Er zijn dit jaar meer AI Act-checklists verschenen dan bedrijven die er iets mee gedaan hebben. Dat is jammer, want de kern past op een bierviltje en het meeste werk is een middag. Sinds 2 augustus 2026 gelden de hoofdverplichtingen van de Europese AI-verordening, en die gelden voor vrijwel elk bedrijf dat AI gebruikt — geen uitzondering voor grootte, geen overgangsperiode meer. Hieronder wat je aantoonbaar moet hebben liggen, wat nog even kan wachten, en waar het in de praktijk misgaat.
Voor wie geldt het?
Voor jou, waarschijnlijk. De verordening kijkt niet naar wat voor bedrijf je bent maar naar wat je met AI doet. Een chatbot op je website telt. Teksten of beelden laten genereren telt. Een tool die cv's sorteert of offertes opstelt telt. Zelfs een medewerker die er op eigen houtje een abonnement op heeft genomen telt, want het gebeurt binnen jouw organisatie en onder jouw verantwoordelijkheid.
Voor het mkb gelden op onderdelen lichtere eisen en lagere boetemaxima. Dat is een verzachting, geen vrijstelling.
Wat je aantoonbaar moet hebben
Een overzicht van je AI-tools
Een lijst van elke AI-toepassing die binnen je bedrijf draait: naam, waar hij voor dient, wie de aanbieder is, welk risiconiveau hij heeft en welke data erin gaat. Een spreadsheet volstaat. De moeilijkheid zit niet in het formaat maar in de volledigheid — bijna elk bedrijf komt tijdens deze inventarisatie tools tegen waarvan de directie niet wist dat ze in gebruik waren.
Beleid: wie mag wat
Een intern document dat vastlegt hoe je organisatie met AI omgaat. Wie mag welke tools gebruiken, welke data mag er wel en niet in, hoe controleer je de uitkomst voordat hij naar buiten gaat. Twee pagina's die kloppen zijn meer waard dan twintig die van internet komen.
Aantoonbare AI-geletterdheid
Medewerkers die met AI werken moeten weten wat de risico's zijn, en dat moet je kunnen laten zien. Een e-learning, een gespreksverslag, een intern certificaat — het bewijs mag licht zijn. Voor de meeste mkb-bedrijven is een sessie van anderhalf uur met een korte toets verdedigbaar.
Transparantie naar klanten
Praat iemand met een chatbot, dan moet duidelijk zijn dat het geen mens is. Is een tekst of beeld door AI gemaakt, dan hoort dat herkenbaar te zijn. Eén regel bij de opening van het chatvenster of een korte vermelding bij gegenereerde content dekt dit meestal.
Wat nog niet hoeft
De zwaardere eisen voor hoog-risicotoepassingen — werving en selectie, kredietverlening, onderwijs, kritieke infrastructuur — zijn verschoven naar 2 december 2027. Val je in die categorie, dan heb je nog ruim een jaar voor conformiteitsbeoordelingen, technische documentatie en menselijk toezicht. Val je er niet in, dan hoef je aan dat hele hoofdstuk niets te doen. Dat scheelt aanzienlijk meer dan de gemiddelde checklist suggereert.
Nederland werkt daarnaast aan een AI-sandbox: een omgeving waarin je kunt experimenteren zonder meteen risico op sancties te lopen. Interessant als je iets wil bouwen waarvan je de classificatie nog niet zeker weet.
Waar het in de praktijk stukloopt
Het register is een momentopname
Een lijst die in augustus klopte, klopt in november niet meer. Er komt een tool bij, iemand probeert iets uit, een leverancier bouwt AI in een pakket dat je al had. Zonder een vast moment waarop het register bijgewerkt wordt, is het na een half jaar fictie. Zet er een terugkerende afspraak op — dat is de hele oplossing.
De training is een vinkje
Anderhalf uur algemene uitleg over wat een taalmodel is haalt de streep, maar verandert niks aan hoe mensen werken. Uitleg op je eigen processen, met je eigen documenten en je eigen fouten, kost hetzelfde en levert wél iets op.
Niemand kijkt naar de leverancier
Je bent verantwoordelijk voor wat er binnen je organisatie gebeurt, ook als de AI in een pakket van een ander zit. Vraag je leveranciers of ze zelf aan de verordening voldoen en waar de verwerking plaatsvindt. Een leverancier die daar vaag over doet, is zelf het risico.
Het blijft bij papier
Register af, beleid af, training gehad — en daarna verandert er niets aan hoe er gewerkt wordt. Dan heb je een dossier voor een toezichthouder die waarschijnlijk nooit langskomt, en verder niks. De verplichtingen zijn de aanleiding; de winst zit in wat je daarna inricht.
En de boetes?
Die lopen op tot bedragen die voor een mkb-bedrijf pijnlijk zijn, met lagere maxima voor kleinere organisaties. Maar het toezicht komt pas op gang en de kans dat er morgen iemand op de stoep staat is klein. Dat is geen reden om het te laten liggen — de reële risico's zitten ergens anders. Een medewerker die klantgegevens in een gratis tool plakt, een chatbot die iets belooft wat je niet waarmaakt, een gegenereerde tekst met een fout erin die onder jouw naam de deur uitgaat. Daar heb je geen toezichthouder voor nodig om last van te krijgen.
Waar begin je?
Met de inventarisatie, altijd. Je kunt geen beleid schrijven over tools waarvan je niet weet dat ze draaien. Vraag rond, kijk in de facturen, check de browserextensies. Wat daar uitkomt bepaalt of je een middag werk hebt of een traject — en in de meeste gevallen is het een middag.
Daarna beleid, dan de sessie met je team, dan de transparantie op je site. Vier stappen, één dagdeel per stap. En als het toch groter blijkt: dan weet je dat nu, in plaats van op het moment dat iemand ernaar vraagt.