De EU AI Act in de praktijk: wat er nu geldt voor uw MKB-software

De Europese AI-verordening (AI Act) is sinds 1 augustus 2024 van kracht. Sinds 2 augustus 2026 gelden onder meer de transparantieverplichtingen voor AI-systemen. De verplichtingen voor AI-systemen met een hoog risico zijn in juli 2026 door de EU uitgesteld, maar staan wel vast. Veel directeuren en operationeel managers in het MKB gaan er nog steeds van uit dat de verordening uitsluitend geldt voor techbedrijven zoals OpenAI, Anthropic of Microsoft. Dat is een kostbare misvatting.

De wet maakt onderscheid tussen de maker van een systeem (de aanbieder, in de verordening de "provider") en de zakelijke gebruiker (de "deployer", in de Nederlandse tekst de gebruiksverantwoordelijke). Zodra uw organisatie een extern AI-model integreert in uw bedrijfsvoering, kwalificeert u zich juridisch als gebruiksverantwoordelijke. Daarmee verschuift een aanzienlijk deel van de wettelijke zorgplicht direct naar uw bureau.

De risicoklassen op de werkvloer

De AI Act hanteert een risicogebaseerde classificatie. Voor de dagelijkse praktijk van het midden- en kleinbedrijf zijn twee categorieën direct van belang.

1. Transparantieverplichtingen (beperkt risico)

Zet u op uw website een chatbot in voor klantenservice, of genereert uw marketingteam teksten en beeldmateriaal via externe modellen? Artikel 50 van de AI Act vereist dat eindgebruikers weten dat zij communiceren met of kijken naar synthetische inhoud. Dit betekent het volgende.

Controleer dat de chatbot of voice-agent de gebruiker vooraf meldt dat het om AI gaat. De aanbieder moet dit inbouwen (artikel 50, lid 1); u moet als gebruiker vaststellen dat die melding daadwerkelijk zichtbaar is.

Zorg voor een herkenbare markering van AI-gegenereerde of gemanipuleerde beeld-, audio- en videocontent (deepfakes). Voor AI-gegenereerde tekst die wordt gepubliceerd om het publiek te informeren over aangelegenheden van algemeen belang geldt een uitzondering: labelen hoeft niet als de tekst een inhoudelijke menselijke eindredactie heeft ondergaan en een natuurlijke of rechtspersoon de redactionele verantwoordelijkheid draagt. Die tekstuitzondering geldt niet voor deepfake-beeld, -audio of -video.

De transparantieverplichtingen van artikel 50 gelden sinds 2 augustus 2026 (artikel 113). Aanbieders van generatieve AI-systemen die al vóór die datum in de handel waren, moeten uiterlijk op 2 december 2026 aan de markeringsplicht van artikel 50, lid 2, voldoen (artikel 111, lid 4, ingevoegd door Verordening (EU) 2026/1744).

Bijgewerkt op 23 september 2026: in een eerdere versie van dit artikel stond dat ook de regels voor hoog-risico-systemen uit bijlage III vanaf 2 augustus 2026 gelden. Dat klopt niet meer. Verordening (EU) 2026/1744 (de digitale omnibus inzake AI, gepubliceerd op 24 juli 2026) heeft die datum verschoven naar 2 december 2027. Voor hoog-risico-systemen die onder de productwetgeving van bijlage I vallen, geldt 2 augustus 2028.

2. Systemen met een hoog risico (Bijlage III)

Hier liggen de grootste compliance-risico's voor niet-technologische bedrijven. AI-toepassingen voor werving, selectie en personeelsbeoordeling vallen onder Bijlage III. Maakt u gebruik van software die CV's automatisch rangschikt of filtert, die prestaties of productiviteit van werknemers monitort en beoordeelt, of die taken autonoom toewijst op basis van gedragsdata?

Dan geldt die software in beginsel als hoog risico. Die kwalificatie vervalt alleen als aantoonbaar is dat het systeem geen significant risico vormt voor de gezondheid, veiligheid of grondrechten van personen (artikel 6, lid 3). Die uitzondering geldt niet wanneer het systeem profilering van personen uitvoert, wat bij HR-selectietools vrijwel altijd het geval is.

Als gebruiksverantwoordelijke rust op uw organisatie dan vanaf 2 december 2027 een reeks verplichtingen uit artikel 26. U belegt menselijk toezicht bij bekwame personen, u monitort de werking van het systeem, u bewaart de logbestanden, en u informeert werknemers en hun vertegenwoordigers vóór ingebruikname. Voor zover u zelf de invoergegevens bepaalt, zorgt u dat die relevant en voldoende representatief zijn. De registratie van het systeem in de EU-databank en het opsporen van vertekening in de trainingsdata liggen bij de aanbieder (artikel 49, lid 1 en artikel 10). Alleen overheidsinstanties die zo'n systeem gebruiken, hebben zelf een registratieplicht (artikel 49, lid 3).

De aansprakelijkheidskloof in leverancierscontracten

Een veelvoorkomend knelpunt zit in de inkoop van software. Veel SaaS-leveranciers bouwen AI-koppelingen in hun bestaande ERP-, CRM- of HR-pakketten. In de algemene voorwaarden sluiten zij aansprakelijkheid voor foutieve output of wetsovertredingen vrijwel altijd uit.

Wanneer een sollicitant een klacht indient wegens discriminatie door uw geautomatiseerde selectietool, kunt u zich niet verschuilen achter de softwareleverancier. De toezichthouder spreekt de organisatie aan die het systeem inzet. In Nederland is de wettelijke aanwijzing van de nationale AI-toezichthouders op dit moment nog niet afgerond. De Autoriteit Persoonsgegevens vervult sinds 2023 een coördinerende rol voor algoritmetoezicht en de Rijksinspectie Digitale Infrastructuur is aangekondigd als beoogd coördinerend markttoezichthouder.

Wat kunt u nu al inrichten?

De hoog-risicoverplichtingen gelden pas vanaf december 2027, maar de voorbereiding kost tijd. Drie praktische stappen kunt u nu al zetten.

Stel een register op van actieve AI-systemen. Breng in kaart welke afdelingen welke applicaties gebruiken, inclusief ingebouwde AI-functies in bestaande software.

Toets leveranciersovereenkomsten. Controleer of uw SaaS-contracten garanties bevatten over datakwaliteit, logs en naleving van de AI Act. Eis inzage in de technische documentatie als het HR-software betreft.

Leg menselijke escalatiepaden vast. Zorg dat beslissingen met rechtsgevolgen of aanzienlijke invloed op personen nooit volledig autonoom worden genomen.

Wie nu orde op zaken stelt, hoeft innovaties niet stil te leggen. Voldoen aan de AI Act vraagt vooral om inzicht in uw datastromen en contractuele helderheid met leveranciers.

Wilt u snel duidelijkheid over de juridische status van uw huidige systemen? Vraag de REZA Legal Quickscan aan voor een inventarisatie van uw risico's.