de ai act zonder paniek

Voor een MKB-bedrijf met een klantenservice-chatbot komt de AI Act per 2 augustus 2026 in de praktijk neer op drie dingen: laat klanten zien dat ze met AI praten, zorg voor aantoonbare aandacht voor AI-kennis in je team en weet welke AI-tools je in huis hebt. Conformiteitsbeoordelingen, EU-registraties en dikke risicodossiers gelden alleen voor hoog-risicotoepassingen, zoals AI die sollicitanten beoordeelt of kredietaanvragen afhandelt, en juist die verplichtingen schuiven nagenoeg zeker door naar december 2027. Alles wat de wet van een gemiddeld MKB-bedrijf vraagt, past in één middag.

Dat is een ander verhaal dan je mailbox vertelt. En het is ook een ander verhaal dan de cijfers doen vrezen: volgens onderzoek van de Kamer van Koophandel kent de helft van de Nederlandse ondernemers de AI Act niet, is slechts 7 procent goed op de hoogte en neemt 2 tot 3 procent daadwerkelijk voorbereidende maatregelen (KVK, 2025). Die peiling dateert van juni 2025, ruim een jaar voor de deadline, en het is het meest recente harde cijfer dat beschikbaar is; de stand van vandaag ligt hopelijk iets gunstiger. Maar het gat blijft opvallend: aan de ene kant een doelgroep die de wet grotendeels niet kent, aan de andere kant een compliance-industrie die AI-scans, registerabonnementen en trainingen van honderden euro’s per medewerker verkoopt alsof elke bakker een conformiteitsdossier nodig heeft.

Ik bouw met fikst chatbots en AI-werkstromen voor Nederlandse MKB-bedrijven, dus ik lees deze wet als iemand die hem zelf moet naleven. Wat volgt is praktische uitleg met bronnen erbij, geen juridisch advies: heb je een echt randgeval, leg het dan één keer voor aan een jurist.

wat moet er op 2 augustus 2026 geregeld zijn voor mijn chatbot?

Vanaf 2 augustus 2026 moet elke klant die met jouw AI-systeem praat, kunnen weten dat het AI is: dat is de transparantieplicht van artikel 50, lid 1. Die plicht kent geen overgangsperiode en geldt ook voor chatbots die al jaren live staan (Latham & Watkins, 2026). Er is een uitzondering voor situaties waarin het voor een normale gebruiker al overduidelijk is dat hij met een machine praat, maar daar wil je als bedrijf niet op gokken. Eén zichtbare zin bij de start van het gesprek lost het op.

Voor een gewone service- of FAQ-chatbot houdt het daar ook op. Een chatbot die vragen beantwoordt over openingstijden, retourbeleid of orderstatus valt in de categorie beperkt risico: disclosure verplicht, verder niets extra’s (onderzoek van chatbotbedrijf Gurusup, 2026). Pas als een AI-systeem zelfstandig beslissingen neemt over mensen, denk aan het afwijzen van sollicitanten of het beoordelen van claims, verhuist het naar de hoog-risicocategorie met het volledige pakket aan verplichtingen.

Eén nuance die in veel samenvattingen sneuvelt: het “geen overgangsperiode” geldt specifiek voor lid 1 van artikel 50, de chatbot-disclosure. De markeringsplicht voor synthetische content uit lid 2, het machinaal leesbaar markeren van AI-gegenereerd beeld en geluid, heeft via de Digital Omnibus wél uitstel gekregen: generatieve AI-systemen die vóór 2 augustus 2026 al op de markt waren, hoeven daar pas per 2 december 2026 aan te voldoen (Latham & Watkins, 2026).

Op papier zijn de sancties fors: overtreding van de transparantieverplichtingen kan oplopen tot 15 miljoen euro of 3 procent van de wereldwijde jaaromzet, waarbij voor MKB en start-ups het laagste van de twee bedragen geldt (AI-governance-platform AIGN, 2026). Dat cijfer is vooral nuttig om ernaast te leggen hoe klein de oplossing is: één regel tekst bovenaan je chat.

is de ai act nou uitgesteld of niet?

