AI Act compliance voor bedrijven draait voor de meeste Nederlandse dienstverleners om drie dingen: AI-geletterdheid van je medewerkers, transparantie over je AI-gebruik, en de AVG die gewoon van kracht blijft. Je bouwt zelf geen hoog-risico-systeem, dus de zwaarste eisen uit de wet raken je waarschijnlijk niet.
De officiële naam is de AI-verordening, Verordening (EU) 2024/1689. In het Nederlandse spraakgebruik heet die de AI Act, en beide termen slaan op dezelfde wet. Sinds juli 2026 is de tekst op een aantal punten gewijzigd, waardoor een deel van wat je er elders over leest niet meer klopt.
Welke AI Act-verplichtingen gelden voor jouw bedrijf?
Welke AI Act-verplichtingen voor jouw bedrijf gelden, hangt af van wat je met AI doet. Gebruik je ChatGPT, Claude of Microsoft Copilot in je dienstverlening, dan val je vrijwel altijd in de lichtste risicocategorie.
De wet deelt AI-systemen in op basis van risico. Sommige toepassingen zijn verboden, zoals social scoring of manipulatief gedrag. Vanaf 2 december 2026 komen daar twee verboden praktijken bij via de Digital Omnibus: AI-systemen die zonder toestemming realistische intieme beelden van herkenbare personen maken of bewerken, de zogenoemde nudify-apps, en AI-systemen die materiaal van seksueel kindermisbruik genereren. Voor een kantoor dat ChatGPT of Claude gebruikt, verandert daardoor niets aan de eigen verplichtingen. Hoog-risico-systemen krijgen strenge eisen, met AI voor werving, kredietbeoordeling en medische toepassingen als bekendste voorbeelden.
Daaronder zit de categorie met lichte transparantieplichten, en daar weer onder de toepassingen met minimaal risico. Een accountantskantoor dat AI inzet om concepten te schrijven of data samen te vatten, zit in de praktijk in die onderste lagen. Wie wel een hoog-risico-toepassing inzet, krijgt te maken met een FRIA, de beoordeling van de gevolgen voor grondrechten die de verordening voor dat type systeem voorschrijft.
AI-geletterdheid na de Digital Omnibus
AI-geletterdheid is sinds 2 februari 2025 een verplichting onder artikel 4 van de AI-verordening. De oorspronkelijke tekst vroeg om maatregelen die een toereikend niveau van AI-geletterdheid bij je personeel waarborgen.
Verordening (EU) 2026/1744, de Digital Omnibus op AI-gebied, heeft die formulering per 27 juli 2026 vervangen. Artikel 4 vraagt nu om maatregelen die de ontwikkeling van AI-geletterdheid ondersteunen, met de expliciete toevoeging dat je geen bepaald niveau per individuele medewerker hoeft te garanderen. De verplichting is dus gewijzigd, niet afgeschaft.
De invulling verschilt per organisatie, want wat AI-geletterdheid op een notariskantoor betekent, vraagt andere onderwerpen dan op een marketingbureau. Een gedateerd overzicht van wat je hebt georganiseerd, met een bewijsstuk per medewerker, laat zien welke maatregelen je hebt genomen. Een certificaat is daarbij een bewijsstuk, geen certificering en geen bewijs van naleving.
De wet schrijft geen verplicht certificaat en geen verplicht aantal uren voor. Een gerichte AI training voor bedrijven draagt aan die onderbouwing bij als de inhoud aansluit op de tools en processen die je team echt gebruikt. Voor de basis per medewerker is er de cursus AI-geletterdheid, die afsluit met een certificaat van afronding.
Transparantie over je AI-gebruik sinds augustus 2026
Transparantie over je AI-gebruik is de tweede verplichting die je direct raakt, want je klanten moeten weten wanneer ze met AI te maken hebben. Een chatbot in je klantenservice moet duidelijk maken dat er een AI-assistent antwoordt, en AI-gegenereerde inhoud moet herkenbaar zijn als synthetisch.
