen of een fout erdoorheen mag glippen is iets anders.
Wie alleen laag 1 heeft, weet dat AI kan hallucineren en gebruikt het toch voor een prijsopgave. Dat is geïnformeerd en toch onvoorzichtig.
Wat het niet is:
- Geen promptcursus. Beter vragen maakt je output beter. Het maakt je niet beter in beoordelen of die output klopt.
- Geen technische kennis. Een controller die nooit een regel code schreef, kan uitstekend AI-geletterd zijn.
- Geen eenmalig niveau. De tools veranderen. Wat je één keer regelt, veroudert.
- Geen certificaat. Er bestaat geen door de EU erkend AI-geletterdheidscertificaat.
Voor wie geldt het
De verordening legt de plicht bij twee rollen.
Aanbieder. Je ontwikkelt een AI-systeem, of je zet er je eigen naam op. Denk aan een softwarebedrijf dat een AI-functie in zijn product bouwt.
Gebruiksverantwoordelijke. Je zet een AI-systeem in binnen je eigen organisatie. In die rol valt vrijwel elk MKB-bedrijf. Je koopt in en je gebruikt.
Gebruik je ChatGPT, Copilot, Gemini of een AI-chatbot op je website, dan ben je gebruiksverantwoordelijke. Dan geldt artikel 4.
Op één plek vergissen ondernemers zich: de aanname dat inkopen je vrijstelt. Dat is niet zo. De leverancier heeft zijn eigen verplichtingen en jij hebt de jouwe.
De plicht gaat ook verder dan je personeel. Artikel 4 noemt iedereen die namens jou met AI werkt. Een ingehuurde tekstschrijver die jouw ChatGPT-account gebruikt, valt eronder.
Wat de wet sinds juli 2026 vraagt
De oorspronkelijke tekst vroeg je te zorgen voor een toereikend niveau van AI-geletterdheid bij je personeel. Dat is veranderd door de Digital Omnibus: Verordening (EU) 2026/1744. Die werd vastgesteld op 8 juli 2026 en is in werking sinds 27 juli 2026.
Artikel 4 vraagt nu maatregelen die de ontwikkeling van AI-geletterdheid ondersteunen. Je houdt rekening met kennis, ervaring en opleiding van je mensen, met de context van het gebruik en met wie er geraakt wordt. De tekst zegt er expliciet bij dat je geen bepaald niveau hoeft te garanderen.
Wat blijft staan: je moet iets doen, het moet passen bij je situatie en je moet het kunnen laten zien.
Wat vervalt: de suggestie dat elke medewerker een aantoonbaar kennisniveau moet halen. Geen examen, geen minimumscore.
Wat passend is, hangt af van drie dingen:
- Wat het systeem doet. Een AI die concepten schrijft die een mens nakijkt, vraagt minder dan een AI die zelf mails naar klanten stuurt.
- Wie ermee werkt. Een ontwikkelaar heeft andere kennis nodig dan een accountmanager. Je stemt af op de rol.
- Wat er misgaat als het fout loopt. AI in een offerte is iets anders dan AI in een dossier met persoonsgegevens.
De wet noemt geen uren en geen curriculum. Wel moeten de Commissie en de lidstaten het MKB helpen, met praktijkvoorbeelden. Het AI-bureau houdt daarvoor een register van AI-geletterdheidspraktijken bij. Handig als ijkpunt, geen checklist.
Ik werkte tien jaar in de financiële sector onder toezicht van AFM en DNB. Daar vroeg een toezichthouder nooit wat je wist. Hij vroeg wat je kon laten zien.
Daarom is dit verschil belangrijk. Je bouwt geen opleidingsprogramma. Je bouwt een dossier.
Wanneer wordt er toezicht gehouden
De plicht zelf geldt sinds 2 februari 2025. Artikel 4 staat in hoofdstuk I. Artikel 113 maakt dat hoofdstuk vanaf die datum van toepassing.
Het toezicht is iets anders. Volgens de Europese Commissie houden de nationale markttoezichthouders toezicht op artikel 4 vanaf 3 augustus 2026.
In een eerdere versie van dit artikel schreef ik dat handhaving al sinds augustus 2025 kon. Dat klopt niet. Augustus 2025 was de datum waarop lidstaten hun sanctieregels moesten hebben, niet de start van het toezicht.
In Nederland is de Uitvoeringswet AI-verordening half oktober 2026 nog niet in werking. Het concept wijst de Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur aan als coördinerende toezichthouders. Tot die wet er is, mist een Nederlandse toezichthouder een deel van zijn instrumenten.
Er komt ook daarna geen inspecteur langs om te vragen of je een AI-cursus hebt gedaan. De vraag komt op tafel wanneer er iets anders aan de hand is. Een klacht over een geautomatiseerd besluit. Een datalek waar een AI-tool bij betrokken was. Een klant die vraagt hoe je aan die tekst kwam.
Op dat moment is de vraag niet of je het geregeld hebt. De vraag is of je het kunt laten zien.
Wat er gebeurt als je niets doet
Eerst de boetes. Daar staat veel onzin over online. Het bedrag van €35 miljoen of 7% van de wereldwijde omzet hoort bij verboden AI-praktijken uit artikel 5. Dat is niet dit.
Artikel 4 heeft geen eigen boete in de verordening. De boetes van artikel 99 lid 4, tot €15 miljoen of 3%, noemen artikel 4 niet. Lidstaten bepalen zelf welke sancties erop staan. Nederland heeft dat nog niet in een wet vastgelegd.
