AI-geletterdheid van personeel: de verplichting die niemand kent

Er staat sinds 2 februari 2025 een verplichting in de EU AI Act die vrijwel geen Nederlandse directeur kent. Ze gaat niet over hoog-risicosystemen, niet over registratie en niet over technische dossiers. Ze gaat over je eigen mensen, ze geldt voor elk bedrijf ongeacht omvang, en ze is met afstand de goedkoopste verplichting uit de hele verordening om aan te voldoen.

Artikel 4 gaat over AI-geletterdheid. Het zegt, kort gezegd, dat je als aanbieder of gebruiksverantwoordelijke maatregelen neemt zodat de mensen die met AI werken weten wat ze aan het doen zijn. Geen certificaat, geen examen, geen verplichte cursus van een dag. Wel: aantoonbaar iets doen.

In juli 2026 is die verplichting versoepeld, en tegelijk werd de handhaving eromheen juist scherper. Dat is een combinatie die makkelijk verkeerd wordt gelezen, dus we lopen hem hieronder precies na.

Wat er in juli precies is veranderd

De oorspronkelijke tekst van artikel 4 verplichtte aanbieders en gebruiksverantwoordelijken om maatregelen te nemen die, naar hun beste vermogen, een toereikend niveau van AI-geletterdheid waarborgen bij hun personeel en bij anderen die namens hen AI-systemen bedienen.

De Digital Omnibus, sinds 27 juli 2026 van kracht, heeft dat afgezwakt. Waar je een niveau moest waarborgen, moet je nu de ontwikkeling van AI-geletterdheid ondersteunen. Dat klinkt als een detail en het is er geen. Het verschil is dat van een resultaatsverplichting naar een inspanningsverplichting. Je hoeft niet aan te tonen dat iedere medewerker een bepaald niveau haalt. Je moet aantonen dat je er iets aan doet.

Wat níet is veranderd: de plicht is niet uitgesteld en niet geschrapt, ze geldt nog steeds voor elk bedrijf ongeacht grootte, en vanaf 2 augustus 2026 is het toezichtsapparaat eromheen operationeel.

Waarom bijna niemand deze verplichting kent

Het is de moeite waard om even stil te staan bij hoe dit zo heeft kunnen lopen, want het verklaart ook waarom je er weinig over hoort van je adviseurs.

De AI Act is in de communicatie vrijwel volledig gekaapt door het onderwerp hoog risico. Dat is begrijpelijk: daar zitten de technische dossiers, de conformiteitsbeoordelingen en de bedragen die het nieuws halen. Het gevolg is dat de bepaling die voor de meeste bedrijven daadwerkelijk geldt, en die als eerste in werking trad, in de schaduw is gebleven van de bepalingen die voor bijna niemand gelden.

Daar komt bij dat artikel 4 kort is, geen sanctie in zichzelf noemt en geen deadline heeft die op een tijdlijn past. Iets zonder datum verdwijnt van de agenda. Dat is precies wat er is gebeurd: de plicht ging in op 2 februari 2025 en veel bedrijven kregen pas anderhalf jaar later, toen het toezicht in augustus 2026 op gang kwam, voor het eerst een vraag die met deze bepaling te maken had.

De derde reden is minder charmant. Er is weinig geld te verdienen aan een verplichting die je met twee dagdelen per kwartaal afdekt. Er is wel geld te verdienen aan certificeringstrajecten, en dat verklaart waarom de weinige aandacht die er is, vaak van de verkeerde kant komt.

Wat het niet is

Drie misverstanden die duur worden als je erop reageert.

Het is geen examen. Er hoeft geen enkele medewerker aan te tonen dat hij of zij iets kan. Er is geen norm, geen niveau en geen toets. Elke partij die je een certificeringstraject verkoopt met een beroep op artikel 4, verkoopt je iets wat de wet niet vraagt.

Het is geen eenmalige cursus. Een e-learning die iedereen in januari afvinkt en die daarna in een map verdwijnt, is geen ondersteuning van ontwikkeling. Het is een bewijsstuk zonder inhoud, en het helpt je op het moment dat het ertoe doet niet.

Het is niet alleen voor je vaste personeel. De tekst noemt personeel én anderen die namens jou AI-systemen bedienen. Uitzendkrachten, zzp'ers en een extern bureau dat met jouw systemen werkt, vallen daar gewoon onder. Dat is in de praktijk het stuk dat het vaakst wordt overgeslagen.

