AI consultancy
AI-verordening: welke verplichtingen raken het mkb echt?
De EU AI-verordening (Regulation (EU) 2024/1689) deelt AI-systemen in naar risico en legt de zwaarste verplichtingen op aan hoogrisicotoepassingen; de meeste mkb-bedrijven gebruiken vooral AI met beperkt risico, maar krijgen wel te maken met transparantie- en geletterdheidseisen. Met de Digital Omnibus zijn sommige deadlines in 2026 bijgesteld, dus check per toepassing wat concreet geldt.
Redactie Eindhovenadvies.nl · 9 oktober 2026 · 9 min lezen
In het kort
- De AI-verordening werkt met vier risicocategorieën: onaanvaardbaar, hoog, beperkt en minimaal risico.
- Verboden AI-praktijken en de eis van AI-geletterdheid bij medewerkers gelden al sinds februari 2025.
- Voor de meeste mkb-bedrijven is transparantie richting klanten (bijvoorbeeld bij chatbots of AI-gegenereerde content) de meest directe verplichting.
- Met de Digital Omnibus zijn in 2026 enkele deadlines voor hoogrisicosystemen verschoven; check de actuele status per toepassing.
- Begin met een inventarisatie van welke AI-systemen je gebruikt en in welke risicocategorie ze vallen, voordat je in beleid investeert.
Rond de Europese AI-verordening (AI Act) circuleert veel onterechte paniek, maar ook onterechte onverschilligheid. De wet, formeel Regulation (EU) 2024/1689, is het eerste brede wettelijke kader voor AI-systemen ter wereld (bron). Voor de meeste mkb-bedrijven in regio Eindhoven is de impact beperkter dan de krantenkoppen doen vermoeden, maar niet nul.
Vier risicocategorieën, verschillende verplichtingen
De verordening deelt AI-systemen in naar risiconiveau: onaanvaardbaar risico (verboden), hoog risico (zware eisen, bijvoorbeeld bij AI in sollicitatieprocedures of kredietbeoordeling), beperkt risico (transparantieplicht, zoals bij chatbots) en minimaal risico (geen aanvullende verplichtingen). De meeste mkb-toepassingen — een AI-schrijfassistent, een planningstool met AI-suggesties, een klantenservice-chatbot — vallen in de laagste twee categorieën.
| Categorie | Voorbeeld | Verplichting |
|---|---|---|
| Onaanvaardbaar risico | Social scoring, manipulatieve AI | Verboden sinds februari 2025 |
| Hoog risico | AI in werving & selectie, kredietbeoordeling | Risicobeheersysteem, documentatie, menselijk toezicht |
| Beperkt risico | Chatbots, AI-gegenereerde content | Transparantieplicht richting gebruiker |
| Minimaal risico | Spamfilters, AI in tekstverwerking | Geen aanvullende eisen |
Wat al geldt en wat nog komt
Sinds februari 2025 gelden het verbod op onaanvaardbare AI-praktijken en de verplichting dat organisaties zorgen voor voldoende AI-geletterdheid bij medewerkers die met AI-systemen werken (bron). De zwaardere eisen voor hoogrisicosystemen volgen gefaseerd. Met de zogeheten Digital Omnibus heeft de Europese Commissie in 2026 een aantal deadlines voor hoogrisicosystemen bijgesteld en vereenvoudigd, mede op verzoek van het bedrijfsleven (bron). Check daarom per toepassing de actuele datum in plaats van te vertrouwen op oudere overzichten.
Wat dit concreet betekent voor mkb-bedrijven
Voor de meeste bedrijven komt de AI-verordening neer op drie praktische punten: zorg dat medewerkers die met AI werken voldoende kennis hebben van de risico's (AI-geletterdheid), wees transparant naar klanten wanneer zij met een AI-systeem communiceren, en houd een overzicht bij van welke AI-systemen in gebruik zijn — ook de systemen die via software van leveranciers 'stiekem' AI bevatten.
Stappenplan voor een eerste inventarisatie
1. Stap 1: inventariseer AI-gebruik
Breng in kaart welke AI-systemen je zelf gebruikt of inkoopt, inclusief AI-functies die verstopt zitten in bestaande software.
2. Stap 2: classificeer per risicocategorie
Bepaal per systeem of het onder verboden, hoog, beperkt of minimaal risico valt.
3. Stap 3: regel AI-geletterdheid
Zorg dat medewerkers die met AI werken basiskennis hebben van de mogelijkheden, risico's en grenzen van de gebruikte systemen.
4. Stap 4: transparantie naar klanten
Communiceer duidelijk wanneer klanten met een AI-systeem interacteren, bijvoorbeeld bij een chatbot.
5. Stap 5: leg beleid en verantwoordelijkheid vast
Wijs een intern aanspreekpunt aan en leg vast hoe je nieuwe AI-toepassingen toetst voordat je ze in gebruik neemt.
Waar AI-verplichtingen raken aan andere compliance
AI-verordening, privacywetgeving en informatiebeveiliging overlappen sterk: een AI-systeem dat persoonsgegevens verwerkt, moet ook aan de AVG voldoen. Combineer daarom een AI-inventarisatie met de expertise van een privacy consultant en bekijk de bredere aanpak via compliance advies. Bedrijven die eerder al een traject rond de Cyberbeveiligingswet zijn gestart, kunnen die basis vaak hergebruiken voor AI-governance.
Wie AI al gebruikt in pilots en nu wil opschalen naar productie, doet er goed aan compliance vanaf het begin mee te nemen; lees daarvoor ons artikel van AI-pilot naar productie. Voor concreet advies over jouw specifieke situatie kun je terecht bij AI advies, de bredere dienst AI consultancy of een gesprek met een AI consultant.
Veelgestelde vragen
Geldt de AI-verordening ook voor kleine bedrijven?
Ja, de verordening maakt geen algemene uitzondering voor het mkb, al gelden voor sommige verplichtingen lichtere eisen. De impact hangt vooral af van welke AI-systemen je gebruikt, niet van je bedrijfsgrootte alleen.
Moet ik nu al iets doen?
Ja: het verbod op onaanvaardbare AI-praktijken en de eis van AI-geletterdheid gelden al. Voor hoogrisicosystemen gelden latere, deels bijgestelde deadlines.
Wat is de Digital Omnibus?
Een pakket wijzigingen van de Europese Commissie in 2026 dat een aantal deadlines en eisen voor hoogrisico-AI-systemen vereenvoudigt en verschuift, mede op verzoek van bedrijven en lidstaten.
Valt een chatbot op mijn website onder hoog risico?
In de meeste gevallen niet; een chatbot valt doorgaans onder beperkt risico, wat vooral een transparantieplicht met zich meebrengt richting de gebruiker.
Wat gebeurt er als ik niets doe?
Bij overtredingen van de verordening kunnen aanzienlijke boetes worden opgelegd, vergelijkbaar in opzet met de AVG. Voor de meeste mkb-toepassingen is het risico beperkt, maar een inventarisatie voorkomt verrassingen.
