De AI Act uitgelegd: wat de Europese AI-verordening vraagt van je bedrijf.

Wat is de AI Act?

De AI Act, voluit de Europese AI-verordening (Verordening (EU) 2024/1689), is de eerste brede wet over AI ter wereld. Ze trad in werking op 1 augustus 2024 en geldt rechtstreeks in elke lidstaat, ook in België: er is geen Belgische omzetting nodig. De wet wordt in fases van toepassing, zodat bedrijven tijd krijgen om zich voor te bereiden.

De wet kijkt niet naar de technologie, maar naar het risico van wat je ermee doet. Een AI die offertes helpt opstellen, valt onder heel andere regels dan een AI die beslist wie een lening krijgt. En ze maakt een onderscheid tussen twee rollen:

• De aanbieder ontwikkelt een AI-systeem, of laat het ontwikkelen, en brengt het onder eigen naam op de markt of in gebruik. Denk aan OpenAI, Anthropic, Google of een softwarebedrijf dat AI in zijn pakket stopt.
• De gebruiksverantwoordelijke gebruikt een AI-systeem onder eigen verantwoordelijkheid in zijn werk. Dat is de rol van de meeste kmo's: je gebruikt ChatGPT, Claude of Copilot, of een AI-agent die voor jou gebouwd is.

Vier risiconiveaus

Van zwaar naar licht

Verbodenzoals emotieherkenning op het werk

Hoog risicozware verplichtingen, zoals bij werving en krediet

Transparantiechatbots en deepfakes moeten herkenbaar zijn

Minimaal risicogeen specifieke regels

De meeste toepassingen, zoals teksten schrijven of een planning voorstellen, vallen onder minimaal risico. De plicht rond AI-geletterdheid geldt overal.

• Onaanvaardbaar risico: verboden. Onder meer sociale scoring, manipulatie die schade veroorzaakt en emotieherkenning op het werk of op school.
• Hoog risico: zware verplichtingen. AI die beslist of mee beslist over mensen in gevoelige domeinen, zoals werving, krediet en onderwijs.
• Transparantierisico: meldplicht. Chatbots, deepfakes en door AI gemaakte inhoud moeten herkenbaar zijn.
• Minimaal risico: geen specifieke regels. De meeste toepassingen, zoals teksten schrijven, documenten uitlezen of een planning voorstellen. Enkel de plicht rond AI-geletterdheid geldt hier ook.

Los daarvan gelden er sinds 2 augustus 2025 regels voor de makers van grote AI-modellen, zoals GPT, Claude, Gemini en Mistral. Die moeten onder meer documentatie geven aan wie op hun model bouwt. Daar heb je als gebruiker zelf geen werk aan.

De tijdlijn na de Digitale Omnibus

Op 27 juli 2026 trad de Digitale omnibus inzake AI in werking (Verordening (EU) 2026/1744). Die verschoof een deel van de deadlines en versoepelde de plicht rond AI-geletterdheid. Wie nog met de tijdlijn uit 2024 werkt, rekent met data die niet meer kloppen.

Artikel 4: je team leren werken met AI

Dit is de regel die voor elk bedrijf geldt dat AI gebruikt, hoe klein ook. Sinds de Omnibus staat er dat aanbieders en gebruiksverantwoordelijken maatregelen nemen om de AI-geletterdheid van hun personeel te ondersteunen. Daarbij houd je rekening met wat mensen al weten en waarvoor ze AI gebruiken. De wet vraagt niet langer dat je een bepaald niveau waarborgt, maar ze blijft een verplichting, geen aanbeveling.

Wat dat in de praktijk betekent, volgens de vragen en antwoorden van de Europese Commissie:

• Geen certificaat nodig. Een eenvoudig intern overzicht van wie welke opleiding of uitleg kreeg, volstaat.
• Ook wie namens je werkt. Freelancers en dienstverleners die met jouw AI-systemen werken, horen er ook bij.
• Op maat van het gebruik. Wie ChatGPT gebruikt voor teksten, moet bijvoorbeeld weten dat AI soms overtuigend klinkende fouten maakt en dat je vertrouwelijke gegevens niet zomaar in een gratis account plakt.

Wat iemand per rol moet weten en hoe je het in vijf stappen regelt, lees je in AI-geletterdheid: wat het is en hoe je het regelt. Een praktische opleiding op jullie eigen taken is de eenvoudigste manier om het in orde te brengen; zo pakken wij dat aan bij een AI-opleiding voor je team.