Gedeeltelijk, en de formulering luistert nauw: het uitstel is nagenoeg zeker, formeel nog niet van kracht. Het Europees Parlement stemde op 16 juni 2026 in met de Digital Omnibus, de Raad gaf op 29 juni 2026 het definitieve groene licht (Shumaker, 2026). Dat pakket verschuift de zware verplichtingen voor hoog-risico-AI onder Bijlage III, zoals werving en kredietbeoordeling, van 2 augustus 2026 naar 2 december 2027; AI in gereguleerde producten onder Bijlage I schuift naar augustus 2028. Op het moment van schrijven, 10 juli 2026, is de tekst echter nog niet gepubliceerd in het Publicatieblad van de EU, en tot die publicatie plus drie dagen blijft formeel-juridisch de oude tijdlijn de basis (DLA Piper, 2026). De verwachting is publicatie medio tot eind juli, vlak voor de deadline dus, maar een verwachting is geen wet. Wat door dit alles hoe dan ook onaangetast blijft: de transparantieplicht voor chatbots staat gewoon op 2 augustus 2026.

Hoe verwarrend deze situatie is, zie je bij de toezichthouder zelf. De pagina van de Autoriteit Persoonsgegevens over de AI-verordening vermeldde op 10 juli 2026 nog altijd dat het toezicht op hoog-risico-AI in augustus 2026 begint en dat de verordening in augustus 2027 volledig van kracht is; beide data zijn door de Digital Omnibus achterhaald (Autoriteit Persoonsgegevens, 2026). En op de pagina van de Europese Commissie over AI-geletterdheid staan twee verschillende startdata voor de handhaving op dezelfde pagina: 2 én 3 augustus 2026 (Europese Commissie, 2025). Als de officiële bronnen zichzelf tegenspreken, hoef jij je er niet voor te schamen dat je het overzicht kwijt was. De wetgever worstelt hier zelf met wat ik elders de productiekloof noem: het verschil tussen iets aankondigen en iets werkend in productie hebben.

de stille verplichting: ai-geletterdheid geldt al sinds februari 2025

De minst bekende verplichting is ook de oudste. Artikel 4, de AI-geletterdheidsplicht, geldt al sinds 2 februari 2025 voor elk bedrijf dat AI professioneel inzet, dus ook voor de zaak waar het team dagelijks ChatGPT of Copilot gebruikt (Europese Commissie, 2025). Nieuw per augustus 2026 is dat de nationale toezichthouders erop gaan handhaven; in Nederland ligt dat bij de Autoriteit Persoonsgegevens.

Wat die plicht inhoudt is intussen wel veranderd, en in jouw voordeel. Dezelfde Digital Omnibus herschrijft artikel 4 van een resultaatsverplichting, “zorg voor een voldoende niveau van AI-geletterdheid”, naar een inspanningsverplichting: neem passende maatregelen om de ontwikkeling van AI-geletterdheid te ondersteunen (Stibbe, 2026). Er is dus geen voorgeschreven kennisniveau en geen examen of certificaat. Wat je nodig hebt is aantoonbare inspanning: een overzicht van welke AI-tools je team gebruikt, een teamsessie over wat die tools wel en niet kunnen, en een notitie met datum en deelnemers. Dat is je dossier.

Voor de volledigheid: het Nederlandse toezicht op de AI-verordening wordt verdeeld over tien markttoezichtautoriteiten, met de AP als vangnet voor domeinen zonder eigen sectorale toezichthouder, inclusief de transparantieverplichtingen van artikel 50 (Binnenlands Bestuur, 2026). Voor jou als MKB’er betekent dat: de AP is in de praktijk je aanspreekpunt.

wat hoef ik allemaal niet te doen?

