AI Act-checklist voor ondernemers: dit moet je nu geregeld hebben
De AI Act geldt ook als je geen AI bouwt maar alleen gebruikt. Wie ChatGPT, Copilot of AI-functies in SaaS-tools inzet, heeft als gebruiker eigen verplichtingen. Deze checklist zet op een rij wat nu al verplicht is, wat er op 2 augustus 2026 bijkomt en wat je alvast kunt voorbereiden voor de uitgestelde regels.
Ja, dit gaat ook over jouw bedrijf
De AI Act maakt onderscheid tussen aanbieders (die AI-systemen bouwen of onder eigen naam leveren) en gebruikers, in de wet “gebruiksverantwoordelijken” genoemd. De zwaarste plichten liggen bij aanbieders, maar ook als je alleen tools van anderen gebruikt heb je verplichtingen, van AI-geletterdheid van je personeel tot transparantie richting klanten. En let op: wie een AI-chatbot onder eigen merk op de website zet of AI-content publiceert, kan niet simpelweg naar de modelleverancier wijzen.
De datums die vaststaan
Sinds februari 2025 gelden de verboden op onacceptabele AI-praktijken en de plicht om te zorgen voor voldoende AI-kennis bij medewerkers die met AI werken. Sinds augustus 2025 gelden de regels voor aanbieders van algemene AI-modellen. Op 2 augustus 2026 treden de transparantieverplichtingen van artikel 50 in werking; dat uitstel van andere onderdelen daar niet voor geldt, legden we eerder uit in dit artikel. Voor systemen die al vóór die datum op de markt waren, geldt alleen voor de technische markering een overgang tot 2 december 2026. De verplichtingen voor hoog-risicosystemen zijn met het Digital Omnibus-akkoord uitgesteld: naar 2 december 2027 voor zelfstandige toepassingen zoals AI bij werving of kredietbeoordeling, en naar 2 augustus 2028 voor AI in gereguleerde producten. Dit zijn vaste wettelijke datums; verschuiven ze alsnog, dan lees je dat in onze AI Act-hub.
De checklist
- Inventariseer alle AI in je bedrijf. Niet alleen ChatGPT en Copilot, maar ook AI-functies die in je SaaS-tools zitten, van je CRM tot je klantenservice-software. Je kunt niets naleven wat je niet in beeld hebt.
- Toets op verboden toepassingen. Emotieherkenning op de werkvloer, social scoring en manipulatieve systemen zijn verboden. Voor de meeste mkb-bedrijven is dit een korte check met als uitkomst: niet van toepassing. Leg die conclusie wel vast.
- Regel AI-geletterdheid. Dit is al verplicht: iedereen die namens je bedrijf met AI werkt moet er voldoende kennis voor hebben. Een praktische training plus interne afspraken over wat wel en niet mag volstaat voor de meeste bedrijven.
- Maak AI herkenbaar vóór 2 augustus 2026. Chatbots moeten zich als AI kenbaar maken, AI-gegenereerde media moeten technisch gemarkeerd zijn en deepfakes zichtbaar gelabeld. Publiceer je AI-teksten over publieke onderwerpen, dan geldt een meldplicht, tenzij er menselijke redactie aan te pas komt.
- Leg het vast en betrek je leveranciers. Zet je AI-inventaris en risico-inschatting in een register, vraag leveranciers hoe zij aan de AI Act voldoen, en koppel dit aan je AVG-documentatie; de overlap is groot en dubbel werk is zonde.
- Val je onder hoog risico? Begin nu. Gebruik of bouw je AI voor werving, beoordeling, kredietverlening of toegang tot essentiële diensten, dan krijg je met de zwaarste eisen te maken. De deadline van 2 december 2027 lijkt ver weg, maar risicobeheer, datakwaliteit en menselijke controle inregelen kost ruim een jaar.
Wat betekent dit voor jou?
Voor het gemiddelde mkb-bedrijf dat AI-tools gebruikt maar niet bouwt, volstaan de eerste vijf stappen, en zijn stap 3 en 4 de enige met echte deadlines op korte termijn. Bouw je zelf AI-functies in je product, dan ben je voor die functies mogelijk aanbieder en weegt stap 4 zwaarder; laat dan juridisch toetsen waar je precies staat. De kosten van naleving zijn voor gebruikers beperkt; de kosten van negeren niet, want de boetes kunnen oplopen tot procenten van de wereldwijde omzet.
Dossier: Regelgeving & Compliance · Bronnen: ondernaimers.nl over artikel 50, Jones Walker over de tijdlijn na het Digital Omnibus-akkoord