Je reële risico zit ergens anders:
- Bewijspositie bij een incident. Gaat er iets mis met een AI-uitkomst, dan is de eerste vraag of je mensen wisten wat ze deden. Zonder dossier is het antwoord "we denken van wel".
- Ketenvragen. Grote afnemers en aanbestedingen vragen naar je AI-beleid. Een leeg antwoord kost je de opdracht, niet de boete.
- Verzekering en aansprakelijkheid. Kijkt een verzekeraar bij schade naar redelijke zorg, dan telt aantoonbare instructie van je personeel mee.
Dat maakt artikel 4 een van de goedkoopste verplichtingen uit de verordening om te regelen. Laten liggen is duurder.
Waarom dit geen IT-onderwerp is
Hier gaat het in de praktijk mis. AI-geletterdheid landt bij de IT-afdeling of bij de collega die "iets met AI doet". Dan wordt het een tooltraining: hoe schrijf je een goede prompt, welke knoppen zitten waar.
Dat is nuttig. Het is alleen niet wat artikel 4 vraagt.
De plicht rust op de organisatie. Ze gaat over de vraag of je mensen de gevolgen van hun keuzes overzien. Welke gegevens horen niet in een gratis tool? Wanneer kijkt een mens mee voordat iets naar buiten gaat? Wie is aanspreekbaar als het misgaat?
Dat zijn vragen over verantwoordelijkheid. Die worden aan de directietafel beantwoord.
Het minimum dat je geregeld moet hebben
Vijf dingen. Meer is niet nodig om te beginnen.
- Een lijst van elke AI-tool die in je bedrijf draait. Ook de gratis accounts die iemand zelf heeft aangemaakt. Die staan bijna nooit op de IT-lijst.
- Per tool: wie werkt ermee en wat gaat er mis als de uitkomst fout is. Dat bepaalt je volgorde. Een AI die interne notulen samenvat is een ander verhaal dan een AI die klantmails beantwoordt.
- Een sessie voor de groep met het hoogste risico, met registratie. Naam, functie, datum, duur en onderwerp. Zonder registratie heb je geen bewijs, alleen een herinnering.
- Het lesmateriaal, met een datum erop. Een programma van vorig jaar dekt de tools van dit jaar niet.
- Eén document van twee A4 met wat je hebt gedaan, waarom dat past bij jouw risico en wanneer je het herziet.
Punt 3 is waar het meestal stukloopt. Bedrijven doen wel iets aan AI-kennis. Ze leggen het alleen niet vast. Achteraf is er dan geen verschil tussen niets doen en iets doen dat je niet kunt laten zien.
Of die sessie werkte, toets je niet met vragen over definities. Je stelt één vraag over het eigen werk:
"Noem een taak waar je AI voor gebruikt en waar je de uitkomst altijd nakijkt, en een taak waar je dat niet doet. Waarom is dat verschil er?"
Wie daar helder op antwoordt, heeft laag 3. Wie zegt "ik vertrouw het meestal wel", heeft hem niet.
Meer over de inhoud van zo'n sessie staat in wat er in een AI-geletterdheidstraining hoort.
Hoe je begint
Ik hoor het vaak in gesprekken met MKB-bedrijven. De tools zijn uitgedeeld. Alleen heeft niemand gezegd waarvoor wel en waarvoor niet.
Begin daarom niet met een training. Begin met de inventaris.
Deze week. Stuur één mail aan je afdelingshoofden. Vraag welke AI-tools hun mensen gebruiken, open en zonder dreiging. Anders krijg je een onvolledig antwoord en is de inventaris waardeloos.
Deze maand. Bepaal per tool wie ermee werkt en wat er misgaat als het antwoord fout is. De tool met het grootste risico en de meeste gebruikers gaat eerst.
Dit kwartaal. Regel de sessie voor die groep en leg vast wie erbij was. Daarna de rest.
Doe het in die volgorde. Ik zie regelmatig het omgekeerde: eerst een middag voor iedereen. Daarna blijkt dat de helft van de zaal nooit met AI werkt en dat de mensen die het wel doen er niet bij zaten.
Meer over AI-geletterdheid en de AI Act
- AI-geletterdheid certificaat: wat is het waard?: wat een certificaat wel en niet bewijst
- AI-verordening op 2 augustus: wat ingaat, en wat is uitgesteld: de twee tijdlijnen uit elkaar getrokken
- AI-verordening voor het MKB: wat je vóór 2 augustus 2026 geregeld moet hebben: de kant van de gebruiker, van menselijk toezicht tot logs bewaren
- AI-verordening 2026: wat verandert er voor jouw bedrijf?: de risico-indeling en waar MKB-toepassingen landen
Veelgestelde vragen
Waar je nu staat
Weet je niet welke AI er in je bedrijf draait, dan is dat je eerste probleem. Niet de training.
Een AI Act-nulmeting brengt dat in kaart: elk AI-systeem dat draait, ook de shadow-AI, de rol per systeem, de stand op AI-geletterdheid en een geprioriteerde lijst met wat wanneer moet. Twee weken, €1.500. Het rapport is los bruikbaar richting je accountant, je verzekeraar of je grootste afnemer.
Hoe de nulmeting past in de rest van de verordening, staat op mijn pagina over de AI Act voor het MKB. Of plan een kennismakingsgesprek als je wilt weten waar jij staat.