Kennisbank
AI Act voor bedrijven in 2026: wat moet je nu regelen?
De AI Act is niet één deadline en niet ieder bedrijf krijgt dezelfde verplichtingen. Voor de meeste Nederlandse mkb-bedrijven is de praktische vraag daarom niet of de wet bestaat, maar welke rol het bedrijf heeft, welke AI-systemen daadwerkelijk worden gebruikt en welke verplichtingen op dit moment al gelden. Hieronder staat een werkbare eerste inventarisatie. Dit is algemene informatie en geen individueel juridisch advies.
1. Breng eerst in kaart welke AI je organisatie gebruikt
Begin met een eenvoudige inventarisatie van AI-systemen en AI-functies in bestaande software. Denk niet alleen aan losse tools als ChatGPT of Copilot, maar ook aan chatbots, samenvatfuncties, documentverwerking, recruitmentsoftware en automatische classificatie.
Noteer per toepassing het doel, de gebruikers, welke gegevens worden verwerkt, of het systeem extern communiceert en wie eigenaar is van het proces. Zonder die basis kun je moeilijk bepalen welke regels en controles relevant zijn.
2. AI-geletterdheid geldt al sinds 2 februari 2025
De Autoriteit Persoonsgegevens legt uit dat organisaties die AI-systemen gebruiken of ontwikkelen moeten zorgen dat medewerkers die met of namens de organisatie met AI werken voldoende kennis en begrip hebben om AI verantwoord in te zetten. De benodigde diepgang hangt af van rol, context en risico.
Dat betekent niet automatisch dat ieder bedrijf dezelfde cursus of hetzelfde certificaat nodig heeft. Een praktische aanpak is per rol vastleggen welke systemen worden gebruikt, welke fouten kunnen optreden, welke gegevens niet mogen worden ingevoerd en wanneer menselijke controle nodig is.
3. Sinds 2 augustus 2026 gelden nieuwe transparantieverplichtingen
De Europese Commissie bevestigt dat de transparantieregels van de AI Act sinds 2 augustus 2026 van toepassing zijn. Bij een AI-chatbot moet een gebruiker bijvoorbeeld weten dat hij met een AI-systeem communiceert, tenzij dat uit de context al duidelijk is.
Voor bepaalde synthetische of gemanipuleerde content gelden aanvullende markerings- of informatieplichten. Welke verplichting precies geldt, hangt af van de rol van de organisatie en het type content of systeem. Een algemene voetnoot 'gemaakt met AI' is dus geen universele oplossing voor ieder scenario.
4. De hoog-risicodeadlines zijn in 2026 verschoven
Veel oudere artikelen noemen 2 augustus 2026 als hoofddeadline voor hoog-risico AI. De Europese Commissie vermeldt inmiddels dat de regels voor bepaalde zelfstandige hoog-risicosystemen vanaf 2 december 2027 gelden. Voor hoog-risico AI die onderdeel is van gereguleerde producten geldt 2 augustus 2028.
Uitstel is geen reden om classificatie uit te stellen. AI in bijvoorbeeld werkgelegenheid, onderwijs, biometrie of andere gevoelige toepassingen kan onder zwaardere regels vallen. Juist daar is het verstandig om vroeg vast te leggen welke data, beslissingen, logging en menselijke controle in het proces zitten.
5. Een praktisch minimum voor een mkb-bedrijf
Maak een actuele lijst van AI-toepassingen, wijs per toepassing een proceseigenaar aan, leg basisregels voor veilig gebruik vast en zorg dat medewerkers begrijpen welke risico's bij hun rol horen. Controleer daarnaast of externe AI-interacties transparant genoeg zijn en of gevoelige toepassingen extra classificatie nodig hebben.
KVK-onderzoek uit 2025 liet een duidelijke kloof zien tussen gebruik en voorbereiding: drie op de tien ondervraagde ondernemers gebruikten al generatieve AI, terwijl de helft de AI Act niet kende en slechts enkele procenten actief voorbereidingen troffen. Voor bedrijven die nu automatiseren is governance daarom geen los juridisch project, maar onderdeel van het ontwerp van het proces.
Veelgestelde vragen
Geldt de AI Act ook als mijn bedrijf alleen ChatGPT of Copilot gebruikt?
De AI Act kan ook relevant zijn wanneer je AI via ingekochte software gebruikt. Voor veel gewone toepassingen zijn de verplichtingen beperkter dan bij hoog-risico AI, maar onder meer AI-geletterdheid en bepaalde transparantieverplichtingen kunnen wel relevant zijn.
Moet ieder bedrijf een AI-register hebben?
Een praktische interne inventarisatie is verstandig om grip te houden op AI-gebruik, maar niet iedere private organisatie heeft onder de AI Act een algemene wettelijke registerplicht. De precieze verplichtingen hangen af van je rol en het type AI-systeem.
Is de AI Act in 2026 uitgesteld?
Gedeeltelijk. De hoog-risicoregels voor bepaalde systemen zijn verschoven naar 2 december 2027 en 2 augustus 2028. AI-geletterdheid, verboden praktijken en de transparantieregels zijn daardoor niet verdwenen.
Bronnen en referenties
Praktisch maken
Wil je weten wat dit voor jouw proces betekent?
De procesanalyse brengt eerst het knelpunt, de data en de beslisgrenzen in kaart.
Analyseer je proces