Bedrijven in de EU die AI-systemen ontwikkelen, inzetten of gebruiken vallen in 2026 onder de EU AI Act. De wet is van toepassing op vrijwel elke organisatie die AI gebruikt in haar producten of bedrijfsprocessen, ongeacht bedrijfsgrootte. De concrete verplichtingen hangen af van het risiconiveau van het systeem dat je inzet. Dit artikel beantwoordt de meest gestelde vragen over wat de AI Act in de praktijk van je vraagt.
Welke bedrijven vallen onder de EU AI Act in 2026?
De EU AI Act geldt voor alle organisaties die AI-systemen aanbieden, inzetten of in gebruik nemen binnen de Europese Unie. Dat betekent dat je er als Nederlands bedrijf niet omheen kunt, ook niet als je geen AI-producten verkoopt maar AI-tools gebruikt in je eigen operatie. De wet maakt geen onderscheid naar bedrijfsgrootte: MKB, midcap en corporate vallen er allemaal onder.
De wet hanteert vier categorieën actoren: aanbieders (die een AI-systeem ontwikkelen of op de markt brengen), deployers (die een AI-systeem in gebruik nemen voor eigen doeleinden), importeurs en distributeurs. Als IT-manager of operationeel directeur ben je in de meeste gevallen een deployer. Dat klinkt als een lichtere rol, maar deployers dragen wel degelijk verplichtingen: je moet zorgen dat het systeem wordt gebruikt zoals de aanbieder het heeft bedoeld, dat medewerkers voldoende getraind zijn, en dat je toezicht houdt op de werking in de praktijk.
Bedrijven buiten de EU die AI-systemen aanbieden aan Europese gebruikers vallen ook onder de wet. Dat is relevant als je gebruikmaakt van Amerikaanse of Aziatische AI-aanbieders: hun systemen moeten voldoen aan de EU AI Act zodra jij ze inzet.
Wat zijn hoog-risico AI-systemen en gelden die voor mijn bedrijf?
Hoog-risico AI-systemen zijn systemen die worden ingezet op gebieden waar fouten grote gevolgen kunnen hebben voor mensen. De EU AI Act somt specifieke toepassingsgebieden op, waaronder HR-processen zoals werving en beoordeling, kredietscoring, toegang tot onderwijs, kritieke infrastructuur en wetshandhaving. Als je AI inzet op een van deze gebieden, gelden de zwaarste verplichtingen uit de wet.
Voor een bedrijf met 250 tot 1.000 medewerkers zijn de meest voorkomende hoog-risico toepassingen te vinden in HR en personeelsmanagement. Denk aan een AI-systeem dat cv’s screent, prestaties beoordeelt of roosters optimaliseert op basis van gedragsdata. Ook AI in krediet- of factuurbeoordeling, of systemen die toegang tot diensten regelen op basis van geautomatiseerde profielen, kunnen in de hoog-risico categorie vallen.
Veel gangbare AI-toepassingen vallen overigens niet in de hoog-risico categorie. Chatbots voor klantenservice, AI-gestuurde zoekfuncties of voorspellende analyses voor voorraadbeheer zijn doorgaans laag-risico of minimaal-risico. De vraag is dus niet alleen of je AI gebruikt, maar voor welk doel en met welke impact op mensen.
Welke concrete verplichtingen gelden per 2 augustus 2026?
Per 2 augustus 2026 worden de verplichtingen voor hoog-risico AI-systemen volledig van kracht. Voor deployers van hoog-risico systemen betekent dit concreet: je moet kunnen aantonen dat je menselijk toezicht hebt georganiseerd, dat medewerkers zijn opgeleid om het systeem te begrijpen en te bewaken, en dat je een systeem hebt voor het monitoren van de werking in de praktijk.