Een sessie met het team. De meeste bedrijven van deze omvang draaien dit proces al voor ICT-veiligheid.

Je hebt hier al machinerie voor staan

Hier zit de meest bruikbare vaststelling van dit stuk, en de cijfers van het CBS onderbouwen hem.

Van de Nederlandse bedrijven met 50 tot 250 medewerkers biedt 66 procent vrijwillige training aan over ICT-veiligheid, en 46 procent maakt die training verplicht. Eenenzeventig procent heeft documenten liggen over ICT-veiligheidsbeleid. Met andere woorden: in de meeste bedrijven van deze omvang bestaat er al een proces om mensen iets te leren over een risico, dat vast te leggen en het periodiek te herhalen.

Dat is exact wat artikel 4 vraagt, alleen over een ander onderwerp. Je hoeft geen nieuw programma op te tuigen. Je hoeft het bestaande uit te breiden met een onderwerp, en dat is een gesprek van een halve dag met degene die dat proces nu draait.

Wie dat inziet, is klaar met de verplichting voordat de meeste concurrenten weten dat ze bestaat.

Wat aantoonbaar in de praktijk betekent

Je hebt geen dossier nodig, je hebt een overzicht nodig dat je binnen een uur kunt laten zien. Vier dingen volstaan.

De laatste rij is de belangrijkste en wordt het vaakst vergeten. Een overzicht zonder eigenaar is binnen twee kwartalen verouderd. Deze vier onderdelen horen thuis in je AI-beleid, niet in een apart document dat niemand opent.

Waarom dit de goedkoopste manier is om vermogen op te bouwen

Nu het deel dat verder gaat dan de wet.

Uit de ICT-enquête van het CBS blijkt dat bedrijven met 50 tot 250 mensen die AI overwogen maar niet gingen gebruiken, veruit het vaakst één reden noemen: gebrek aan relevante ervaring in het eigen bedrijf, door 11 procent. Kosten worden door 3 procent genoemd. Het knelpunt zit dus niet in het budget, het zit in de mensen die je al hebt.

Artikel 4 dwingt je precies dat knelpunt aan te pakken, en dat is een gelukkig toeval. De verplichting kost je in een bedrijf van honderdvijftig mensen misschien twee dagdelen per kwartaal. Diezelfde twee dagdelen zijn de goedkoopste investering in eigen vermogen die je kunt doen, want ze gaan over je eigen processen en je eigen systemen.

Het verschil zit in hoe je het invult. Een algemene sessie over wat een taalmodel is, voldoet aan de wet en levert niets op. Een sessie waarin je met vijf mensen een echt geval uit die week uitpluist, waarom kwam deze uitkomst eruit en wat had je moeten controleren, voldoet net zo goed aan de wet en levert wel iets op. De kosten zijn gelijk.

Een half uur per kwartaal over een echt geval is meer waard dan één dag per jaar theorie.

Wat een sessie van een half uur eruitziet

Om het concreet te maken, want dit is het deel waar de meeste bedrijven op vastlopen.

Neem een echte uitkomst uit die maand. Een offerte die door een model is voorbereid, een kandidaat die door een systeem hoger is gerangschikt, een voorspelling die ernaast zat. Geen voorbeeld uit een cursus, iets uit je eigen bedrijf.

Loop dan drie vragen langs met de mensen die ermee werken. Wat is hier precies gebeurd, in gewone taal. Wat had je moeten controleren voordat dit naar buiten ging. En wat zou je hebben gedaan als het fout was geweest, wie had je gebeld en wat had je teruggedraaid.

Schrijf de datum, het onderwerp en de aanwezigen op. Dat is het. Je hebt voldaan aan de wet, en belangrijker: je hebt vijf mensen die de volgende keer zelf de vraag stellen. Dat tweede is waar het om gaat, en het is precies wat een e-learning niet doet.

Wat je vermijdt is de neiging om er een presentatie van te maken. Zodra er sheets zijn, wordt het eenrichtingsverkeer en leert niemand iets over het eigen werk.

Niet iedereen hoeft hetzelfde te weten

De wet spreekt over een niveau dat past bij de rol en de context. Dat is in de praktijk vier groepen, en ze hebben elk iets anders nodig.

