Veel MKB-bedrijven overtreden de Europese AI-wet al. Meestal zonder het te weten.

De AI Act geldt al sinds februari 2025, en in juli is hij flink aangepast. Er gaat veel onzin rond, dus hier even een overzicht.

De grootte van een bedrijf maakt voor de plichten nauwelijks uit

Een bakkerij met 8 man heeft dezelfde basisplichten als een multinational. Toch valt het mee. De meeste MKB'ers bouwen geen AI, ze gebruiken het. In wetstaal heet dat "gebruiksverantwoordelijke". Voor wie ChatGPT, Copilot of een AI-functie in het boekhoudpakket gebruikt, is het lijstje gelukkig kort.

Wat nu al geldt

1. AI-geletterdheid. Sinds februari 2025 moeten bedrijven die AI inzetten zorgen dat hun mensen begrijpen wat ze gebruiken. Sinds juli 2026 is dat iets afgezwakt: een certificaat is niet nodig. Een korte training, een A4 met gebruiksregels en een lijstje wie wat heeft gevolgd wel.
2. Verboden toepassingen. Software die emoties van medewerkers analyseert, zoals de stemming van callcentermedewerkers. Dat mag simpelweg niet.
3. Transparantie. Sinds 2 augustus 2026 moeten deepfakes moeten als AI gelabeld worden. Chatbots moeten melden dat ze een bot zijn. Dat laatste is formeel de plicht van de leverancier, maar wie zelf een chatbot laat bouwen, ís de leverancier.

Wat later komt

Hoog-risico-AI is uitgesteld tot december 2027. Denk aan AI die cv's selecteert, medewerkers beoordeelt of kredietwaardigheid bepaalt. Dat is uitstel, geen afstel: een HR-tool die vandaag gekocht wordt, draait in 2028 meestal nog steeds.

Waar bedrijfsgrootte wél uitmaakt: de boete

Voor MKB'ers geldt een percentage van de omzet. Dit is 1%, 3% of 7% afhankelijk van het soort van overtreding. Sinds de wijziging van juli geldt dat deels ook voor "small mid-caps", bedrijven tot 750 medewerkers.

Wat nu te doen als je safe wilt zitten?

1. Breng in kaart welke AI-tools er gebruikt worden, en door wie. Ook de tools die medewerkers op eigen houtje gebruiken, en dat zijn er altijd meer dan het management denkt.
2. Check of er verboden toepassingen tussen zitten zoals HR of krediet, of om iets wat klanten te zien krijgen.
3. Label waar nodig: AI-beeld, AI-video, de chatbot.
4. Regel een korte training en een paar heldere gebruiksregels, en leg vast wie wat gehad heeft.

In Nederland coördineren de Autoriteit Persoonsgegevens en de RDI het toezicht. De nationale uitvoeringswet is nog onderweg, dus boetes worden nog niet uitgedeeld. Maar ja, wachten op de eerste boete is geen strategie.