Transparantie: sinds 2 augustus 2026

Sinds 2 augustus 2026 moeten mensen weten wanneer ze met AI te maken hebben. Voor een kmo zijn er vooral drie situaties:

• Een chatbot of AI-assistent voor klanten. Wie ermee praat, moet weten dat het AI is, tenzij dat al overduidelijk is. Een openingszin als "Je chat met de digitale assistent van ons bedrijf. Een collega neemt over als het nodig is." volstaat. Dat geldt ook aan de telefoon: onze eigen AI-receptionist Receptra zegt het in zijn eerste zin.
• Deepfakes. Beeld, geluid of video die echt lijken maar door AI gemaakt of bewerkt zijn, moet je als zodanig aanduiden.
• AI-tekst die het publiek informeert over zaken van algemeen belang, zoals een nieuwsbericht. Kijkt een mens de tekst na en neemt die er de verantwoordelijkheid voor, dan vervalt die meldplicht.

Een offerte, mail of blogartikel dat met hulp van AI geschreven is en dat een medewerker nakijkt en verstuurt, heeft dus geen AI-label nodig. De makers van AI-programma's zelf moeten door AI gemaakte inhoud machineleesbaar markeren; dat is hun taak, niet de jouwe.

Verboden: waar een kmo op kan botsen

De meeste verboden, zoals sociale scoring, gaan over toepassingen die je als kmo niet snel zal gebruiken. Eén verbod is wel praktisch: emotieherkenning op het werk. Software die aan het gezicht of de stem van je medewerkers afleidt of ze gestrest of geïrriteerd zijn, is verboden, behalve om medische of veiligheidsredenen. Sentimentanalyse van de tekst van klantmails valt daar volgens de Commissie niet onder, want tekst is geen biometrisch gegeven.

Hoog risico: uitgesteld, niet geschrapt

Gebruik je AI om sollicitaties te filteren of kandidaten te rangschikken, om prestaties van medewerkers te beoordelen of om de kredietwaardigheid van klanten in te schatten? Dan valt dat onder hoog risico. Die regels gelden vanaf 2 december 2027: risicobeheer, documentatie, logboeken, menselijk toezicht en meer. Een AI die enkel sollicitatiemails in een map zet en een ontvangstbevestiging klaarzet, doet een eenvoudige procedurele taak en valt daar meestal niet onder.

Uitgesteld betekent niet dat je nu alles mag. De AVG geldt vandaag al volledig, met regels over geautomatiseerde beslissingen over mensen en vaak een gegevensbeschermingseffectbeoordeling (DPIA). En wat je vandaag bouwt, moet in december 2027 aan de zware regels voldoen. Begin je aan zo'n project, vraag dan eerst juridisch advies.

Wie houdt toezicht in België?

België koos het BIPT, de federale telecomregulator, als toekomstige toezichthouder voor de AI Act, met de FOD Economie als coördinator. Begin oktober 2026 was die aanduiding nog niet formeel rond: daarvoor is nog een wet nodig. Intussen ziet de Gegevensbeschermingsautoriteit toe op alles wat persoonsgegevens raakt, en houdt het AI Office van de Europese Commissie toezicht op de makers van grote AI-modellen.

Boetes

De AI Act kent drie niveaus van boetes: tot 35 miljoen euro of 7% van de wereldwijde jaaromzet voor verboden praktijken, tot 15 miljoen euro of 3% voor de meeste andere verplichtingen, zoals de transparantieregels, en tot 7,5 miljoen euro of 1% voor foute of misleidende informatie aan de toezichthouder. Voor kmo's geldt telkens het laagste van de twee bedragen. Voor AI-geletterdheid legt de wet zelf geen Europees boetebedrag vast: dat bepalen de lidstaten.

Wat doe je nu concreet? Een checklist

1. Maak een lijst van de AI die je gebruikt: ChatGPT, Copilot, Gemini, Claude, AI in je boekhoudpakket of CRM, een chatbot op je website.
2. Bepaal je rol per toepassing. Meestal ben je gebruiksverantwoordelijke. Laat je een AI-systeem bouwen dat je onder je eigen naam aan klanten aanbiedt, dan kan je ook aanbieder zijn.
3. Leg afspraken vast: welke tools mogen, met welk soort account, welke gegevens er niet in mogen en wat altijd nagekeken wordt.
4. Zorg voor AI-geletterdheid: een opleiding of duidelijke uitleg op maat, en noteer wie wat kreeg.
5. Wees transparant bij een chatbot of AI-assistent voor klanten, en bij beelden of video die door AI gemaakt zijn.
6. Kijk je leveranciers na volgens de AVG: een zakelijk abonnement, een verwerkersovereenkomst en geen training op je gegevens.
7. Wacht met AI die over mensen beslist, zoals cv's rangschikken, tot je juridisch advies hebt.

Dit artikel is een overzicht, geen juridisch advies. Voor een concreet contract, een hoogrisicotoepassing of een twijfelgeval schakel je je eigen jurist of privacyverantwoordelijke in. Bouwen wij voor jou een AI-agent of een chatbot, dan houden we bij het ontwerp rekening met deze regels: een mens die beslist waar het ertoe doet, zo weinig mogelijk gegevens en transparantie waar die nodig is. Meer over hoe je veilig begint, lees je in Starten met AI in je kmo.

Veelgestelde vragen