Vanaf hoeveel medewerkers geldt de EU AI Act?

Dit is de vraag die we het vaakst krijgen, en het antwoord verrast bijna iedereen: er bestaat geen medewerkersdrempel in de EU AI Act. Geen enkel artikel zegt dat je onder de tien, de vijftig of de tweehonderdvijftig mensen bent vrijgesteld. De verordening kijkt niet naar hoe groot je bent, maar naar wat je met AI doet en welk risico dat oplevert.

Dat is tegelijk het slechte en het goede nieuws. Het slechte: je kunt niet onder de wet uit komen door klein te zijn. Het goede: de zwaarste verplichtingen gelden alleen voor een handvol toepassingen, en de kans is groot dat jouw bedrijf daar geen van heeft. De vraag is dus niet hoeveel mensen er op de loonlijst staan, maar welke systemen er draaien en wat jouw rol daarbij is.

Deze pagina beantwoordt de letterlijke vraag, laat zien op welke drie plekken bedrijfsgrootte wél meetelt, en legt uit welk getal er in plaats daarvan toe doet. Over de deadlines en het verschil tussen aanbieder en gebruiksverantwoordelijke schreven we eerder een uitgebreide pagina; die herhalen we hier niet.

Waar het misverstand vandaan komt

De verwarring is bijna altijd terug te voeren op de AVG. Daar staat wel een getal in. Artikel 30 lid 5 zegt dat organisaties met minder dan 250 medewerkers geen register van verwerkingsactiviteiten hoeven bij te houden. Dat is het enige bekende drempelgetal in de Europese digitale wetgeving, en het is bij veel directies blijven hangen als een algemene regel: onder de 250 hoeft het niet.

Zelfs in de AVG klopt dat niet. De uitzondering vervalt zodra de verwerking een risico oplevert voor de rechten en vrijheden van betrokkenen, zodra ze niet incidenteel is, of zodra het om bijzondere categorieën persoonsgegevens gaat. Een werkgever met personeelsdossiers voldoet standaard aan minstens één van die drie, en meestal aan twee. De vrijstelling is in de praktijk dus veel smaller dan het getal doet vermoeden.

De AI Act heeft die constructie niet overgenomen. Er is geen artikel 30 lid 5 voor AI. Wie de logica van de AVG op de AI Act plakt, komt uit op een conclusie die de tekst niet ondersteunt.

Een cv lezen aan tafel. AI bij werving en selectie is hoog risico volgens bijlage III, bij elke bedrijfsgrootte.

Wat je verplichtingen wél bepaalt

Twee vragen, in deze volgorde, en per systeem apart.

Welke rol heb je? Bouw je het systeem of zet je het onder je eigen naam op de markt, dan ben je aanbieder en draag je het leeuwendeel van de verplichtingen. Gebruik je een systeem van een leverancier binnen je eigen organisatie, dan ben je gebruiksverantwoordelijke en is je pakket veel lichter. Diezelfde rolverdeling geldt voor een bedrijf van vijfentwintig mensen en voor een beursgenoteerde onderneming. Er zit geen schaal in.

In welke risicoklasse valt het? De verordening kent vier niveaus: verboden praktijken, hoog risico, systemen met een transparantieplicht, en de rest waarvoor niets bijzonders geldt. Verreweg de meeste toepassingen die een gewoon bedrijf draait, van een tekstgenerator tot een voorraadvoorspeller, vallen in die laatste categorie.

Voor ons eigen vakgebied is het minder vrijblijvend. AI die wordt ingezet bij werving en selectie, bij het beoordelen van sollicitaties of bij besluiten over promotie en beëindiging, staat in bijlage III en is daarmee hoog risico. Dat geldt voor een recruitmentbureau van dertig mensen precies zo hard als voor een multinational. Wel is de datum verschoven: sinds de Digital Omnibus in juli 2026 in werking trad, gelden de hoofdverplichtingen voor deze categorie pas vanaf 2 december 2027 in plaats van 2 augustus 2026.

De enige echte drempel in de wet gaat over rekenkracht

Er staat wel degelijk een harde grens in de AI Act, maar hij heeft niets met personeel te maken. Artikel 51 lid 2 zegt dat een AI-model voor algemene doeleinden wordt vermoed capaciteiten met een grote impact te hebben zodra de rekenkracht die is gebruikt voor de training groter is dan tien tot de macht vijfentwintig floating point operations. Boven die grens gelden zwaardere verplichtingen rond systeemrisico.