De transparantieverplichtingen uit artikel 50 zijn op 2 augustus 2026 in werking getreden en zijn, anders dan de hoog-risico-regels, niet uitgesteld. Voor systemen die vóór die datum al op de markt waren geldt een overgangstermijn van vier maanden voor de markeringsverplichtingen, tot 2 december 2026.
Aparte compliance-software is hiervoor niet nodig. De meeste kantoren regelen de transparantieplicht met een vaste passage in hun algemene voorwaarden, een melding bij de chatfunctie op de website, en een interne afspraak over wanneer je een klant vertelt dat een concept met AI is voorbereid.
Welke rol je onder de AI Act hebt
Welke rol je onder de AI Act hebt, bepaalt welke verplichtingen op je van toepassing zijn. Een aanbieder ontwikkelt een AI-systeem of brengt het onder eigen naam op de markt. Een gebruiksverantwoordelijke zet een bestaand systeem in binnen de eigen organisatie.
De meeste kennisintensieve dienstverleners zijn gebruiksverantwoordelijke: je gebruikt ChatGPT of Claude, maar je hebt ze niet gebouwd. De grens ligt bij het inbouwen onder eigen naam.
Bouw je een AI-model voor algemene doeleinden, zoals het model achter ChatGPT of Claude, in een eigen dienst in en bied je die onder je eigen merk aan, dan schuif je op richting de aanbiedersrol. Een klantenportaal met een ingebouwde AI-assistent is daarvan het bekendste voorbeeld, en die rol brengt zwaardere verplichtingen mee. Voor een kantoor dat AI puur intern gebruikt om sneller te werken, speelt dat niet. Wie twijfelt waar de grens ligt, beoordeelt dat per toepassing in plaats van voor de hele organisatie in één keer.
Wat de Digital Omnibus aan de AI-verordening veranderde
De Digital Omnibus heeft de AI-verordening op twee punten veranderd die voor gewone bedrijven uitmaken: de formulering van de AI-geletterdheidsplicht, en de invoeringsdata van de hoog-risico-regels. Verordening (EU) 2026/1744 is op 8 juli 2026 vastgesteld, op 24 juli gepubliceerd in het Publicatieblad en sinds 27 juli 2026 in werking.
Dat verschilt van wat op veel Nederlandse pagina’s nog staat. Tot eind juli 2026 was de Omnibus een akkoord waarover het Europees Parlement op 16 juni had gestemd, en golden juridisch nog de oorspronkelijke data. Die fase is voorbij, de gewijzigde tekst geldt.
| Onderdeel van de AI-verordening | Geldt sinds of vanaf |
|---|---|
| Verboden AI-praktijken, artikel 5 | 2 februari 2025 |
| AI-geletterdheid, artikel 4 | 2 februari 2025, formulering gewijzigd per 27 juli 2026 |
| Regels voor AI-modellen voor algemene doeleinden | 2 augustus 2025 |
| Transparantieverplichtingen, artikel 50 | 2 augustus 2026 |
| Nieuwe verboden praktijken (nudify-apps en misbruikmateriaal), artikel 5 | 2 december 2026 |
| Hoog-risico volgens bijlage III | 2 december 2027, was 2 augustus 2026 |
| Hoog-risico volgens bijlage I | 2 augustus 2028, was 2 augustus 2027 |
Bijlage III gaat over AI in werving en selectie, kredietbeoordeling, onderwijs en een aantal andere terreinen. Bijlage I gaat over hoog-risico-AI die in gereguleerde producten zit, zoals liften en speelgoed. Beide zijn vaste kalenderdata in de verordening en schuiven niet automatisch op als de bijbehorende normen later klaar zijn.
De extra tijd is bedoeld om je beter voor te bereiden, niet om af te wachten.
Op welke overtredingen van de AI Act een boete staat
Op welke overtredingen van de AI Act een boete staat, legt artikel 99 vast, en dat artikel noemt specifieke bepalingen in plaats van de verordening als geheel. Dat onderscheid bepaalt welk risico je werkelijk loopt.
