Wat de AI-verordening betekent voor het mkb

Welke data gelden er al?

De verordening is stapsgewijs ingegaan. Dit is de volgorde:

Datum	Wat ging in
2 februari 2025	Verbod op onaanvaardbare toepassingen (artikel 5) en de plicht tot AI-geletterdheid (artikel 4)
2 augustus 2025	Regels voor aanbieders van AI-modellen voor algemene doeleinden
2 augustus 2026	De meeste regels, waaronder de transparantieplichten uit artikel 50
2 december 2027	De regels voor hoog-risico-AI zoals werving en selectie (bijlage III)
2 augustus 2028	De regels voor AI in producten zoals machines en medische hulpmiddelen (bijlage I)

De plicht die het langst geldt is meteen de belangrijkste voor een gewoon bedrijf: AI-geletterdheid, sinds februari 2025.

In welke risicoklasse valt mijn gebruik?

De verordening kijkt niet naar de techniek maar naar wat je ermee doet. Voor het mkb komt het meestal hierop neer.

Minimaal risico. Spamfilters, voorraadvoorspelling, facturen automatisch inlezen, een samenvatting van je mailbox. Hier gelden geen bijzondere verplichtingen behalve AI-geletterdheid. Verreweg het meeste mkb-gebruik zit hier.

Beperkt risico. Een chatbot die klanten te woord staat, of teksten op je website die door AI zijn gemaakt. Hier geldt een informatieplicht: de ander moet weten dat hij met AI te maken heeft.

Hoog risico. Sollicitanten beoordelen of selecteren, kredietwaardigheid bepalen, examens nakijken. Hier komt een flink pakket verplichtingen bij kijken. Gebruik je AI om cv's te rangschikken, dan zit je in deze categorie — ook als je maar tien sollicitaties per jaar krijgt.

Wat houdt AI-geletterdheid in?

Artikel 4 vraagt dat je maatregelen neemt, zodat iedereen die binnen je bedrijf met AI werkt genoeg kennis heeft van de mogelijkheden en de risico's; sinds 27 juli 2026 is dat een inspanningsverplichting. Er staat geen examen in de wet en geen verplicht aantal uren. Wat er wel staat: de aanpak moet passen bij de omvang van je bedrijf en bij wat je met AI doet, en je moet kunnen laten zien dat je er iets aan hebt gedaan.

In de praktijk komt dat neer op drie dingen:

1. Een lijst van wat je gebruikt. Welke AI-hulpmiddelen draaien er, bij wie, waarvoor.
2. Uitleg per rol. Iemand op de administratie heeft andere kennis nodig dan iemand in de verkoop.
3. Een aantekening dat het gebeurd is. Datum, deelnemers, onderwerpen. Eén A4 volstaat.

Dat derde punt is waar het meestal misgaat. Er wordt wel uitgelegd, maar niets opgeschreven — en dan heb je niets om te laten zien.

Wat moet ik mijn klanten vertellen?

Sinds augustus 2026 gelden de transparantieplichten uit artikel 50. Drie gevallen:

• Praat een klant met een chatbot of een spraakassistent, dan moet duidelijk zijn dat het geen mens is.
• Publiceer je tekst, beeld of geluid dat door AI is gemaakt, dan hoort daar een vermelding bij.
• Een deepfake moet altijd als zodanig herkenbaar zijn.

Let op het verschil met wat veel mensen denken: een mail die jij met AI hebt voorbereid en daarna zelf hebt nagekeken en verstuurd, is jouw mail. De plicht gaat over publicatie en over geautomatiseerd contact, niet over je eigen hulpmiddelen.

Wat gebeurt er als je je er niet aan houdt?

Artikel 99 noemt per soort overtreding twee plafonds: een bedrag en een percentage van de wereldwijde jaaromzet.

Overtreding	Boete tot	Of tot
Een verboden toepassing (artikel 5)	€ 35.000.000	7 % van de wereldwijde jaaromzet
De meeste andere verplichtingen	€ 15.000.000	3 % van de wereldwijde jaaromzet
Onjuiste of misleidende informatie aan de toezichthouder	€ 7.500.000	1 % van de wereldwijde jaaromzet

Voor grote ondernemingen geldt het hóógste van die twee. Voor het mkb en voor start-ups draait artikel 99, zesde lid, dat om: daar geldt het laagste van de twee. Voor een bedrijf met een omzet van tien miljoen betekent dat bij een verboden toepassing dus maximaal zeven ton, niet 35 miljoen.

Belangrijker dan de boete is wat een klant of een accountant vraagt. "Hoe borgen jullie dat?" is inmiddels een normale vraag in een aanbesteding.