EU AI Act voor MKB: zo bereid je je voor op 2 augustus 2026

Op 2 augustus 2026 wordt de EU AI Act volledig van kracht. Voor veel grote bedrijven is dat het sluitstuk van een traject dat vorig jaar al begon. Voor het Nederlandse MKB is het vaak het moment waarop de wet voor het eerst écht gaat voelen: ineens hebben de regels betrekking op de tools die je dagelijks gebruikt, zoals ChatGPT, Microsoft Copilot, een AI-chatbot op je site of een leverancier die "AI" op de doos heeft staan.

Goed nieuws: voor de meeste mkb-bedrijven is naleving haalbaar zonder dure compliance-afdeling. In dit artikel leggen we uit wat de AI Act betekent, wie eronder valt en welke vijf stappen je nu al kunt zetten om voorbereid de zomer in te gaan. Geen juridische diepte, wel duidelijke taal en concrete actie.

Wat verandert er op 2 augustus 2026?

De AI Act geldt formeel sinds 1 augustus 2024 in de EU. De invoering loopt gefaseerd. Dit zijn de momenten die voor het MKB het belangrijkst zijn:

• 2 februari 2025: verbod op een aantal AI-toepassingen (zoals social scoring) plus de plicht tot AI-geletterdheid voor iedereen die met AI werkt.
• 2 augustus 2025: verplichtingen voor aanbieders van algemene AI-modellen (GPAI), zoals OpenAI, Anthropic en Google.
• 2 augustus 2026: het volledige raamwerk wordt afdwingbaar. De Europese Commissie krijgt bevoegdheid om boetes op te leggen, hoge-risico AI-systemen moeten voldoen aan documentatie, conformiteitsbeoordeling en CE-markering, en de transparantie-eisen uit artikel 50 worden hard.

Met andere woorden: vanaf augustus 2026 is "ik wist niet dat dit ook voor mij gold" geen redelijk argument meer.

Geldt de EU AI Act ook voor jouw MKB-bedrijf?

Vrijwel zeker ja. De wet onderscheidt verschillende rollen, maar voor het MKB zijn er twee die er echt toe doen:

1. Aanbieder (provider): je ontwikkelt zelf een AI-systeem of laat dat onder jouw merk doen.
2. Gebruiksverantwoordelijke (deployer): je gebruikt een AI-systeem in je bedrijf, ook al heb je het niet zelf gebouwd.

Gebruik je ChatGPT, Microsoft Copilot, een AI-functie in je boekhoudpakket, een AI-chatbot op je website of een tool zoals Notion AI? Dan ben je deployer en gelden er verplichtingen. De zwaarte daarvan hangt af van het risiconiveau van het systeem en hoe je het inzet.

De vier risicocategorieën, in normaal Nederlands

De AI Act deelt AI-toepassingen op in vier risicogroepen:

• Verboden risico: toepassingen die per direct niet meer mogen, zoals manipulatieve AI of biometrische realtime-identificatie in openbare ruimten. Voor het gemiddelde MKB niet relevant.
• Hoog risico: AI-systemen in HR (cv-screening), kredietverstrekking, onderwijs, kritieke infrastructuur, juridische beoordeling en zorg. Hier liggen de zwaarste verplichtingen: documentatie, monitoring, menselijke controle en registratie in de EU-database.
• Beperkt risico: AI-systemen die met mensen interacteren, zoals chatbots en deepfake-tools. Hier gelden vooral transparantie-eisen: gebruikers moeten weten dat ze met AI te maken hebben.
• Minimaal risico: de meeste tools die het MKB dagelijks gebruikt voor schrijven, samenvatten of beeldbewerking. Geen specifieke verplichtingen, maar wel onder de algemene AI-geletterdheidsplicht uit artikel 4.

Voor de meeste mkb'ers en zzp'ers vallen de gebruikte tools in de laatste twee categorieën. Werk je met cv-screening, kredietbeslissingen of geautomatiseerde besluitvorming over personen? Dan is de kans groot dat je in de hoge-risico-categorie valt.

