EU AI Act: wat er geldt, wanneer het ingaat en wat je nu moet doen

Nee. Het deel dat al geldt — transparantie, AI-geletterdheid — is niet uitgesteld, en de deadline voor de rest is al eerder verschoven. Bouw het beleid nu, los van de datum.

De EU AI Act stelt eisen aan hoe organisaties AI inzetten, afhankelijk van de toepassing. Een helder beleid is de basis om daaraan te kunnen voldoen, en vooral: het geeft je mensen duidelijkheid over wat kan en mag.

Strategie bepaalt waar je op inzet en in welke volgorde; beleid bepaalt binnen welke kaders dat veilig gebeurt. Ze versterken elkaar en worden vaak samen opgepakt.

Ja. De wet kijkt niet naar waar de leverancier zit, maar naar waar het systeem wordt gebruikt en wie de uitkomst raakt. Zet je een Amerikaanse tool in voor mensen in de EU, dan gelden de verplichtingen voor jou als gebruikende organisatie. De leverancier heeft daarnaast zijn eigen verplichtingen, maar die nemen die van jou niet weg.

De aanbieder ontwikkelt een AI-systeem of brengt het onder eigen naam op de markt. De gebruiksverantwoordelijke zet het in binnen de eigen organisatie. De meeste Nederlandse organisaties zijn dat tweede, met lichtere verplichtingen. Let op: bouw je zelf iets bovenop een bestaand model en breng je dat onder je eigen naam naar buiten, dan kun je als aanbieder worden aangemerkt.

De wet werkt met een lijst toepassingsgebieden, niet met een oordeel per geval. Denk aan werving en selectie, toegang tot onderwijs, kredietbeoordeling, en AI als veiligheidscomponent in producten. Zit jullie toepassing daar niet in, dan is hoog risico waarschijnlijk niet aan de orde. Twijfel je, dan is dat precies het moment om er juridisch naar te laten kijken.

Voor content die als echt kan worden opgevat, zoals gegenereerde beelden en video, geldt een transparantieverplichting. Ook moet duidelijk zijn wanneer iemand met een chatbot praat in plaats van met een mens. Voor een tekst die een medewerker met AI heeft opgesteld en daarna zelf heeft geredigeerd, ligt dat genuanceerder. Een interne afspraak hierover voorkomt de meeste discussies.

Dat hangt af van wat erin zit. Veel bestaande pakketten hebben er de afgelopen jaren AI-functies bij gekregen zonder dat dat groot is aangekondigd. Het is de moeite waard om bij de inventarisatie niet alleen naar nieuwe tools te kijken, maar ook naar wat er in bestaande systemen is bijgekomen.

De wet kent een gelaagd sanctiestelsel (artikel 99). Voor verboden praktijken lopen de boetes op tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet, voor de meeste andere overtredingen tot 15 miljoen of 3 procent, en voor het verstrekken van onjuiste informatie tot 7,5 miljoen of 1 procent. Eén detail dat er voor het mkb toe doet: bij grote ondernemingen geldt het hoogste van die twee bedragen, maar voor kleine en middelgrote bedrijven en start-ups juist het laagste. Voor de meeste organisaties is dit sowieso niet het meest urgente punt, omdat hun gebruik in de lichtste categorieen valt.

Het kabinet kiest voor een model waarin bestaande toezichthouders elk binnen hun eigen domein toezicht houden, met een coordinerende rol voor de Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur. De AP krijgt daarnaast een eigen AI-directie voor gebieden waar nog geen duidelijke toezichthouder is. Let wel: dit ligt vast in de Uitvoeringswet AI-verordening, en dat is nog een wetsvoorstel. De internetconsultatie liep tot juni 2026; de wet is op het moment van schrijven nog niet in werking.

Drie dingen, en geen daarvan hangt af van een deadline. Breng in kaart welke AI er in de organisatie gebruikt wordt, inclusief wat mensen zelf zijn gaan gebruiken. Leg vast welke tools mogen en welke gegevens erin mogen. En zorg dat mensen die met AI werken weten wat ze gebruiken, want dat is sinds februari 2025 al een verplichting.