De AI Act voor bedrijven: wat moet je doen?

Wat vraagt de AI Act voor bedrijven nu al en wat geldt pas later?

De AI Act voor bedrijven hangt af van het volgende: welke AI een organisatie gebruikt of maakt, in welke van de vier risicocategorieën die valt en of de organisatie aanbieder of gebruiksverantwoordelijke is. De verboden praktijken en de plicht rond AI-geletterdheid gelden sinds 2 februari 2025 en de transparantieverplichtingen sinds 2 augustus 2026; het negende verbod geldt pas vanaf 2 december 2026 en voor de machineleesbare markering van content uit systemen die al vóór 2 augustus 2026 op de markt waren geldt een overgangstermijn tot 2 december 2026. De hoog-risicoregels gelden sinds de Digital Omnibus vanaf 2 december 2027 voor toepassingen uit bijlage III en vanaf 2 augustus 2028 voor AI in producten uit bijlage I (stand 23 september 2026).

Kan een organisatie onder de AI Act voor bedrijven ongemerkt aanbieder worden?

Ja. Volgens artikel 25 gebeurt dat bij een hoog-risicosysteem wanneer een organisatie er de eigen naam of het eigen merk op zet, het ingrijpend wijzigt of een systeem zo inzet dat het een hoog-risicotoepassing wordt. Onder de AI Act voor bedrijven speelt die vraag bijvoorbeeld bij een algemene AI-tool die sollicitanten gaat rangschikken.

Hoe lang bewaart een gebruiksverantwoordelijke van een hoog-risicosysteem de logs onder de AI Act voor bedrijven?

Minimaal zes maanden bewaart een gebruiksverantwoordelijke van een hoog-risicosysteem de automatisch gegenereerde logs, volgens artikel 26. Onder de AI Act voor bedrijven noemt hetzelfde artikel voor die gebruiksverantwoordelijken onder meer ook menselijk toezicht, het melden van incidenten en het vooraf informeren van werknemers en hun vertegenwoordigers bij inzet van zo'n systeem op de werkvloer.

Komt de AI Act voor bedrijven aan bod in het AI Readiness Assessment?

Ja. Het AI Readiness Assessment bevat een risico- en compliance-scan, inclusief de positionering van toepassingen onder de AI-verordening. Voor een directie of raad van commissarissen die eerst een gedeeld beeld nodig heeft, behandelt de Executive Briefing ook regelgeving en toezicht.

Bron: artikel van Dave Willemstein; primaire bron: Europese Commissie, "AI Act" (regulatory framework AI); Verordening (EU) 2024/1689 (AI Act), EUR-Lex; Verordening (EU) 2026/1744 (Digitale omnibus inzake AI), EUR-Lex; Europese Commissie, "AI Omnibus enters into force" (27 juli 2026) (peildatum 6 oktober 2026). Bijgewerkt: oktober 2026.

Wat is de AI Act?

De AI Act, officieel Verordening (EU) 2024/1689 en in het Nederlands de AI-verordening, is de Europese wet die regels stelt aan het ontwikkelen en gebruiken van AI. De wet trad op 1 augustus 2024 in werking en wordt stapsgewijs van toepassing. Omdat het een verordening is, geldt ze direct in alle lidstaten, zonder dat Nederland haar eerst in een eigen wet hoeft om te zetten.

Het uitgangspunt is eenvoudig: hoe groter het risico van een AI-toepassing voor gezondheid, veiligheid of grondrechten, hoe strenger de regels. Voor de AI Act voor bedrijven betekent dat: de meeste toepassingen die je vandaag gebruikt, zoals tekstassistenten, samenvattingstools of een zoekfunctie in interne documenten, vallen in de lichtste categorie. Maar een paar verplichtingen gelden voor vrijwel iedereen.

In 2026 is de wet voor het eerst gewijzigd. De Europese Commissie stelde in november 2025 de Digital Omnibus voor om de regels te vereenvoudigen en de hoog-risicoverplichtingen uit te stellen. Het Europees Parlement en de Raad bereikten op 7 mei 2026 een politiek akkoord. De wijziging is gepubliceerd als Verordening (EU) 2026/1744 en trad volgens de Europese Commissie op 27 juli 2026 in werking. Dat is dus geen voorstel meer, maar geldend recht.

De belangrijkste wijzigingen door de Omnibus:

• De hoog-risicoregels schuiven op naar 2 december 2027 (bijlage III) en 2 augustus 2028 (bijlage I).
• De plicht rond AI-geletterdheid is afgezwakt tot een plicht om maatregelen te nemen, zonder vereist niveau; de Commissie en de lidstaten krijgen een grotere rol in het ondersteunen daarvan.
• Vereenvoudigingen voor het mkb gelden nu ook voor zogenoemde small mid-caps.
• De registratieplicht voor vrijgestelde systemen in de Europese database is vereenvoudigd.
• Er is een verbod bijgekomen op AI-systemen die zonder toestemming intieme beelden genereren, zoals nudify-apps. Dat verbod geldt vanaf 2 december 2026.
• Het verwerken van bijzondere persoonsgegevens om bias op te sporen en te corrigeren wordt onder voorwaarden toegestaan.