De verplichtingen die per augustus 2026 gelden voor deployers van hoog-risico systemen zijn:
- Menselijk toezicht: er moet een aangewezen persoon zijn die het systeem kan begrijpen, bewaken en zo nodig stopzetten
- Gebruikersinstructies naleven: je moet het systeem inzetten conform de technische documentatie van de aanbieder
- Logging en monitoring: relevante logbestanden bewaren voor de periode die de wet voorschrijft
- Melding van incidenten: ernstige incidenten en onverwachte werking melden bij de toezichthouder
- Data governance: bij systemen die worden getraind op jouw data, zorg je dat die data aan kwaliteitseisen voldoet
- Transparantie naar medewerkers: als AI beslissingen neemt die medewerkers raken, moeten zij daarover worden geïnformeerd
Voor aanbieders van hoog-risico systemen gelden aanvullende eisen zoals conformiteitsbeoordelingen, CE-markering en registratie in een Europese database. Als jij geen systemen ontwikkelt maar inkoopt, zijn die eisen primair voor je leverancier. Maar je hebt als deployer wel de verantwoordelijkheid om te controleren of je leverancier hieraan voldoet.
Eerder, per februari 2025, zijn al de regels rond verboden AI-toepassingen ingegaan. Denk aan systemen voor sociale scoring of manipulatieve AI die misbruik maakt van kwetsbaarheden. Die zijn nu volledig verboden.
Wat zijn de boetes bij niet-naleving van de AI Act?
De boetes in de EU AI Act zijn fors en lopen op tot 35 miljoen euro of 7% van de wereldwijde jaaromzet voor de zwaarste overtredingen, zoals het inzetten van verboden AI-systemen. Voor niet-naleving van verplichtingen rond hoog-risico systemen geldt een maximum van 15 miljoen euro of 3% van de omzet. Onjuiste of misleidende informatie aan toezichthouders kan leiden tot boetes tot 7,5 miljoen euro of 1,5% van de omzet.
De wet hanteert het principe dat het hogere van de twee bedragen (absoluut of procentueel) van toepassing is. Voor een bedrijf met een omzet van 100 miljoen euro betekent 3% een maximale boete van 3 miljoen euro. Voor een bedrijf met een omzet van 600 miljoen euro is de procentuele grens al hoger dan het absolute maximum.
Voor MKB-bedrijven geldt dat de Europese wetgever heeft opgenomen dat toezichthouders rekening moeten houden met bedrijfsgrootte en draagkracht bij het opleggen van sancties. Dat biedt enige bescherming, maar het is geen vrijbrief. De toezichthouder in Nederland is de Autoriteit Persoonsgegevens, die ook toezicht houdt op de AVG. Naleving wordt actief gecontroleerd, niet alleen reactief bij klachten.
Hoe verhoudt de AI Act zich tot de AVG voor bedrijven?
De EU AI Act en de AVG vullen elkaar aan maar overlappen elkaar op meerdere punten. De AVG regelt de verwerking van persoonsgegevens; de AI Act regelt de ontwikkeling en het gebruik van AI-systemen. Omdat AI-systemen in de praktijk vaak persoonsgegevens verwerken, ben je in veel gevallen aan beide wetten tegelijk gebonden.
Waar de overlap het sterkst voelbaar is:
- Geautomatiseerde besluitvorming: de AVG geeft mensen al het recht om niet onderworpen te worden aan volledig geautomatiseerde beslissingen met grote gevolgen. De AI Act versterkt dit door menselijk toezicht als harde eis te stellen voor hoog-risico systemen
- Datakwaliteit: de AVG vereist dat persoonsgegevens juist en actueel zijn. De AI Act stelt vergelijkbare eisen aan trainingsdata en invoerdata van AI-systemen
- Transparantie: beide wetten verplichten je om betrokkenen te informeren over hoe hun gegevens worden gebruikt en welke beslissingen er mede op basis van AI worden genomen
- Verwerkersovereenkomsten: als je een externe AI-leverancier inzet die persoonsgegevens verwerkt, heb je een verwerkersovereenkomst nodig onder de AVG én moet je controleren of de leverancier voldoet aan de AI Act
Een praktisch aandachtspunt: de AI Act introduceert een nieuwe verplichting rond fundamentele rechten. Voor bepaalde hoog-risico systemen moet je een beoordeling uitvoeren van de impact op grondrechten, vergelijkbaar met de DPIA onder de AVG maar specifiek gericht op AI. Dit is een nieuwe stap die veel bedrijven nog niet in hun compliance-proces hebben opgenomen.
