EU AI Act uitgelegd voor MKB: wat je echt moet weten

De EU AI Act klinkt overweldigend. Honderden pagina's regelgeving, juridisch jargon en abstracte risicoklassen. Maar voor de meeste MKB-bedrijven valt het direct in de praktijk mee.

De kern van de AI Act is risicoclassificatie. Elk AI-systeem dat je gebruikt valt in een categorie: minimaal risico, beperkt risico, hoog risico, of verboden. De meeste tools die MKB-bedrijven gebruiken (denk aan ChatGPT, Copilot, of AI-gebaseerde planningstools) vallen in de categorie minimaal of beperkt risico.

Wat betekent dat concreet? Voor minimaal-risico systemen gelden nauwelijks verplichtingen. Voor beperkt-risico systemen zijn er transparantieverplichtingen: gebruikers moeten weten dat ze met AI te maken hebben. Hoog-risico systemen, zoals AI in HR-beslissingen, kredietbeoordeling of medische toepassingen, hebben uitgebreide verplichtingen.

De eerste stap voor elk MKB-bedrijf is een inventarisatie: welke AI-systemen gebruik je eigenlijk? Dat klinkt simpel, maar de meeste bedrijven onderschatten hoeveel AI-tools er in gebruik zijn, ook zonder dat IT of management het weet. Shadow AI is een reëel probleem.

Daarna volgt classificatie. Op basis van wat het systeem doet, welke data het verwerkt en welke beslissingen het ondersteunt, bepaal je het risiconiveau. Dat bepaalt welke maatregelen je moet nemen.

De deadlines zijn in juli 2026 verschoven. De Digital Omnibus zette de verplichtingen voor hoogrisico-systemen door naar 2 december 2027, en voor AI die in gereguleerde producten zit naar 2 augustus 2028. De reden: de geharmoniseerde normen waren niet op tijd klaar.

Uitstel is geen afstel, en niet alles is uitgesteld. De transparantieverplichtingen uit artikel 50 gelden sinds 2 augustus 2026. Systemen die al op de markt waren moeten AI-gegenereerde content markeren vanaf 2 december 2026. En de verplichting rond AI-geletterdheid loopt al sinds februari 2025.

Begin je nu, dan heb je ruimte voor een zorgvuldige aanpak. Wacht je tot 2027, dan word je gedwongen tot haastwerk.