De AI-verordening is de Europese wet die regelt wat er wel en niet mag met kunstmatige intelligentie. In het Engels heet hij de AI Act, en dat is de naam die je in de vakpers ziet. In Nederlandse wetteksten en bij toezichthouders heet hij de AI-verordening. Zelfde wet.
Hij werkt met risicoklassen. Hoe groter het risico van een AI-toepassing, hoe zwaarder de eisen. Het overgrote deel van wat een MKB-bedrijf gebruikt, valt in de lichtste klasse.
Dit stuk zet op een rij wat er per datum geldt, wat er in juli 2026 is verschoven, en wat je concreet moet regelen als je twintig tot tweehonderdvijftig mensen hebt.
De vier risicoklassen
De hele wet hangt op één vraag: hoeveel schade kan dit systeem aanrichten?
Onaanvaardbaar risico: verboden. Sociale scoring door overheden, systemen die kwetsbaarheden van mensen misbruiken, emotieherkenning op de werkvloer en in het onderwijs. Dit mag niet, punt. Vrijwel geen MKB-bedrijf raakt deze categorie.
Hoog risico: zwaar gereguleerd. AI die meebeslist over toegang tot werk, onderwijs, krediet, zorg of overheidsdiensten. Ook AI die in producten zit waar al productwetgeving voor geldt, zoals medische apparatuur. Hier gelden conformiteitsbeoordelingen, technische documentatie, menselijk toezicht en registratie.
**Beperkt risico: transparantieplicht.**Chatbots, AI-gegenereerde content, deepfakes. Je moet open zijn dat er AI in het spel is.Dit is de klasse waar de meeste MKB-bedrijven in zitten.
Minimaal risico: geen specifieke eisen. Spamfilters, aanbevelingssystemen, AI in een planningstool. Het grootste deel van alle AI valt hier.
Naast deze klassen staat één verplichting die voor iedereen geldt, ongeacht risicoklasse: AI-geletterdheid. Daarover verderop meer.
Wat er per datum geldt
De wet is op 1 augustus 2024 in werking getreden en wordt gefaseerd toegepast. In juli 2026 is die fasering aangepast.
| Datum | Wat er ingaat |
|---|---|
| 2 februari 2025 | Verbod op onaanvaardbaar-risico AI. Plicht tot AI-geletterdheid (artikel 4) |
| 2 augustus 2025 | Regels voor AI-modellen voor algemene doeleinden. Toezichtstructuur en sanctieregime |
| 2 augustus 2025 | Sanctieregime (Hoofdstuk XII) en nationale toezichtstructuur (Hoofdstuk VII) |
| 2 augustus 2026 | Transparantieplicht (artikel 50). De verordening wordt in haar geheel van toepassing |
| 2 december 2027 | Hoog-risico AI die op zichzelf staat (Annex III). Was 2 augustus 2026 |
| 2 augustus 2028 | Hoog-risico AI die in producten zit (Annex I). Was 2 augustus 2027 |
De twee onderste rijen zijn de verschuiving. Verordening (EU) 2026/1744, de Digital Omnibus on AI, is op 24 juli 2026 in het Publicatieblad verschenen en op 27 juli 2026 in werking getreden. Het is de eerste inhoudelijke wijziging van de AI-verordening sinds de aanname in juni 2024.
Wat er is uitgesteld, en wat niet
Hier gaat het in gesprekken het vaakst mis. "De AI Act is uitgesteld" klopt maar half, en de helft die niet is uitgesteld raakt juist het MKB.
Uitgesteld: de hoog-risico verplichtingen. Systemen die meewegen in werving, kredietbeoordeling, onderwijs, rechtshandhaving en kritieke infrastructuur schuiven van 2 augustus 2026 naar 2 december 2027. AI die in gereguleerde producten is ingebouwd schuift naar 2 augustus 2028.
Niet uitgesteld: de transparantieplicht van artikel 50. Die gaat op 2 augustus 2026 gewoon in.
En let op een misverstand dat overal terugkomt: de AI-geletterdheidsplicht uit artikel 4 begint níet op 2 augustus 2026. Die geldt sinds 2 februari 2025, en het sanctieregime staat sinds 2 augustus 2025.
Voor een gemiddeld MKB-bedrijf is dat precies de verkeerde helft om te missen. Je gebruikt waarschijnlijk geen hoog-risico AI, dus het uitstel raakt je niet. Je gebruikt waarschijnlijk wél een chatbot of AI-gegenereerde teksten, dus artikel 50 raakt je wel.