Lid 3 gaat uitsluitend over artikel 5, de verboden AI-praktijken, met een plafond tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet. Lid 4 noemt een limitatieve lijst, waaronder de verplichtingen voor aanbieders, importeurs, distributeurs en gebruiksverantwoordelijken en de transparantieverplichtingen uit artikel 50, met een plafond tot 15 miljoen euro of 3 procent. Voor het verstrekken van onjuiste of misleidende informatie aan toezichthouders geldt tot 7,5 miljoen euro of 1 procent.
Artikel 4 komt in geen van die opsommingen voor. Op een tekortschietende AI-geletterdheid staat dus geen van deze boetebedragen, ook al wordt dat in veel Nederlandse artikelen wel gesuggereerd. Wat wel geldt is dat artikel 99 lid 1 de lidstaten opdraagt sancties vast te stellen voor inbreuken op de verordening, dus nationale handhaving is juridisch niet uitgesloten.
Voor het MKB en startups gelden lagere, proportionele plafonds. Voor een gemiddelde dienstverlener is het directere risico bovendien niet de AI Act-boete zelf, maar een datalek via een AI-tool die een medewerker zonder afspraken gebruikte, met meldplicht bij de Autoriteit Persoonsgegevens en de reputatieschade die daarbij hoort. De AVG en verantwoord AI-gebruik blijven daarom net zo belangrijk als de AI Act zelf.
Hoe het Nederlandse toezicht op de AI-verordening geregeld wordt
Het Nederlandse toezicht op de AI-verordening is nog in wording. De Uitvoeringswet AI-verordening, die het toezicht en de handhaving in Nederland moet inrichten, is nog geen wet. De internetconsultatie van het conceptwetsvoorstel liep van 20 april tot en met 1 juni 2026.
In het voorstel ligt de coördinerende rol bij de Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur samen. Voor hoog-risico-AI zonder eigen sectorale toezichthouder is de Autoriteit Persoonsgegevens voorzien als vangnet-toezichthouder. Daarnaast blijven de sectorale toezichthouders in beeld, met de AFM en DNB voor financiële dienstverlening, de IGJ voor de zorg en de Arbeidsinspectie voor AI op de werkvloer.
Dat betekent niet dat je de verordening kunt laten liggen. Een Europese verordening werkt rechtstreeks, dus de verplichtingen gelden ook zonder Nederlandse uitvoeringswet. Wat nog ontbreekt is het Nederlandse boete- en handhavingsinstrumentarium, want de markttoezichtautoriteiten krijgen hun formele taken en bevoegdheden pas na inwerkingtreding van die wet.
In de praktijk pakt dat scheef uit. De kans op een Nederlandse boete is voorlopig klein, de kans dat een klant, een beroepsorganisatie of je aansprakelijkheidsverzekeraar vraagt hoe je AI-gebruik geregeld is, is dat niet.
Wat er in een AI-beleid voor bedrijven hoort te staan
Een AI-beleid voor bedrijven legt vast wat wel en niet mag met AI binnen je organisatie, en dekt in de praktijk de meeste verplichtingen in één document af. Zo’n beleid hoeft geen juridisch stuk van dertig pagina’s te zijn. Een werkbaar AI-beleid past op enkele pagina’s en beantwoordt vooral de vraag wat een medewerker morgen wel en niet mag doen.
Welke onderdelen een AI-beleid minimaal bevat
Een AI-beleid bevat minimaal zes onderdelen. De volgorde doet er minder toe dan de volledigheid.
- Een AI-register met welke AI-tools worden gebruikt, door wie en waarvoor, inclusief de ingebouwde AI in software die je al hebt, zoals Copilot in Microsoft 365 of AI-functies in je CRM.
- Een datagrens die vastlegt welke gegevens nooit in een AI-tool gaan, met per toegestane tool het accounttype en de verwerkersafspraken.