Meer dan de gemiddelde compliance-mailing suggereert. Je hoeft geen conformiteitsbeoordeling te laten uitvoeren en je systeem niet te registreren in een EU-databank; dat hoort bij hoog-risico-AI, en een servicechatbot valt daar niet onder zolang hij geen zelfstandige beslissingen over mensen neemt (onderzoek van chatbotbedrijf Gurusup, 2026). Je hoeft geen gecertificeerde AI-training in te kopen; de wet kent geen certificaten, en na de verzachting van artikel 4 is de lat eerder lager dan hoger komen te liggen. Je hoeft geen AI-registersoftware te abonneren; voor een bedrijf met een handvol tools volstaat een lijstje in een gedeeld document. En een uitgeschreven AI-beleid is nergens wettelijk verplicht, al is één A4 wel de makkelijkste manier om je inspanning aantoonbaar te maken.

De eerlijkheid gebiedt ook de andere kant te noemen. Gebruik je AI bij werving en selectie, kredietbeslissingen of een andere toepassing uit Bijlage III, dan is het uitstel naar december 2027 extra voorbereidingstijd voor een traject dat echt werk is: risicobeheer, documentatie en menselijk toezicht. Begin daar dit jaar aan, met hulp. En bied je zelf een generatief AI-product aan dat beeld of geluid produceert, zet dan de markeringsplicht van december 2026 in je agenda.

de checklist: klaar in één middag

Voor het gemiddelde MKB-bedrijf met een chatbot en wat AI-tools op kantoor is dit het hele huiswerk:

1. Inventariseer je AI (30 minuten). Loop na welke AI er in je bedrijf actief is: de chatbot op je site, ChatGPT of Copilot op kantoor, AI-functies in je mail- of boekhoudsoftware. Zet het in één document.
2. Doe de hoog-risicocheck (15 minuten). Beslist een van die systemen zelfstandig over mensen, zoals sollicitaties, krediet of claims? Zo nee: klaar. Zo ja: plan een apart traject richting december 2027 en haal er expertise bij.
3. Zet de AI-melding live (30 minuten). Laat je chatbot zich bij de start van elk gesprek voorstellen als AI-assistent. Heb je een telefonische voice-bot, vergeet die dan niet. Hoe je die melding brengt zonder vertrouwen te verliezen, staat in wat klarna ons echt leert.
4. Check je AI-content (15 minuten). Publiceer je AI-gegenereerd beeld of geluid dat voor echt kan doorgaan, zorg dan dat het als zodanig herkenbaar is.
5. Schrijf één A4 AI-beleid (45 minuten). Welke tools gebruiken jullie, waarvoor wel en waarvoor niet, wat gaat er nooit in een prompt (klantdata, wachtwoorden), en wie is het aanspreekpunt.
6. Houd een teamsessie en leg hem vast (60 minuten). Bespreek het A4, laat zien waar de tools de mist in gaan, en noteer datum, deelnemers en onderwerpen. Dat is je artikel 4-inspanning, gedocumenteerd.
7. Zet twee herinneringen in je agenda (5 minuten). December 2026: markeringsplicht voor bestaande generatieve systemen. Eind 2027: de hoog-risicoverplichtingen. Check op die momenten de actuele stand, bij voorkeur in het Publicatieblad en dus niet alleen op een toezichthouderspagina.

Tel het op en je zit rond de drie uur werk. Zonder scan en zonder certificaat.

Mijn positie: voor het overgrote deel van het Nederlandse MKB is de AI Act een middag werk en twee agendapunten, en wie je een groter pakket verkoopt, verdient aan onzekerheid die de wetgever met zijn eigen gerommel in de tijdlijnen heeft gevoed. Plan die middag deze maand, dan ben je op 2 augustus klaar en kun je de rest van de compliance-mailings met een gerust hart archiveren.