Eén verzachting binnen artikel 50: voor generatieve AI-systemen die al vóór 2 augustus 2026 op de markt waren, geldt een overgangstermijn tot 2 december 2026 voor de machine-leesbare markering. De rest van artikel 50 geldt meteen.
Lees ook: AI Act op 2 augustus: wat ingaat, en wat is uitgesteld
Aanbieder of gebruiksverantwoordelijke
De verordening kent twee hoofdrollen, en welke van de twee je hebt bepaalt bijna alles.
Aanbieder ben je als je een AI-systeem ontwikkelt, of als je je eigen naam of merk op een bestaand systeem zet. Zware verplichtingen, vooral bij hoog risico.
Gebruiksverantwoordelijke ben je als je een AI-systeem inzet in je eigen bedrijfsvoering. Lichtere verplichtingen. Dit is waar bijna elk MKB-bedrijf zit.
Er is één valkuil. Pas je een ingekocht systeem substantieel aan, of zet je het in voor een ander doel dan waarvoor het bedoeld is, dan kun je alsnog aanbieder worden. Dat gebeurt vaker dan je denkt bij bedrijven die zelf agents bouwen op een bestaand model.
De rolbepaling is daarom de eerste stap in elk dossier. Doe je die verkeerd, dan werk je aan de verkeerde verplichtingen.
Wat een MKB-bedrijf concreet moet doen
Vijf dingen. In deze volgorde.
1. Inventariseer wat er draait. Elke AI-tool in het bedrijf, inclusief de gratis accounts die mensen zelf hebben aangemaakt. Die laatste groep is bijna altijd groter dan de directie denkt en staat op geen enkele IT-lijst.
2. Bepaal per systeem je rol en je risicoklasse. Aanbieder of gebruiksverantwoordelijke, en welke van de vier klassen. De meeste tools landen in beperkt of minimaal risico.
3. Regel de transparantie. Zit er een chatbot in je klantcontact, dan moet die melden dat hij AI is. Publiceer je AI-gemaakte teksten, beelden of video, dan markeer je die. Realistische AI-beelden van mensen label je als kunstmatig. Dit is meestal een middag werk.
4. Leg AI-geletterdheid vast. Wie werkt met welke AI, welke instructie hebben ze gekregen, wanneer, en waarover. Dit is de verplichting die het vaakst blijft liggen omdat er geen deadline op leek te zitten. Die zit er nu wel.
5. Schrijf het op. Twee A4 met je inventaris, je rolbepaling, je maatregelen en je herzieningsdatum. Zonder dat document heb je losse acties en geen dossier.
Wat je niet hoeft te doen als je geen hoog-risico AI gebruikt: conformiteitsbeoordeling, CE-markering, registratie in de EU-databank, technische documentatie volgens Annex IV. Dat is de zware kant, en die is uitgesteld voor de bedrijven die er wél in zitten.
Waarom ik hier scherper op ben dan de wet vraagt
Tien jaar in de financiële sector onder toezicht van AFM en DNB heeft me één ding geleerd: de vraag komt altijd achteraf, en altijd op het slechtste moment.
Niemand vraagt naar je dossier als het goed gaat. De vraag komt als er een klacht ligt, als een afnemer twijfelt, of als er iets is misgegaan. Op dat moment is "we hebben er wel over nagesproken" geen antwoord.
Daarom bouw ik in mijn eigen systemen vastlegging in die verder gaat dan de wet vraagt. Elke AI-actie laat een spoor achter: wat is gevraagd, welk model heeft het opgepakt, wat kwam eruit, wie keek ernaar. Niet omdat de AI-verordening dat eist voor het MKB. Wel omdat een systeem waarvan je niet kunt aantonen wat het heeft gedaan, ook zonder wet een probleem is zodra er iets misgaat.
Dat is ook waarom ik geen urgentie verkoop op 2 augustus 2026 als hoog-risico deadline. Die deadline bestaat niet meer. Wat wel bestaat, is een verplichting die al anderhalf jaar loopt en een bewijsvraag.
Veelgestelde vragen
Waar je begint
Als je nu niets hebt, is de inventaris de enige zinvolle eerste stap. Niet de training, niet het beleid. Eerst weten wat er draait.
Een AI Act-nulmeting doet precies dat: elk AI-systeem dat in het bedrijf draait (ook wat er buiten IT om is aangezet), risicoclassificatie per systeem, de rolbepaling, de stand op AI-geletterdheid, en een geprioriteerde lijst met wat wanneer moet. Twee weken, €1.500, en het rapport staat los van mij: je kunt het aan je accountant, verzekeraar of grootste afnemer geven.
Plan een kennismakingsgesprek als je wilt toetsen of dat past bij waar je staat.