EU AI Act voor het MKB: wat je nu geregeld moet hebben

Op zondag 2 augustus 2026 gaat een deel van de EU AI Act gelden waar je als middelgroot bedrijf echt iets mee moet. Een ander deel, waarschijnlijk precies het deel waar je bang voor was, is vorige week met zeventien maanden uitgesteld.

Dat uitstel is geen gerucht en geen voorstel meer. Verordening (EU) 2026/1744, de Digital Omnibus on AI, is op 24 juli 2026 in het Publicatieblad verschenen en op 27 juli in werking getreden. Dat is twee dagen geleden. Vrijwel elke Nederlandstalige uitleg die je vandaag googelt is ouder dan dat, en klopt dus op minstens één punt niet meer.

Deze pagina zet op een rij wat er voor een bedrijf van vijftig tot driehonderdvijftig mensen daadwerkelijk geldt, wat er is opgeschoven, en wat je deze week nog kunt doen. Geen juridisch advies, wel de data en de artikelnummers waarmee je zelf verder kunt.

Een magazijnmedewerker leest een systeemuitkomst op een tablet. De meeste bedrijven raken de AI Act als gebruiker, niet als bouwer.

De korte versie

Voor het overgrote deel van de bedrijven in deze grootteklasse komt het neer op drie dingen:

1. Je moet weten waar AI in je organisatie draait. Niet omdat een artikel dat letterlijk eist, maar omdat je geen van de andere verplichtingen kunt beoordelen zonder die lijst.
2. Vanaf 2 augustus 2026 moet je mensen vertellen wanneer ze met AI te maken hebben. Dat is artikel 50, en dat is niet uitgesteld.
3. De mensen die met die systemen werken moeten er genoeg van begrijpen. Dat is artikel 4, dat geldt al sinds februari 2025, en waar vanaf 2 augustus toezicht op komt.

De zware verplichtingen, de conformiteitsbeoordelingen en het technisch dossier voor hoog-risico systemen, gelden voor de meeste bedrijven in deze categorie niet, en zijn bovendien opgeschoven naar 2 december 2027.

Wat er precies is verschoven

De Omnibus vervangt de oorspronkelijke datum van 2 augustus 2026 voor hoog-risico systemen door vaste nieuwe data. Belangrijk detail: het Europees Parlement en de Raad hebben de voorgestelde constructie waarbij het uitstel afhing van beschikbare standaarden geschrapt, en er harde datums voor in de plaats gezet. Je hoeft dus niet te volgen of er ergens een norm klaar is.

De rij die je moet onthouden is de dikgedrukte. Alles eromheen is uitgesteld of geldt al lang. Wie de afgelopen maanden een plan heeft gemaakt rond 2 augustus 2026 als harde muur, kan dat plan dus opnieuw inplannen en over de resterende zeventien maanden uitsmeren.

Het onderscheid dat alles bepaalt: bouw je het of gebruik je het

De AI Act legt verreweg de meeste verplichtingen bij de aanbieder, de partij die een AI-systeem op de markt brengt of onder eigen naam in gebruik geeft. Een fractie ligt bij de gebruiksverantwoordelijke, de partij die het systeem in de eigen organisatie inzet.

Een groothandel die Copilot uitrolt, een logistiek bedrijf dat een planningsmodule van zijn TMS-leverancier aanzet, een bouwbedrijf dat offertes laat samenvatten: die zijn allemaal gebruiksverantwoordelijke. De verplichtingen die op hen rusten zijn beperkt en goed te doen.

De kanteling zit in twee situaties, en die zijn allebei makkelijker te bereiken dan mensen denken. Zet je een systeem onder je eigen merknaam in de markt, dan word je aanbieder. En pas je een bestaand systeem zo ingrijpend aan dat het beoogde doel verandert, dan ook. Een chatbot van de plank die je uitsluitend traint op je eigen documentatie blijft doorgaans een ingekocht systeem. Een model dat je zelf fijnstelt en vervolgens aan je klanten aanbiedt, is dat niet meer.