Artikel 4: AI-geletterdheid is al verplicht

Een verplichting die makkelijk wordt onderschat: artikel 4 schrijft voor dat iedere organisatie die AI gebruikt zorgt voor "een toereikend niveau van AI-geletterdheid" bij personeel dat met AI werkt. Dit geldt al sinds 2 februari 2025, dus niet pas in 2026.

In de praktijk betekent dit dat je moet kunnen aantonen dat je medewerkers begrijpen:

• wat AI wel en niet kan,
• welke risico's kleven aan privacy, hallucinaties en bias,
• hoe ze AI veilig gebruiken in hun eigen werk.

Voor het MKB hoeft dit niet groot te zijn. Een korte interne workshop, een AI-spelregels-document en een paar praktijkoefeningen voldoen vaak. In onze AI Tafel-sessies in Zaltbommel zien we dat ondernemers die hier één ochtend voor uittrekken meteen een hoop ongemak wegnemen bij hun team.

Vijf stappen waarmee je nu al voldoet

Op basis van wat we aan tafel terugkrijgen van mkb-ondernemers, is dit het minimum dat je voor 2 augustus 2026 hebt liggen:

1. Maak een AI-inventaris. Een eenvoudige lijst: welke AI-tools gebruikt je organisatie, voor welk doel, met welke data en wie is intern verantwoordelijk. Excel volstaat.
2. Wijs een AI-aanspreekpunt aan. Dit hoeft geen jurist te zijn. Iemand die overzicht houdt, vragen verzamelt en de inventaris bijhoudt is genoeg.
3. Zorg voor AI-geletterdheid bij je team. Een korte training, een handzame interne richtlijn en duidelijke voorbeelden van wel- en niet-doen. Plan dit nog dit kwartaal in.
4. Check je leveranciers. Vraag bij elke AI-tool naar hun AI Act-compliance, zeker bij GPAI-modellen. Grote leveranciers zoals Microsoft en Google hebben hier inmiddels publieke documentatie over.
5. Documenteer en wees transparant. Schrijf een korte AI-policy waarin staat hoe je AI gebruikt, welke regels gelden en hoe je klanten informeert. Plaats een korte vermelding op je website als je AI inzet in klantcontact.

Dit traject kost een mkb-bedrijf doorgaans één à twee dagen werk, geen weken. De moeite zit vooral in beginnen.

Boetes en risico's: wat staat er op het spel?

De boetes uit de AI Act zijn fors: tot 35 miljoen euro of 7% van de wereldwijde jaaromzet, afhankelijk van wat hoger is. Voor het MKB liggen de plafonds gelukkig lager en wordt evenredig gehandhaafd. Maar reputatieschade en verlies van klantvertrouwen wegen voor kleinere bedrijven net zo zwaar.

De toezichthouder in Nederland is de Autoriteit Persoonsgegevens (AP), die nu al actief informeert en handhaaft. Verwacht in de tweede helft van 2026 meer voorlichting, audits en, waar nodig, sancties.

Aan de slag, samen aan tafel

De EU AI Act is geen reden om in paniek te raken, wel om in beweging te komen. De ondernemers die we ontmoeten aan onze tafel hebben één ding gemeen: ze regelen het in kleine stappen, samen met andere ondernemers, en zijn daardoor een stuk beter voorbereid dan menig groot bedrijf.

Wil je sparren over jouw AI-inventaris, je AI-policy of een eerste AI-geletterdheidssessie voor je team? Schuif aan bij een van onze ochtendsessies in Zaltbommel. Acht plekken per tafel, geen consultants en geen jargon. Aanmelden kan via ai-tafel.nl.

In een volgend artikel zoomen we in op één van de vijf stappen: hoe je in een halve dag een werkbare AI-policy schrijft die je team ook echt gebruikt.