Dat is het soort drempel dat de wetgever wél heeft gekozen: een maat voor wat een systeem kan, niet voor hoe groot de organisatie erachter is. Het raakt in de praktijk een tiental partijen wereldwijd, en vrijwel zeker niet jou. Maar het laat wel zien hoe de verordening denkt. Waar de wet een grens trekt, trekt hij die bij het risico, niet bij de omvang van de onderneming.

Datzelfde patroon zie je terug bij de risicoklassen. Of een systeem hoog risico is, hangt af van waarvoor het wordt gebruikt en op wie het effect heeft, niet van wie het gebruikt. Een cv-screener die honderd sollicitanten per jaar beoordeelt valt onder dezelfde categorie als een die er honderdduizend beoordeelt.

De drie plekken waar bedrijfsgrootte echt meetelt

Er zijn drie bepalingen waar het mkb apart wordt genoemd. Geen ervan is een vrijstelling. Alle drie gaan ze over hoe je iets moet doen, nooit over of het moet.

Artikel 99 lid 6, de boete. Waar voor grote ondernemingen geldt dat de boete het hoogste is van een vast bedrag of een percentage van de wereldwijde jaaromzet, geldt voor kleine en middelgrote ondernemingen juist het laagste van die twee. Bij een overtreding van de zwaarste categorie gaat het om 35 miljoen euro of 7 procent. Een mkb-bedrijf met veertig miljoen omzet zit dan aan 2,8 miljoen in plaats van 35 miljoen. Nog steeds een bedrag dat een organisatie omver duwt, maar het verschil is een factor twaalf.

Artikel 11 lid 1, de technische documentatie. Ben je aanbieder van een hoog-risicosysteem, dan moet je een uitgebreid technisch dossier bijhouden volgens bijlage IV. Voor het mkb, inclusief start-ups, mag dat in vereenvoudigde vorm, en de Europese Commissie moet daarvoor een apart formulier opstellen dat is toegesneden op kleine en micro-ondernemingen. Aangemelde instanties zijn verplicht dat formulier te accepteren. Dit raakt je alleen als je zelf bouwt.

Artikel 62, toegang en kosten. Lidstaten moeten het mkb voorrang geven bij de toegang tot de AI-testomgevingen, gerichte voorlichting en training organiseren, aparte kanalen openhouden voor vragen, en deelname aan standaardisatie mogelijk maken. Daarnaast moeten de tarieven voor conformiteitsbeoordeling naar beneden voor kleinere bedrijven, evenredig aan hun omvang. Dat is de enige plek waar bedrijfsgrootte je geld bespaart in plaats van werk.

Tekenen aan tafel. Wie je aandelen houdt bepaalt of je als mkb telt.

Het getal dat wél telt staat niet op je loonlijst

Hier gaat het in de praktijk mis. Die drie bepalingen gelden voor het mkb, en de meeste Nederlandse bedrijven van vijftig tot driehonderdvijftig mensen gaan er zonder nadenken van uit dat ze daaronder vallen. Dat is lang niet altijd zo.

De AI Act gebruikt de officiële Europese mkb-definitie uit aanbeveling 2003/361/EG. Die stelt twee eisen tegelijk. Je hebt minder dan 250 medewerkers, én je jaaromzet is maximaal 50 miljoen euro of je balanstotaal maximaal 43 miljoen. Aan beide voorwaarden moet je voldoen, niet aan één.

En dan komt het deel dat vrijwel niemand meeneemt. Je telt niet alleen jezelf. Houdt een ander bedrijf tussen de 25 en 50 procent van je aandelen of stemrechten, dan is dat een partneronderneming en tel je hun cijfers naar rato mee. Zit een partij boven de 50 procent, of heeft die anderszins overwegende zeggenschap, dan is het een verbonden onderneming en tellen hun cijfers volledig mee.

Dat verandert de uitkomst vaker dan je denkt. Een bureau van 180 mensen met 30 miljoen omzet is op eigen kracht keurig mkb. Wordt datzelfde bureau voor 60 procent gehouden door een investeringsmaatschappij met een portefeuille van in totaal 900 medewerkers en 200 miljoen omzet, dan komt de teller boven beide grenzen uit. Dan ben je geen mkb in de zin van de verordening. Dan geldt bij een boete niet het laagste maar het hoogste van bedrag en percentage, en dat is precies de situatie waarin het uitmaakt.

Als er een participatiemaatschappij, een houdstermaatschappij of een buitenlandse moeder in je structuur zit, is dit het enige rekensommetje in dit hele stuk dat je echt moet maken.

Reken het na in vijf minuten

Je hebt drie getallen nodig van jezelf en dezelfde drie van iedere aandeelhouder boven de 25 procent: het aantal medewerkers in arbeidsjaareenheden, de jaaromzet en het balanstotaal. Neem het laatst goedgekeurde boekjaar.