Deze pagina is een praktische toelichting en geen juridisch advies. Laat de kwalificatie van je eigen toepassingen toetsen door een jurist of je functionaris gegevensbescherming.

Risicocategorieën

De AI Act kent vier risiconiveaus. Voor elke toepassing bepaal je in welke categorie die valt; dat is je eigen verantwoordelijkheid als organisatie.

1. Onaanvaardbaar risicoVerboden, zoals social scoring en emotieherkenning op de werkvloer
2. Hoog risicoStrenge eisen, bijvoorbeeld bij werving en selectie of kredietbeoordeling
3. TransparantierisicoInformatieplicht, bijvoorbeeld bij chatbots en door AI gegenereerde content
4. Minimaal risicoGeen specifieke AI Act-regels; hier valt de meeste AI die nu wordt gebruikt

Onaanvaardbaar risico. Sinds 2 februari 2025 zijn bepaalde praktijken verboden. De Europese Commissie noemt er na de Omnibus negen; het negende verbod geldt pas vanaf 2 december 2026. De negen zijn: schadelijke manipulatie en misleiding, het uitbuiten van kwetsbaarheden, social scoring, het voorspellen van strafbare feiten op basis van persoonskenmerken, het ongericht scrapen van gezichtsbeelden, emotieherkenning op de werkplek en in het onderwijs, biometrische categorisering op beschermde kenmerken, realtime biometrische identificatie op afstand door de politie in openbare ruimten, en systemen die zonder toestemming intieme beelden of kindermisbruikmateriaal genereren.

Hoog risico. Hier gelden de zwaarste eisen: risicobeheer, datakwaliteit, logging, documentatie, menselijk toezicht en robuustheid. Het gaat om twee groepen. De eerste zijn AI-systemen in producten die al onder Europese productwetgeving vallen (bijlage I). De tweede zijn toepassingen in gevoelige gebieden (bijlage III): biometrie, kritieke infrastructuur, onderwijs en beroepsopleiding, werkgelegenheid, toegang tot essentiële private en publieke diensten, rechtshandhaving, migratie en grensbeheer, en rechtspraak en democratische processen. Voor bedrijven zijn vooral werving en selectie, personeelsbeoordeling en kredietbeoordeling herkenbare voorbeelden.

Transparantierisico. Mensen moeten weten dat ze met AI te maken hebben. Een chatbot moet laten weten dat het een AI-systeem is, deepfakes moeten als zodanig worden gemeld en door AI gegenereerde content moet machineleesbaar worden gemarkeerd.

Minimaal risico. Alle overige AI, zoals spamfilters of een tekstassistent voor interne notities. Hiervoor gelden geen specifieke AI Act-regels, al blijft de plicht rond AI-geletterdheid gelden voor iedereen die AI inzet.

Daarnaast gelden aparte regels voor AI-modellen voor algemene doeleinden (general purpose AI, GPAI), zoals de taalmodellen achter chatbots. Aanbieders daarvan moeten sinds 2 augustus 2025 onder meer technische documentatie opstellen en een beleid hebben voor auteursrecht. Voor modellen met een systeemrisico komt daar bij dat ze die risico’s moeten beoordelen en beperken. Die plichten liggen bij de makers van de modellen, niet bij bedrijven die ze gebruiken.

Verplichtingen per rol

Welke AI Act-verplichtingen je hebt, hangt af van je rol. De twee belangrijkste rollen zijn:

• Aanbieder: de organisatie die een AI-systeem of AI-model ontwikkelt, of laat ontwikkelen, en het onder eigen naam of merk op de markt brengt of in gebruik neemt, betaald of gratis.
• Gebruiksverantwoordelijke (in het Engels deployer): de organisatie die een AI-systeem onder eigen verantwoordelijkheid gebruikt, behalve bij puur persoonlijk, niet-beroepsmatig gebruik.

Daarnaast kent de wet importeurs en distributeurs. De meeste bedrijven zijn gebruiksverantwoordelijke. Let wel op: je kunt ongemerkt aanbieder worden. Volgens artikel 25 gebeurt dat bij een hoog-risicosysteem als je er je eigen naam of merk op zet, het ingrijpend wijzigt, of een systeem zo inzet dat het een hoog-risicotoepassing wordt. Wie bijvoorbeeld een algemene AI-tool gaat gebruiken om sollicitanten te rangschikken, moet die vraag serieus stellen.