De directie hoeft niet te weten hoe een model werkt. Die moet weten welke besluiten in het bedrijf mede door AI worden genomen, wie daar verantwoordelijk voor is, en wat er gebeurt als het misgaat.

De dagelijkse gebruikers hebben het meest concrete pakket nodig: wat mag er wel en niet in een tool, hoe herken je een uitkomst die niet klopt, en bij wie meld je het.

De inkopers, en dat is vaker iemand uit de administratie of het MT dan uit IT, moeten weten welke vragen ze aan een leverancier stellen en wanneer je zelf aanbieder wordt in de zin van de wet.

Wie zelf iets bouwt of aanpast, ook als dat neerkomt op het instellen van een tool, heeft het meest nodig en is meestal de persoon die het minst wordt opgeleid omdat iedereen aanneemt dat die het al weet.

Wat het kost als je het niet doet

Artikel 4 kent geen eigen sanctie, en dat leidt bij veel directies tot de conclusie dat er dus niets gebeurt. Die conclusie klopt niet, om drie redenen.

De eerste is dat toezichthouders bij elke andere kwestie hiernaar vragen. Komt er een melding over een AI-systeem, dan is de eerste vraag zelden juridisch en bijna altijd feitelijk: wie werkte hiermee en wat wist die persoon. Heb je daar geen antwoord op, dan begin je het gesprek op achterstand, ongeacht waar het gesprek over ging.

De tweede is dat de boetes uit artikel 99 wel bestaan voor de bepalingen eromheen. Voor de meeste verplichtingen ligt het maximum op 15 miljoen euro of 3 procent van de wereldwijde jaaromzet, waarbij voor het mkb het laagste van die twee geldt in plaats van het hoogste. Aantoonbaar beleid en aantoonbare inspanning zijn precies wat het verschil maakt tussen een overtreding die wordt uitgepraat en een die wordt beboet.

De derde is de reden die geen wet nodig heeft. Een medewerker die niet weet wat er wel en niet in een tool mag, zet er op enig moment iets in wat er niet in hoort. Klantgegevens, een concept-overname, een salarisbestand. Dat is geen theoretisch scenario en het is de enige categorie op deze pagina waar de schade onomkeerbaar is.

Waar het misgaat

De training gaat over tools in plaats van over oordeel. Een sessie over de knoppen van een pakket is verouderd zodra de leverancier iets verandert. Een sessie over hoe je een uitkomst controleert, blijft geldig.

Er wordt niets vastgelegd. Dit is het meest voorkomende en het domste. Het gebeurt wel, er wordt over gepraat, en niemand schrijft op wie erbij was. Op het moment dat je het moet laten zien, heb je niets.

Uitzendkrachten en externen worden vergeten. Zie hierboven; de tekst noemt ze expliciet.

Het gebeurt één keer. Ondersteuning van ontwikkeling is naar zijn aard herhalend. Eén keer per kwartaal een half uur is meer waard dan één keer per jaar een dag, en het kost minder.

Wat je deze maand doet

Zoek uit wie in je bedrijf het ICT-veiligheidsbewustzijn regelt en vraag hoe dat proces loopt. In driekwart van de bedrijven van deze omvang bestaat dat proces, inclusief de vastlegging.

Voeg daar AI aan toe als onderwerp. Maak de lijst van wie met welk systeem werkt, en neem de uitzendkrachten en externen mee. Plan één sessie van een half uur per kwartaal, en gebruik daarvoor een echt geval uit dat kwartaal in plaats van een algemene inleiding.

Leg vast wie het overzicht bijhoudt. Dat is het hele werk. Wie dit doet is niet alleen klaar met artikel 4, maar heeft ook precies de gewoonte opgebouwd die volgens het CBS bij de meeste bedrijven van deze omvang ontbreekt.

Over deze pagina

De cijfers over training en beleid rond ICT-veiligheid en over de redenen om geen AI te gebruiken komen uit de ICT-enquête van het CBS over 2025 en gaan over bedrijven met 50 tot 250 werkzame personen. Let op bij het natrekken van artikel 4: veel bronnen tonen nog de oorspronkelijke tekst van vóór de Digital Omnibus van juli 2026. De verordening zelf staat hieronder. Dit is de stand van 11 augustus 2026 en geen juridisch advies.