AI Act: wat moet een bedrijf doen dat AI implementeert (tijdlijn tot 2027, verplichtingen, AI-competenties)

De AI Act van de EU (AI Act, Verordening 2024/1689) is sinds augustus 2024 van kracht en wordt gefaseerd toegepast. In juli 2026 nam de EU de zogeheten Digital Omnibus aan (Verordening 2026/1744), die een deel van de termijnen verschoof, vooral voor hoogrisicosystemen. Voor een bedrijf dat AI in zijn processen implementeert, betekent dit twee dingen: een deel van de verplichtingen geldt al, en voor een deel is er meer tijd dan eerdere gidsen veronderstelden.

Deze tekst ordent wat van toepassing is op een bedrijf dat AI implementeert (in de terminologie van de verordening: “gebruiker/deployer”), wat de actuele data zijn en waar te beginnen. Het is geen juridisch advies; bij hoogrisicosystemen is het de moeite waard de classificatie met een jurist te bespreken.

Belangrijkste conclusies

• Verboden en AI-competenties gelden vanaf 2 februari 2025. Elk bedrijf dat AI gebruikt, moet ervoor zorgen dat medewerkers over passende AI-competenties beschikken (art. 4).
• Transparantie richting gebruikers geldt vanaf 2 augustus 2026. Chatbots, contentgenerators en deepfakes moeten worden gelabeld.
• Hoogrisicosystemen: termijnen verschoven. Bijlage III (werving, kredietwaardigheidsbeoordeling, onderwijs, biometrie) vanaf 2 december 2027; Bijlage I (AI in gereguleerde producten, bijv. medische hulpmiddelen) vanaf 2 augustus 2028.
• De meeste zakelijke implementaties zijn minimaal risico. Een documentassistent, knowledge search of vraagprognose zijn geen hoogrisicosystemen, maar AI-competenties en transparantie blijven wel gelden.
• Boetes tot 35 miljoen EUR of 7% van de omzet voor verboden praktijken; lagere plafonds voor MKB en kleine ondernemingen met middelgrote kapitalisatie.

Wat is de AI Act en op wie is zij van toepassing

De AI Act voert uniforme regels in voor AI-systemen in de hele EU. Verplichtingen hangen af van twee zaken: de rol van het bedrijf in de waardeketen en het risiconiveau van het systeem.

Rollen in de verordening:

• Aanbieder (provider): ontwikkelt een AI-systeem en brengt het onder eigen naam of merk op de markt.
• Gebruiker (deployer): gebruikt een AI-systeem in het kader van beroepsactiviteiten. Dit is de meeste bedrijven die AI implementeren.
• Importeur en distributeur: brengen systemen van buiten de EU op de EU-markt of stellen ze verder ter beschikking.

De verordening werkt extraterritoriaal: ze geldt ook voor bedrijven buiten de EU als de outputs van hun AI-systemen in de EU worden gebruikt.

Belangrijke regel uit art. 25: een bedrijf dat een andermans hoogrisicosysteem onder eigen merk implementeert, het wezenlijk wijzigt of de bestemming wijzigt naar een hoogrisicotoepassing, wordt aanbieder en neemt diens verplichtingen over.

Vier risiconiveaus

Dezelfde technologie kan in verschillende categorieën vallen afhankelijk van de toepassing. Een taalmodel dat bedrijfsdocumenten samenvat is minimaal risico. Datzelfde model gebruikt voor preselectie van kandidaten in werving is een hoogrisicosysteem.

Tijdlijn: wat geldt al en wat is verschoven

Stand na Digital Omnibus (Verordening 2026/1744, van kracht sinds 27 juli 2026):

• 1 augustus 2024: AI Act in werking.
• 2 februari 2025: verboden (art. 5) en AI-competenties (art. 4). Van toepassing.
• 2 augustus 2025: verplichtingen voor GPAI-modellen (General-Purpose AI), toezichtstructuur, sanctiebepalingen. Van toepassing.
• 2 augustus 2026: transparantieverplichtingen (art. 50), regulatory sandboxes in elke lidstaat, algemene toepassing van de verordening buiten hoogrisicosystemen. Van toepassing.
• 2 december 2026: einde overgangsperiode voor labeling van synthetische content in systemen die vóór 2 augustus 2026 op de markt zijn gebracht; nieuwe verboden uit art. 5.
• 2 december 2027: hoogrisicosystemen uit Bijlage III (voorheen: 2-08-2026). Systemen die vóór deze datum op de markt zijn gebracht vallen pas onder de regels na een wezenlijke wijziging.
• 2 augustus 2028: hoogrisicosystemen uit Bijlage I, d.w.z. AI in producten die onder andere EU-regels vallen, bijv. medische hulpmiddelen, machines (voorheen: 2-08-2027).
• 2 augustus 2030: hoogrisicosystemen gebruikt door overheidsinstanties.

