Wat de AI-verordening betekent voor een bedrijf van tien man
Je gebruikt een AI-tool om offertes op te stellen. Iemand op kantoor laat een chatbot klantvragen beantwoorden. Je hebt software gekocht waar "AI" op staat. En dan hoor je dat er een Europese AI-verordening is met boetes die in de miljoenen lopen.
De eerste vraag is niet wat je moet regelen. De eerste vraag is wat je bent.
Je bent waarschijnlijk gebruiker, geen aanbieder
De verordening legt het zwaarste pakket bij de aanbieder: de partij die een AI-systeem ontwikkelt en op de markt brengt. Koop je AI in en gebruik je het in je eigen bedrijf, dan ben je gebruiksverantwoordelijke. Dat is een aanzienlijk lichter regime.
Let op één ding: die rollen kunnen kantelen. Zet je jouw naam op een ingekocht systeem, of pas je het wezenlijk aan en breng je het zo op de markt, dan kun je alsnog als aanbieder worden aangemerkt. Dat is precies het soort vraag waar het in de praktijk misgaat.
Wat nu al geldt
Twee verplichtingen zijn al van kracht en worden vaak over het hoofd gezien.
Sinds 2 februari 2025 geldt de verboden-praktijkenlijst. Denk aan systemen die mensen manipuleren op een manier die schade veroorzaakt, of die emoties afleiden op de werkvloer. Dat laatste raakt meer bedrijven dan je zou denken. Die lijst ligt niet vast: bij de wijziging van juli 2026 zijn er twee verboden bij gekomen die over het genereren van beeldmateriaal gaan, en die gelden vanaf 2 december 2026.
Sinds diezelfde datum geldt de AI-geletterdheidsplicht, en die is op 27 juli 2026 herschreven. Tot dan moest je zorgen dát je mensen voldoende verstand van AI hadden. Nu moet je maatregelen nemen die hun AI-geletterdheid ondersteunen, en staat er uitdrukkelijk bij dat je van niemand een bepaald niveau hoeft te garanderen. Dat is een inspanning, geen formulier — en voor een klein bedrijf meestal de eerste verplichting die echt iets vraagt.
Sinds 2 augustus 2025 gelden de regels voor AI-modellen voor algemene doeleinden. Die raken jou als gebruiker meestal indirect, via je leverancier.
Wat er op 2 augustus 2026 bij is gekomen
De transparantieverplichtingen uit artikel 50. De kern: mensen moeten weten dat ze met AI te maken hebben.
Praat een chatbot met je klanten, dan moet dat duidelijk zijn. Publiceer je door AI gegenereerde tekst, beeld of geluid, dan gelden er markeringsregels. Voor systemen die al vóór die datum in gebruik waren, geldt voor de markeringsplicht uitstel tot 2 december 2026.
Ook het hoofdstuk over toezicht en rechtsmiddelen is per die datum in werking.
Wat is uitgesteld
Hier is in de zomer van 2026 iets veranderd dat je moet weten.
De eisen voor hoogrisicosystemen zouden op 2 augustus 2026 ingaan. Bij wijzigingsverordening (EU) 2026/1744 zijn ze verschoven:
- Hoogrisicosystemen uit bijlage III: naar 2 december 2027.
- Hoogrisicosystemen die in producten zijn ingebouwd, bijlage I: naar 2 augustus 2028.
Dat is lucht, geen afstel. En het geldt alleen voor de hoogrisico-eisen, niet voor de rest.
Wat ik je zou aanraden
Begin niet met beleid schrijven. Begin met een lijst.
Zet op papier welke AI-toepassingen er daadwerkelijk in je bedrijf worden gebruikt, inclusief de tools die iemand op eigen houtje heeft aangezet. Zet erbij wat elke toepassing doet, wie de leverancier is en of er persoonsgegevens in gaan.
Die lijst beantwoordt in één keer de meeste vragen: valt er iets onder de verboden praktijken, praat er iets met klanten, en waar zit een leverancier tussen wiens contract je nog eens moet lezen.
Pas daarna is beleid nuttig. Beleid zonder inventarisatie beschrijft een bedrijf dat niet bestaat.