Raadpleeg altijd een juridisch adviseur voor de specifieke compliance-situatie van jouw organisatie. Zowel de AI Act als de AVG vergen een beoordeling die afhangt van de concrete systemen en verwerkingen in jouw bedrijf.
Waar begin je met AI-compliance als je al een IT-afdeling hebt?
Begin met een inventarisatie van welke AI-systemen je al gebruikt of binnenkort gaat gebruiken, en classificeer ze naar risiconiveau. Dat is de meest directe eerste stap: je kunt pas prioriteren als je weet welke systemen onder welke verplichtingen vallen. Hoog-risico systemen hebben direct aandacht nodig; voor laag-risico systemen is de tijdsdruk minder groot.
Een werkbare aanpak in stappen:
- Maak een AI-register: documenteer welke AI-systemen je gebruikt, van wie je ze afneemt, voor welk doel en welke data ze verwerken
- Classificeer per systeem: bepaal of het systeem in de hoog-risico categorie valt op basis van de bijlagen van de AI Act
- Controleer je leveranciers: vraag bij aanbieders van hoog-risico systemen naar hun conformiteitsdocumentatie en technische documentatie
- Organiseer menselijk toezicht: wijs per hoog-risico systeem een verantwoordelijke aan die het systeem begrijpt en kan ingrijpen
- Train je medewerkers: zorg dat mensen die met AI-systemen werken begrijpen wat het systeem doet en wat het niet doet
- Sluit aan op je bestaande compliance-structuur: koppel AI-compliance aan je AVG-processen, want de overlap is groot
Een veelgemaakte fout is beginnen met de technologie en de governance er achteraf bij bedenken. De AI Act dwingt je om het anders te doen: documentatie, toezicht en datakwaliteit zijn geen bijzaak, ze zijn een harde voorwaarde om een systeem in productie te mogen houden. Dat vraagt om een fundament dat op orde is voordat je verder uitbreidt.
Als je een IT-afdeling hebt met bestaande datastructuren en compliance-verplichtingen, heb je al een voorsprong. De uitdaging is die bestaande structuur te verbinden met de nieuwe eisen. Dat is een inhoudelijke klus die meerdere disciplines raakt: data, security, processen en de mensen die ermee werken. Meer weten over onze aanpak? Bekijk de Connect & Build Campaign voor AI-groei.
Hoe wij helpen met AI-compliance en verantwoorde invoering
AI-compliance is geen juridisch vraagstuk alleen. Het raakt je datastructuren, je processen, je security-inrichting en de mensen in je organisatie. Precies daar zit de uitdaging voor bedrijven die AI verantwoord willen invoeren zonder de regie kwijt te raken.
Via ons AIConnected netwerk verbinden we je met specialisten die werken op het snijvlak van AI, data, compliance en procesvolwassenheid. We werken met het AI Foundationsmodel voor negen fundamenten dat negen concrete fundamenten in kaart brengt: van datakwaliteit en datagovernance tot menselijk toezicht, security en strategische intentie. Compliance valt expliciet onder fundament 4 (procesvolwassenheid) en werkt door in het hele model.
Wat we concreet doen:
- Foundation Scan: drie gerichte gesprekken van 45 minuten met de juiste mensen in jouw organisatie, gevolgd door een rapport met een score per fundament op een driepuntsschaal
- Koppeling van de beste specialisten per onderdeel: een data-engineer voor datakwaliteit, een security partner voor identity en audit trails, een change specialist voor AI-literacy bij medewerkers
- Programmamanagement: wij houden de regie, zodat de verschillende disciplines op elkaar aansluiten en je niet zelf vijf leveranciers hoeft te coördineren
Wil je weten waar jouw organisatie nu staat op de negen fundamenten? Meld je aan voor een Foundation Scan en ontdek waar de prioriteiten liggen. Lees ook meer over wie wij zijn en hoe wij werken.