Verplichting	Aanbieder	Gebruiksverantwoordelijke
AI-geletterdheid (maatregelen nemen)	Ja	Ja
Transparantie bij chatbots en gegenereerde content	Systeem zo ontwerpen dat mensen het weten en content wordt gemarkeerd	Melden bij deepfakes en emotieherkenning; mensen informeren
Hoog risico: conformiteitsbeoordeling, CE-markering, technische documentatie	Ja	Nee
Hoog risico: gebruik volgens gebruiksaanwijzing, menselijk toezicht, logs bewaren	Ondersteunen met instructies	Ja
Hoog risico: werknemers en betrokkenen informeren	Nee	Ja

Voor gebruiksverantwoordelijken van hoog-risicosystemen noemt artikel 26 onder meer: het systeem gebruiken volgens de gebruiksaanwijzing, menselijk toezicht beleggen bij mensen met de juiste kennis en bevoegdheid, relevante invoerdata gebruiken, de werking monitoren en incidenten melden, automatisch gegenereerde logs minimaal zes maanden bewaren, en werknemers en hun vertegenwoordigers vooraf informeren als je zo’n systeem op de werkvloer inzet.

Werk je met AI die zelfstandig taken uitvoert en daarbij persoonsgegevens verwerkt, dan speelt naast de AI Act ook de AVG. Hoe die twee samenkomen, lees je in AI agents en de AVG.

Tijdlijn

Dit is de tijdlijn zoals de Europese Commissie die na de Digital Omnibus publiceert (stand 23 september 2026):

Datum	Wat gaat er in?
1 augustus 2024	De AI Act treedt in werking
2 februari 2025	Verboden praktijken en de plicht rond AI-geletterdheid
2 augustus 2025	Governance-regels en verplichtingen voor aanbieders van AI-modellen voor algemene doeleinden
27 juli 2026	De Digital Omnibus (Verordening (EU) 2026/1744) treedt in werking
2 augustus 2026	Algemene toepassing van de verordening, waaronder de transparantieverplichtingen; het AI Office en de nationale toezichthouders beginnen met toezicht en handhaving
2 december 2026	Nieuw verbod op AI die zonder toestemming intieme beelden of kindermisbruikmateriaal genereert; machineleesbare markering van gegenereerde content voor systemen die al vóór 2 augustus 2026 op de markt waren
2 december 2027	Hoog-risicoregels voor toepassingen uit bijlage III, zoals werving en selectie, onderwijs en biometrie
2 augustus 2028	Hoog-risicoregels voor AI in producten onder Europese productwetgeving (bijlage I)

De overgangsdatum voor de markering van bestaande systemen staat ook op Ondernemersplein. Let op: bij mijn controle op 23 september 2026 toonden niet alle Nederlandse overheidspagina’s al de nieuwe hoog-risicodata. Ga bij twijfel uit van de tijdlijn van de Europese Commissie en de tekst in het Publicatieblad.

Eerste stappen voor bedrijven

Je hoeft niet te wachten tot december 2027. De verplichtingen die nu al gelden zijn goed te organiseren, en de voorbereiding op hoog risico kost tijd. Een praktische volgorde:

1. Maak een overzicht van je AI-toepassingen. Welke tools en systemen gebruik je, waarvoor, met welke data en van welke leverancier? Dit register is de basis voor alles wat volgt.
2. Bepaal per toepassing de risicocategorie en je rol. Ben je aanbieder of gebruiksverantwoordelijke? Valt de toepassing in een bijlage III-gebied?
3. Toets op verboden praktijken. Zeldzaam in het gewone bedrijfsleven, maar controleer het expliciet voor emotieherkenning of monitoring van medewerkers.
4. Regel AI-geletterdheid. Neem passende maatregelen, afgestemd op wie wat met AI doet, en houd bij wat je hebt gedaan. Een training AI-geletterdheid is daarvoor een logische bouwsteen.
5. Check je transparantie. Weten klanten dat ze met een chatbot praten? Markeer je door AI gemaakte beelden of video’s waar dat moet?
6. Bereid hoog-risicotoepassingen voor. Vraag leveranciers welke documentatie en gebruiksinstructies ze leveren, beleg menselijk toezicht en informeer de ondernemingsraad tijdig.
7. Leg het vast in beleid en governance. Maak de afspraken onderdeel van je AI beleid en richt een lichte beheersing in, zoals beschreven in AI-governance zonder bureaucratie.

Wil je weten waar je staat? Het AI Readiness Assessment bevat een risico- en compliance-scan, inclusief de positionering van je toepassingen onder de AI-verordening. Moet je directie of raad van commissarissen eerst een gedeeld beeld krijgen, dan behandelt de Executive Briefing ook regelgeving en toezicht. En wil je eerst sparren over wat de AI Act voor jouw situatie betekent, plan dan een kort gesprek.