Tel op wat je moet optellen, en leg de uitkomst naast twee grenzen. Onder de 250 medewerkers is de eerste voorwaarde. Maximaal 50 miljoen omzet of maximaal 43 miljoen balanstotaal is de tweede. Val je op één van beide buiten de boot, dan ben je geen mkb.

Eén nuance die mensen geruststelt en die klopt: één jaar over de grens verandert je status nog niet. De definitie werkt met twee opeenvolgende boekjaren. Ga je één jaar over de 250 en zak je daarna terug, dan blijf je mkb. Dat geeft ruimte bij een groeispurt, maar het is geen ontsnappingsroute bij een overname; die verandert je structuur meteen en permanent.

Wat er nu al geldt, ongeacht je omvang

Onderstaande tabel is het hele artikel in één beeld. De rechterkolom is overal hetzelfde.

Een stift op een kalender. De datums zijn verschoven, de reikwijdte niet.

Wat de Omnibus hier niet aan heeft veranderd

De Digital Omnibus van juli 2026 was voor veel bedrijven het moment waarop ze dachten dat de AI Act versoepeld was. Dat klopt voor de datums, en het klopt niet voor de reikwijdte.

Wat verschoof waren de deadlines. De hoofdverplichtingen voor de hoog-risicocategorie uit bijlage III gingen van 2 augustus 2026 naar 2 december 2027, zestien maanden later. Voor hoog risico in gereguleerde producten, bijlage I, werd het een jaar: van 2 augustus 2027 naar 2 augustus 2028. De markeringsplicht voor AI-content bij systemen die al op de markt waren schoof naar 2 december 2026.

Wat niet veranderde is precies het onderwerp van deze pagina. Er is geen vrijstelling op basis van bedrijfsgrootte bijgekomen, niet voor registratie, niet voor de technische documentatie en niet voor de effectbeoordeling. De verordening bleef risicogebaseerd. Wie de Omnibus las als het sein dat kleine bedrijven er nu buiten vallen, heeft de verkeerde conclusie getrokken uit goed nieuws.

Wat je in plaats van tellen doet

Vier stappen, en de eerste is verreweg de belangrijkste.

Maak een inventaris. Schrijf op welke AI-systemen er in je organisatie draaien, inclusief de tools die afdelingen zelf hebben aangeschaft zonder IT erbij. In de bedrijven waar we dit doen komen er structureel meer uit de kast dan de directie had verwacht.

Bepaal per systeem je rol. Aanbieder of gebruiksverantwoordelijke. Let op de val: koop je een systeem in en zet je het onder je eigen merknaam naar buiten, of verander je het beoogde doel ervan, dan word je zelf aanbieder met alle plichten van dien.

Toets aan artikel 5. De verboden zijn absoluut en gelden al sinds februari 2025. De twee die in een gewoon bedrijf daadwerkelijk voorkomen zijn emotieherkenning op de werkvloer en het ongericht verzamelen van gezichtsbeelden.

Leg je inspanning rond AI-geletterdheid vast. Wie gebruikt welk systeem, wat hebben die mensen daarover gehoord, en wanneer. Meer daarover staat op de begrippenpagina over AI-geletterdheid, en hoe je dit vastlegt op de pagina over AI-beleid.

Drie manieren waarop dit misgaat

"Wij zijn te klein." De meest voorkomende, en er zit geen enkele grond voor in de tekst. Een bedrijf van acht mensen dat emotieherkenning inzet bij sollicitatiegesprekken overtreedt precies dezelfde bepaling als een bedrijf van achtduizend.

"Onze leverancier regelt het." Gedeeltelijk waar. De zware verplichtingen liggen bij de aanbieder, maar de transparantieplicht, de geletterdheidsplicht en de verboden blijven van jou. Je kunt ze niet wegcontracteren.

"Wij zijn mkb, dus we betalen de lage boete." Alleen als je het volgens de Europese definitie ook echt bent, inclusief de cijfers van je aandeelhouders. Reken het na voordat je erop rekent.

Over deze pagina

Wetgevingscontent die verouderd is doet meer kwaad dan geen content. Dit is de stand van 5 augustus 2026, en per bewering staat de bron eronder waar je het zelf kunt nalezen. De Digital Omnibus is nog geen twee weken oud en de Nederlandse uitwerking is nog niet uitgekristalliseerd. Controleer de datums opnieuw voordat je er een besluit op baseert, en leg je eigen situatie voor aan een jurist.