De verschuiving van termijnen verandert de reikwijdte van verplichtingen niet. Voor een hoogrisicosysteem kost het invoeren van documentatie, logging en menselijk toezicht maanden; 2027 is dichterbij dan het lijkt.

Verplichtingen van de AI-implementerende onderneming (gebruiker/deployer)

Voor elk AI-systeem, ongeacht risico

AI-competenties (art. 4). Het bedrijf moet waarborgen dat personen die AI-systemen bedienen voldoende kennis hebben van de werking, beperkingen en risico’s, passend bij de context en de groepen die door het systeem worden geraakt. De verordening schrijft geen vorm voor; in de praktijk gaat het om trainingen, interne beleidsregels en instructies.

Transparantie (art. 50). Als medewerkers of klanten met een chatbot praten, moeten zij dat weten, tenzij dit evident is. AI-gegenereerde content die in aangelegenheden van algemeen belang wordt gepubliceerd, moet als zodanig worden gelabeld. Deepfakes moeten worden gelabeld. Systemen voor emotieherkenning en biometrische categorisering vereisen dat betrokkenen worden geïnformeerd.

Voor hoogrisicosystemen (art. 26 en 27)

• Gebruik volgens de instructie van de aanbieder. De aanbieder moet instructies leveren; de gebruiker moet die naleven.
• Menselijk toezicht. Het bedrijf wijst personen aan met de competenties, training en bevoegdheden om toezicht te houden op het systeem, inclusief de bevoegdheid om beslissingen te negeren of terug te draaien.
• Inputdata. Voor zover het bedrijf de invoerdata beheerst, moeten deze passend en voldoende representatief zijn voor het beoogde gebruik. Beheer van trainingsdata is een plicht van de aanbieder, niet van de gebruiker.
• Monitoring en melding. Het bedrijf monitort de werking van het systeem; bij risico voor gezondheid, veiligheid of grondrechten wordt het gebruik gestaakt en worden de aanbieder en de markttoezichtautoriteit geïnformeerd. Ernstige incidenten moeten worden gemeld.
• Logbestanden. Het bedrijf bewaart automatisch gegenereerde logs (voor zover het daarover beschikt) minimaal 6 maanden, tenzij andere regels een langere periode vereisen.
• Werknemers. Voor de implementatie van een hoogrisicosysteem op de werkplek informeert het bedrijf werknemers en hun vertegenwoordigers.
• Betrokken personen. Het bedrijf informeert natuurlijke personen dat zij onder een door een hoogrisicosysteem ondersteunde beslissing vallen en legt op verzoek de rol van het systeem in de beslissing uit.
• Beoordeling van de gevolgen voor de grondrechten (art. 27). Verplicht voor overheidsinstanties en aanbieders van publieke diensten, en voor bedrijven die AI gebruiken voor kredietwaardigheidsbeoordeling en risicobeoordeling in levens- en zorgverzekeringen.

Een intern register van AI-systemen is niet expliciet wettelijk verplicht voor de meeste gebruikers (registratie in de EU-database betreft aanbieders en overheden), maar zonder inventarisatie zijn de overige verplichtingen niet uitvoerbaar.

AI-competenties in de praktijk

Art. 4 geldt sinds februari 2025 en betreft elk bedrijf dat AI gebruikt, ook kant-en-klare tools. Wat de competentieverhoging moet omvatten:

• Hoe de tool werkt: wat het model kan en niet kan, waar de gegevens voor antwoorden vandaan komen.
• Beperkingen: hallucinaties, afhankelijkheid van datakwaliteit, noodzaak tot verificatie bij taken met impact op mensen of financiën.
• Data: wat niet in publieke modellen ingevoerd mag worden (persoonsgegevens, bedrijfsgeheimen, klantdata) en het verschil tussen een publieke chatbot en een zakelijke implementatie.
• Rol van de mens: wie verantwoordelijk is voor een door AI ondersteunde beslissing en wanneer die verplicht is te betwisten.
• Procedures: waar foutief of zorgwekkend systeemgedrag gemeld moet worden.

Het detailniveau hangt af van de rol: anders voor het management, anders voor dagelijkse gebruikers en weer anders voor het IT-team dat het systeem beheert.