- De verantwoordelijkheid voor de output, dus wie tekent voor wat er onder de naam van het kantoor naar buiten gaat.
- De transparantiemeldingen, dus waar en hoe je klanten vertelt dat er AI in het spel is.
- Controlepunten per taaktype, dus welke controle volgt op welk soort AI-output.
- De vastlegging van AI-geletterdheid, met een gedateerd overzicht per medewerker van wat er aan kennisopbouw is gedaan.
In de praktijk ontbreekt het AI-register het vaakst. Tools die niemand heeft goedgekeurd en die toch in gebruik zijn, oftewel shadow AI, vallen buiten elk beleid dat je erboven legt.
Welke controles je in je AI-beleid vastlegt
De controles in je AI-beleid bepalen of het document iets waard is, want een richtlijn zonder controlepunt is een intentieverklaring. Compliance-software is hiervoor niet nodig, en buiten de hoog-risico-categorie kent Nederland geen erkend keurmerk of verplichte audit voor AI-systemen.
Uit mijn jaren bij Rabobank, ABN Amro en Van Lanschot neem ik het four-eyes-principe mee naar AI-werk. In elke implementatie vertaal ik dat naar controlepunten op MKB-schaal: niet een complete compliance-afdeling, wel een tweede paar ogen op het werk dat onder je eigen naam de deur uit gaat. Compliance-denken uit de bankensector komt daarbij neer op drie vragen: welke data mag erin, welke claims kun je verantwoorden, en wie is aansprakelijk voor het resultaat.
Niet elke taak heeft hetzelfde risicoprofiel, en de controle-intensiteit hoort daarin mee te bewegen. Een interne samenvatting vraagt minder dan een advies dat naar een klant gaat. In gereguleerde sectoren weegt dat extra zwaar, omdat de output onder beroepsverantwoordelijkheid valt en AI-gebruik door juristen daarmee ook tuchtrechtelijke gevolgen kan hebben.
Wat AI Act compliance je organisatie kost
Wat AI Act compliance je organisatie kost, valt voor de meeste dienstverleners mee, omdat je geen conformiteitssoftware of certificering nodig hebt. De kosten zitten vooral in tijd: het AI-register opstellen, de richtlijn schrijven, transparantiemeldingen inrichten en je medewerkers bijscholen.
De grootste kostenpost is het in kaart brengen van alle AI die je organisatie gebruikt, inclusief de functies die ongemerkt in bestaande pakketten zitten. Dat werk is eenmalig zwaar en daarna een kwestie van bijhouden.
Beginnen bij één of twee processen werkt daarbij beter dan een organisatiebreed project, omdat een gefaseerde AI implementatie voor het mkb de eerste stap klein genoeg houdt om af te maken.
De eerste stappen om aan de AI Act te voldoen
De eerste stappen om aan de AI Act te voldoen kosten geen juridisch leger, maar wel discipline. Begin met het AI-register, want zonder overzicht van wat er in gebruik is, schrijf je beleid voor een situatie die je niet kent.
Leg daarna de datagrens en de verantwoordelijkheid voor output vast in een korte richtlijn, richt de transparantiemeldingen in waar je AI naar buiten gebruikt, en zorg voor een vast controlepunt op AI-output voordat die naar een klant gaat. Sluit af met het vastleggen van wat je aan AI-geletterdheid hebt gedaan, in een gedateerd overzicht per medewerker dat aansluit op artikel 4.
Voor notariskantoren met hun eigen poortwachtersrol vraagt dit een sectorspecifieke uitwerking, waarbij een traject rond AI compliance in het notariaat per akte-type vaste controlestappen vastlegt en aansluit op de KNB AI-weegschaal.
Pas wanneer het hele team volgens dezelfde werkwijze werkt, wordt de AI-verordening onderdeel van hoe je werkt in plaats van een losse nalevingsoefening. Wil je die werkwijze samen met je team opbouwen, dan is een kennismaking over een AI-implementatietraject de eerste stap.
