De EU AI Act: wat betekent dit voor het MKB?
De meeste MKB-bedrijven vallen onder de lichtste categorie van de AI Act en hoeven weinig te doen. Maar "weinig" is niet hetzelfde als "niets", en er zijn twee situaties waarin het opeens wél serieus wordt.
Wat de wet in de kern doet
De AI Act deelt AI-toepassingen in naar risico, niet naar techniek. Hetzelfde taalmodel kan in de ene toepassing volledig onbelast zijn en in de andere onder zware eisen vallen. De vraag is dus nooit "gebruik ik AI?" maar "waarvoor gebruik ik het, en wie raakt het?"
Er zijn vier categorieën: verboden toepassingen, hoog risico, beperkt risico en minimaal risico. Vrijwel alles wat een gemiddeld MKB-bedrijf doet — teksten genereren, facturen uitlezen, e-mail sorteren, voorraad voorspellen — valt in de onderste twee.
Waar je wél iets moet
1. Als mensen met je AI praten zonder het te weten
Zet je een chatbot op je site of in WhatsApp, dan moet duidelijk zijn dat het geen mens is. Dat is de transparantieplicht en die geldt ongeacht hoe klein je bedrijf is. In de praktijk is dat één zin bovenaan het gesprek. Dat het zo simpel is, betekent niet dat je het kunt overslaan: het is een van de weinige verplichtingen die letterlijk zichtbaar is voor iedereen die je site bezoekt.
Hetzelfde geldt voor content die volledig door AI is gemaakt en als menselijk kan overkomen, en voor gegenereerde beelden.
2. Als AI meebeslist over mensen
Hier wordt het serieus. Gebruik je AI om sollicitanten te filteren, om te bepalen wie krediet krijgt, of om personeel te beoordelen, dan zit je in de categorie hoog risico. Dan gelden eisen aan documentatie, menselijk toezicht, nauwkeurigheid en logging.
Dit raakt meer MKB-bedrijven dan je zou denken. Een recruitmentbureau dat cv's laat voorsorteren zit er middenin. Een installatiebedrijf dat offertes laat opstellen niet.
De scheidslijn die telt
Voorbereiden mag vrijwel altijd. Beslissen over een mens brengt je in een andere categorie. Precies daarom bouw ik automatiseringen zo dat het laatste oordeel bij een mens ligt — niet alleen omdat het juridisch rustiger is, maar omdat modellen er nu eenmaal soms naast zitten.
Wat je praktisch vastlegt
Ook in de lichte categorie is het verstandig om drie dingen op papier te hebben. Niet omdat een toezichthouder morgen aanbelt, maar omdat je het bij een klantvraag of een audit binnen vijf minuten moet kunnen laten zien.
- Een overzicht van waar je AI gebruikt. Welk proces, welke tool, welke leverancier, welke data er in gaat. Dit is meteen de lijst waarmee je shadow IT ontdekt.
- Wie er toezicht houdt. Per automatisering: wie controleert de uitkomsten, hoe vaak, en wat gebeurt er bij een fout.
- Wat de leverancier belooft. Waar draait het model, hoe lang wordt je invoer bewaard, wordt er op getraind. Dit staat in de voorwaarden en verschilt sterk per aanbieder.
Dat is geen dik document. Eén pagina per automatisering volstaat voor de meeste bedrijven, en het overlapt grotendeels met wat de AVG toch al van je vraagt.
De verhouding met de AVG
De twee wetten stellen andere vragen over hetzelfde systeem. De AVG gaat over persoonsgegevens: mag je deze data verwerken, en heb je daar een grondslag voor. De AI Act gaat over het systeem: wat doet het, hoe risicovol is dat, en houdt er iemand toezicht.
In de praktijk struikelen bedrijven vaker over de AVG dan over de AI Act. Zodra je klantgegevens in een model stopt dat bij een leverancier draait, is er sprake van verwerking door een derde partij, met alles wat daarbij hoort. Dat is een vraag die je vóór het bouwen beantwoordt, niet erna — het bepaalt namelijk welke modellen en welke hosting nog overblijven, en dus wat het gaat kosten.
Waarom dit vooral in Arnhem speelt
De sectoren waar deze verplichtingen het snelst gaan bijten — zakelijke dienstverlening, financieel advies, HR — zijn precies de sectoren waar de Arnhemse economie op leunt. Werk je daar en wil je zowel je vindbaarheid als je processen op orde, dan is online marketing voor bedrijven in Arnhem het bredere verhaal.
Meer over privacy & wetgeving
Deze pagina hoort bij privacy, veiligheid en wetgeving. Daar staat de volledige opbouw van dit onderwerp, van basis tot uitvoering.
Wil je dit goed geregeld hebben zonder een juridisch traject? Zo pak ik AI-automatisering aan, inclusief waar de data blijft.
Vragen die ik vaak krijg
Val ik als klein bedrijf onder de AI Act?
Ja, de wet kent geen ondergrens in bedrijfsgrootte. Wat wel verschilt is hoeveel je moet doen: gebruik je AI alleen voor teksten, administratie of planning, dan blijft het bij transparantie en gezond verstand. Laat je AI meebeslissen over mensen, dan gelden er zware eisen ongeacht je omvang.
Moet ik melden dat mijn teksten met AI zijn gemaakt?
Voor gewone marketingteksten die je zelf redigeert en publiceert is er geen algemene labelplicht. De transparantieplicht draait om situaties waarin iemand denkt met een mens te maken te hebben terwijl dat niet zo is, en om gegenereerd beeld- en geluidsmateriaal dat voor echt kan doorgaan.
Wie is verantwoordelijk: ik of mijn leverancier?
Dat hangt af van je rol. Bouw of pas je zelf een AI-systeem aan, dan ben je aanbieder en draag je de zwaarste verplichtingen. Gebruik je een kant-en-klare tool, dan ben je gebruiksverantwoordelijke en gaat het vooral om correct gebruik en toezicht. Laat je iets voor je bouwen, leg die rolverdeling dan vast in de opdracht.
Is dit een reden om te wachten met AI?
Nee. De verplichtingen voor het normale MKB-gebruik zijn beperkt en goed te regelen. Wachten kost je meer dan het oplevert. Wat wél verstandig is: begin bij processen zonder persoonsgegevens en zonder beslissingen over mensen, zodat je ervaring opbouwt in het rustigste deel van het speelveld.
Even sparren over jouw groei?
Geen verkooppraatje en geen accountmanager ertussen. Je spreekt direct met de specialist die het werk ook uitvoert. Meestal reageer ik binnen een paar uur.