Hoe dit er in de praktijk van een implementatie uitziet

Technisch gezien komen de meeste verplichtingen van de AI Act neer op architectuurkeuzes aan het begin van het project. Bij Startup House volgen we bij implementaties van AI-assistenten, agents en kennisbasissen voor ondernemingen principes die latere compliance vergemakkelijken, ongeacht de risicoklasse:

• Antwoorden gebaseerd op gevalideerde klantdata (RAG) met bronvermelding, wat hallucinaties beperkt en de gebruiker laat controleren waar het antwoord vandaan komt.
• Integratie met bestaande toegangsbeleidssystemen (o.a. Okta), zodat AI alleen data ziet waarvoor de gebruiker geautoriseerd is.
• Implementatie in de cloud van de klant en werken met modellen onder zakelijke voorwaarden: klantdata trainen geen publieke AI-modellen.
• Logging van prompts en antwoorden vanaf de eerste versie, niet als toevoeging achteraf.
• Human-in-the-loop waar AI beslissingen over mensen of geld ondersteunt: het systeem stelt voor, de mens keurt goed.
• Transparantie naar de gebruiker: de assistent stelt zich voor als AI en meldt wanneer hij het antwoord niet weet.
• Architectuur die het mogelijk maakt het model te wisselen (bijv. van OpenAI naar Anthropic) zonder het systeem te herbouwen, omdat de eisen aan GPAI-modellen en de modellen zelf sneller veranderen dan bedrijfsapplicaties.

We werken volgens ISO 27001 en passen projecten aan de eisen van klanten in gereguleerde sectoren aan (fintech, healthcare, cybersecurity). De risicoclassificatie en juridische verplichtingen worden door de klant met de eigen juridische afdeling vastgesteld; wij leveren de technische kant: documentatie, logs, mechanismen voor toezicht en transparantie.

De inventarisatie van AI-systemen, toewijzing van verantwoordelijkheden en het bewaken van termijnen wordt ondersteund door Compliance Copilot (productpagina): de AI-agent van Startup House voor doorlopende compliance-monitoring (o.a. AVG/GDPR, DORA, NIST, ISO), die hiaten in documentatie en procedures aanwijst voordat een audit ze vindt.

Zo bereid je je bedrijf voor: 5 stappen

1. Inventarisatie. Lijst van alle AI-tools in het bedrijf: van chatbots in customer service en AI-functies in SaaS tot modellen in de backend. Voor elk: aanbieder, toepassing, wie gebruikt het, welke data gaan erin.
2. Risicoclassificatie. Toewijzing van elke tool aan een van de vier categorieën op basis van de toepassing, niet de technologie. Controleer apart of het bedrijf bij een van de tools geen aanbieder wordt (eigen merk, wezenlijke wijziging).
3. Leveranciersaudit. Voor hoogrisicosystemen: levert de aanbieder instructies, documentatie en ondersteuning voor logging? Voor GPAI-tools (modellen voor algemeen gebruik): sluit het zakelijke contract trainen op bedrijfsdata uit?
4. AI-gebruiksbeleid. Regels voor medewerkers: toegestane tools, verbod op het invoeren van gevoelige data in publieke modellen, plicht tot verificatie van resultaten, meldprocedure voor problemen, labeling van AI-gegenereerde content.
5. Competenties en procedures. Trainingen per rol, aanstelling van verantwoordelijken voor toezicht op systemen, procedures voor monitoring en incidentmelding. Voor hoogrisicosystemen: een roadmap naar compliance vóór december 2027 (Bijlage III) of augustus 2028 (Bijlage I).

Sancties bij niet-naleving van de AI Act

• Tot 35 miljoen EUR of 7% van de wereldwijde jaaromzet (het hoogste bedrag): verboden praktijken.
• Tot 15 miljoen EUR of 3%: schending van overige verplichtingen, incl. voor hoogrisicosystemen en transparantie.
• Tot 7,5 miljoen EUR of 1,5%: verstrekken van onjuiste of onvolledige informatie aan autoriteiten.

Voor MKB en startups, en na de Digital Omnibus ook voor kleine ondernemingen met middelgrote kapitalisatie, geldt het laagste van de twee bedragen. Naast boetes kan de toezichthouder het gebruik van het systeem laten staken.

Zie ook: Hoe kies je een bedrijf voor een AI-implementatie: checklist met 20 vragen en contractonderdelen · Microsoft 365 Copilot, ChatGPT Enterprise of je eigen AI-assistent?

Veelgestelde vragen

Geldt de AI Act ook voor kleine en middelgrote ondernemingen?

Ja. Er is geen uitzondering op basis van bedrijfsgrootte; verplichtingen hangen af van de rol en het risiconiveau van het systeem. Het MKB heeft lagere boeteplafonds, vereenvoudigde documentatie voor aanbieders en toegang tot regulatory sandboxes die elke lidstaat uiterlijk in augustus 2026 moest opzetten.

