.svg)
Kronehoefstraat 85
5612 HL Eindhoven
BTW NL863902509B01
Wat is het?
De EU AI Act is de eerste uitgebreide AI-wet ter wereld en is op 1 augustus 2024 in werking getreden. De wet deelt AI-systemen in vier risicocategorieën in: verboden systemen, hoog-risicosystemen, systemen met beperkt risico en systemen met minimaal risico. De meeste alledaagse AI-toepassingen in het MKB vallen in de twee laagste categorieën en kennen beperkte verplichtingen.
De tijdlijn loopt gefaseerd: de verbods- en AI-geletterdheidsregels gelden al per 2 februari 2025, de regels voor aanbieders van algemene AI-modellen per 2 augustus 2025, en de volledige hoog-risicoregels zijn gepland voor 2 augustus 2026. Bedrijven die AI inzetten in gereguleerde producten (machines, veiligheidssystemen) krijgen in sommige gevallen uitstel tot 2028.
Waarom het ertoe doet voor het MKB
De EU AI Act is geen verbod op AI, maar een kader dat bepaalt welke toepassingen zonder meer mogen, welke extra maatregelen vragen en welke helemaal niet zijn toegestaan. Voor het MKB is de praktische impact afhankelijk van hoe AI wordt ingezet en in welke sector.
- Verboden toepassingen moeten direct worden gestopt. Systemen die manipuleren, sociale scoring toepassen, emoties op de werkvloer herkennen of gezichtsbeelden scrapen, zijn per 2 februari 2025 verboden, ongeacht de leverancier of het gebruiksgemak.
- Hoog-risicotoepassingen vereisen documentatie en menselijk toezicht. Uitzendbureaus die AI inzetten voor cv-selectie, kandidaatranking of afwijzingsbeslissingen werken met een hoog-risico-AI-systeem en moeten dat gaan registreren, documenteren en bewaken.
- De meeste MKB-toepassingen vallen in de laagste categorieën. Factuurverwerking, tekstsamenvatting, e-mailhulp en kennisbanken kennen minimale verplichtingen, maar vereisen wel basale transparantie naar gebruikers.
De eerste stap voor elk MKB-bedrijf is een inventarisatie: welke AI-tools gebruik je, wie levert ze, en wat doen ze precies? Pas daarna kun je de risicocategorie bepalen en weten of actie nodig is.
Hoe het werkt
De EU AI Act werkt via een risicoclassificatiesysteem. De wet stelt eisen aan de aanbieders van AI-systemen, maar ook aan de deployers: de bedrijven die een AI-systeem van een derde partij inzetten in hun eigen processen. Voor het MKB is die deployer-rol het meest relevant.
- Inventariseren: breng in kaart welke AI-tools en -workflows de organisatie gebruikt of overweegt.
- Classificeren: bepaal voor elk systeem of het verboden, hoog-risico, beperkt-risico of minimaal-risico is op basis van de risicobijlagen van de wet.
- Verboden toepassingen stoppen: systemen die vallen onder de verbodscategorie moeten onmiddellijk worden uitgezet.
- Hoog-risicomaatregelen treffen: voor hoog-risicosystemen zijn technische documentatie, menselijk toezicht, logging en registratie verplicht voor de deadline van 2026.
- Transparantie borgen: bij AI-gegenereerde inhoud of chatinteracties informeer je gebruikers dat ze met AI communiceren.
Controleer ook of de organisatie als aanbieder of als deployer kwalificeert. Wie een model van een leverancier significant aanpast of als eigen product aanbiedt, draagt zwaardere verplichtingen dan wie het ongewijzigd inzet.
Voorbeeld uit de praktijk
Stel, een uitzendbureau gebruikt een AI-tool die cv's automatisch scoort en kandidaten rangschikt voor openstaande vacatures. Dat is een hoog-risico-AI-systeem onder de EU AI Act, omdat het de toegang tot werk beinvloedt. Het bureau moet voor de toepassingsdatum van 2026 documenteren hoe het systeem werkt, aantonen dat er menselijk toezicht is op de uitkomsten, en de tool registreren in het Europese AI-register. Doet het bureau dat niet, riskeert het boetes die voor dit type overtreding kunnen oplopen tot vijftien miljoen euro of drie procent van de wereldwijde jaaromzet.
Vergelijking en misvattingen
De EU AI Act reguleert AI-systemen op basis van risico; de AVG (GDPR) reguleert de verwerking van persoonsgegevens. De twee wetten overlappen bij AI-toepassingen die persoonlijke data verwerken: een hoog-risico-AI-tool die kandidaten beoordeelt, moet zowel aan de AI Act als aan de AVG voldoen.
.svg){kind=icon}