Nog twee maanden. Op 2 augustus 2026 treedt het volledige pakket aan verplichtingen van de EU AI Act in werking, en dan moeten bedrijven kunnen aantonen dat ze weten welke AI-tools ze inzetten en hoe medewerkers die verantwoord gebruiken. De meeste MKB-ondernemers weten dit niet, of gingen ervan uit dat de wet alleen bedoeld is voor grote techbedrijven. Dat is een misverstand dat nu urgentie krijgt.
Wat de EU AI Act inhoudt voor jouw bedrijf
De AI Act werkt met risicocategorieën. Hoe groter het risico dat een AI-systeem vormt, hoe strenger de eisen. Systemen die besluiten nemen over mensen, zoals het beoordelen van sollicitanten, het bepalen van kredietwaardigheid of het stellen van medische diagnoses, vallen in de zwaarste categorie. Die eisen zijn pittig en voor de meeste kleine bedrijven niet van toepassing.
Maar ook als je alleen ChatGPT gebruikt om offertes te schrijven, of Microsoft Copilot inzet om vergaderverslagen samen te vatten, gelden er vanaf augustus eisen. Het gaat om transparantie en documentatie: je moet kunnen laten zien dat je weet wat je gebruikt en dat je medewerkers daarin zijn meegenomen. Meer informatie over wat de wet van Nederlandse bedrijven verwacht vind je op de officiële pagina van Ondernemersplein.
Welke tools vallen eronder (breder dan je denkt)
Hier gaat het in de praktijk mis: de meeste ondernemers denken bij AI alleen aan ChatGPT. De wet is een stuk breder. De volgende tools tellen allemaal mee voor je AI-inventarisatie:
- Microsoft Copilot in Word, Excel of Teams
- AI-functies in je boekhoudpakket of CRM-systeem
- Grammarly of DeepL voor teksten
- Chatbots op je website
- LinkedIn-tools met AI-aanbevelingen
- Generatieve functies in Canva of Adobe Express
- AI-planning in agenda- of projectmanagementsoftware
Als je er meer dan drie gebruikt, en de meeste bedrijven gebruiken er tien of meer, heb je werk aan de winkel. Dat is ook wat eerder onderzoek liet zien: meer dan de helft van werknemers gebruikt al AI op de werkvloer, vaak zonder dat werkgevers dat precies weten. De AI Act vraagt nu juist om dat inzicht.
Drie dingen die je vóór augustus moet regelen
Voor de meeste MKB-bedrijven komt naleving neer op drie concrete stappen:
1. Een AI-register
Maak een overzicht van alle AI-tools die je bedrijf gebruikt. Noteer per tool de naam, het doel, de aanbieder en wat voor data erin gaat. Een spreadsheet van een A4 is voldoende. Dit register is het fundament van alles wat daarna komt.
2. Een AI-beleid
Schrijf een korte notitie over hoe je organisatie met AI omgaat. Welke tools zijn toegestaan? Wat mag er niet in een prompt, denk aan klantgegevens of vertrouwelijke informatie? Wie is eindverantwoordelijk? Een halve pagina per onderwerp is genoeg voor een bedrijf tot twintig medewerkers.
3. Medewerkers informeren en dat vastleggen
Documenteer dat je team op de hoogte is van de gebruikte tools en de risico's ervan. Een e-mail met leesbevestiging, een verslag van een teamoverleg of een korte interne training zijn allemaal acceptabel als bewijs. Het gaat erom dat je kunt aantonen dat het gesprek heeft plaatsgevonden.
Wie verwerkersovereenkomsten heeft met leveranciers die AI-tools aanbieden, doet er goed aan die nu ook te controleren. Staat er al iets in over AI? Is de leverancier transparant over hoe het model werkt? Zo niet, dan is dit een goed moment om dat gesprek aan te gaan.
Wat er op het spel staat als je niets doet
De Autoriteit Persoonsgegevens is in Nederland aangewezen als toezichthouder voor de AI Act. Handhaving richt zich in eerste instantie op bedrijven die verboden AI inzetten of hoog-risico toepassingen gebruiken zonder enige controle. Maar een klacht van een medewerker of een zakelijke klant kan ook een klein bedrijf in een onderzoek doen belanden.
Minstens zo praktisch is het reputatierisico: steeds meer zakelijke klanten vragen in aanbestedingsprocedures al naar een AI-beleid en een compliance-verklaring. Wie dat niet heeft, valt af, los van wat de toezichthouder doet. Naleving is daarmee niet alleen een wettelijke kwestie, maar ook een commercieel signaal.
Zo kom je er in een halve dag doorheen
Het goede nieuws: voor een bedrijf met vijf tot twintig medewerkers kost de basisinrichting vier tot acht uur. Geen consultants nodig. Reserveer een ochtend, begin met een uur om alle AI-tools in kaart te brengen, schrijf daarna een kort beleid en stuur dat rond naar je team. Leg alles vast in een gedeeld document en plan een vaste check per kwartaal in om het bij te houden.
De bedrijven die al actief nadenken over hoe AI hun organisatie verandert, zoals besproken in ons eerdere artikel over AI-agents, zijn ook het best gepositioneerd om dit snel te regelen. Wie de tools al kent, heeft het register in een uur op papier. Twee maanden is ruim voldoende, als je nu begint.