Is het gebruik van ChatGPT of een andere chatbot in een bedrijf in overeenstemming met de AI Act?

Het gebruik op zich wel, mits art. 4 (AI-competenties van medewerkers) en de interne gegevensbeschermingsregels worden nageleefd. Het wordt problematisch wanneer het bedrijf het model gebruikt voor een hoogrisicotoepassing (bijv. kandidaatselectie) of het integreert in het eigen product onder eigen merk: dan kan het bedrijf aanbieder worden en diens verplichtingen overnemen.

Moet ik mijn huidige AI-systeem herbouwen?

Dat hangt van de categorie af. Systemen met minimaal risico vereisen geen wijzigingen buiten transparantie als ze met gebruikers communiceren. Hoogrisicosystemen die vóór 2 december 2027 op de markt zijn gebracht, vallen pas onder de regels na een wezenlijke wijziging; nieuwe systemen moeten vanaf die datum voldoen. Systemen in de verboden categorie (bijv. emotieherkenning van werknemers) moesten uiterlijk op 2 februari 2025 worden uitgeschakeld.

Wat is het verschil tussen aanbieder en gebruiker (deployer)?

De aanbieder creëert het systeem en brengt het op de markt (bijv. producent van een model of een bedrijf dat een eigen AI-tool verkoopt). De gebruiker zet het systeem in binnen de eigen activiteiten (bijv. een bank die een externe tool voor kredietwaardigheidsbeoordeling gebruikt). Conformiteitsbeoordeling, technische documentatie en registratie rusten op de aanbieder; menselijk toezicht, monitoring, logs en informatieplicht richting werknemers op de gebruiker.

Hoe check ik of mijn systeem hoog risico is?

Bijlage III noemt domeinen: biometrie, kritieke infrastructuur, onderwijs, werving en personeelsbeheer, toegang tot essentiële diensten (incl. kredietwaardigheidsbeoordeling en verzekeringen), rechtshandhaving, migratie, rechtspraak. Bijlage I omvat AI als veiligheidsonderdeel in gereguleerde producten (medische hulpmiddelen, machines, voertuigen). Werkt het systeem in deze domeinen en beïnvloedt het beslissingen over personen, dan is het hoog risico, tenzij het uitsluitend een smalle hulpmatige taak uitvoert (uitzonderingen van art. 6 lid 3).

Wat met modellen voor algemeen gebruik (GPAI) die we via een API gebruiken?

Verplichtingen voor GPAI-modellen (documentatie, auteursrechtenbeleid, voor modellen met systemisch risico aanvullende tests) rusten op hun aanbieders en gelden vanaf 2 augustus 2025. Het bedrijf dat het model via een API gebruikt is gebruiker van het op dat model gebouwde systeem, met verplichtingen afhankelijk van de toepassing.

Hoe beïnvloedt de AI Act de ontwikkeling van AI in Poolse bedrijven?

De AI Act reguleert de implementatie van AI-oplossingen in het bedrijfsleven. Ze is belangrijk voor innovatie, veiligheid en klantvertrouwen. Bedrijven in Polen moeten de vereisten meenemen in hun investerings- en expansiestrategie.

Geldt de AI Act voor het gebruik van AI in marketing en e-commerce?

Ja, ook webshops en marketingbureaus moeten de relevante regels naleven. AI voor contentcreatie, omzetanalyse of budgetoptimalisatie valt meestal onder minimaal risico. Extra verplichtingen kunnen voortvloeien uit de manier waarop data en gegenereerde content worden gebruikt.

Hoe bereid ik het bedrijf voor op de eisen van de AI Act in het vierde kwartaal van 2026?

Begin met het analyseren van beschikbare AI-tools en het testen van hun naleving. Experts moeten risico’s aanwijzen, checklists opstellen en meldprocedures uitwerken. Train medewerkers ook vóór de start van nieuwe implementaties.

Regelt de AI Act het gebruik van AI bij werving en loonbepaling?

Ja, AI-systemen die werving, werknemersbeoordeling en beloningsbeslissingen ondersteunen, kunnen als hoogrisico worden geclassificeerd. Ze vereisen passend menselijk toezicht, documentatie en controle van de werking. Dit is cruciaal voor de bescherming van werknemersrechten en de transparantie van beslissingen.

Deze tekst is informatief en vormt geen juridisch advies. Rechtsstand: oktober 2026, na inwerkingtreding van Verordening 2026/1744 (Digital Omnibus).