De vraag is dus niet hoe geavanceerd het is. De vraag is onder wiens naam het naar buiten gaat.

Wanneer je wél hoog-risico bent

Hoog-risico klinkt als iets voor ziekenhuizen en energiecentrales, en dat is precies waarom bedrijven het te snel wegwuiven. Bijlage III noemt acht gebieden, en twee daarvan komen in een gewoon bedrijf van deze omvang gewoon voor.

Het eerste is werving en personeelsbeleid. De verordening noemt letterlijk systemen die worden gebruikt voor de werving of selectie van mensen, in het bijzonder om gerichte vacatures te plaatsen, sollicitaties te analyseren en te filteren, en kandidaten te beoordelen. Daarnaast systemen die beslissingen nemen over arbeidsvoorwaarden, promotie of beëindiging. Laat je sollicitaties automatisch voorsorteren, dan zit je in deze categorie, ook als de uiteindelijke keuze bij een mens ligt.

Het tweede is toegang tot essentiële diensten, waaronder beoordeling van kredietwaardigheid en risicobepaling bij verzekeringen. Doe je aan klantacceptatie met een scoremodel, dan is dat relevant.

Belangrijk daarbij: hoog-risico betekent niet verboden. Het betekent een zwaarder regime, met een risicobeoordeling, documentatie, logging en gedocumenteerd menselijk toezicht. En, sinds vorige week, met een ingangsdatum van 2 december 2027 in plaats van volgende week. Dat is de zeventien maanden speling die je gekregen hebt, en het is precies genoeg tijd om het goed te doen in plaats van in paniek.

De val zit hier niet in de eisen maar in de aanname. Bijna elk bedrijf van deze omvang doet iets met sollicitaties. Als je op de vraag of jullie AI gebruiken in werving spontaan nee zegt, controleer dan eerst welke functies je ATS-leverancier het afgelopen jaar heeft aangezet.

Artikel 50: de enige echte deadline van 2 augustus

Artikel 50 gaat over transparantie, en het is opvallend concreet. Vier dingen zijn voor een gewoon bedrijf relevant.

Mensen moeten weten dat ze met een machine praten. Een systeem dat rechtstreeks met mensen communiceert moet dat kenbaar maken, tenzij het overduidelijk is voor iemand die redelijk oplettend is. Een chatvenster op je website dat zich voordoet als een medewerker voldoet daar niet aan.

Gegenereerde inhoud moet machineleesbaar gemarkeerd zijn. Dat is in de eerste plaats een plicht van de aanbieder van het generatieve systeem, niet van jou als gebruiker. Wel is het een concrete vraag aan je leverancier.

Emotieherkenning en biometrische categorisering moet je melden aan de mensen op wie je het toepast. Dit is de bepaling waar je in een selectieproces of op een werkvloer het snelst tegenaan loopt.

Deepfakes en gepubliceerde AI-teksten moeten als zodanig herkenbaar zijn. Voor gepubliceerde teksten geldt een uitzondering wanneer er menselijke redactie en redactionele verantwoordelijkheid op zit. Dat is precies waarom een redactieproces meer is dan een kwaliteitsmaatregel.

De informatie moet uiterlijk bij het eerste contact worden gegeven, duidelijk en onderscheidbaar, en toegankelijk voor mensen met een beperking. Verstopt in de algemene voorwaarden telt niet.

Artikel 4: versoepeld, niet verdwenen

De oorspronkelijke tekst van artikel 4 verplichtte aanbieders en gebruiksverantwoordelijken om, naar hun beste vermogen, een toereikend niveau van AI-geletterdheid te waarborgen bij hun personeel. De Omnibus heeft die norm verzacht: waar het een resultaat moest opleveren, is het nu een inspanning. Je moet de ontwikkeling van AI-geletterdheid ondersteunen, niet een meetbaar niveau per medewerker garanderen.

Dat is echte verlichting, en tegelijk minder dan het lijkt. De plicht is niet uitgesteld en niet geschrapt, en vanaf 2 augustus 2026 hebben de nationale markttoezichthouders formeel de bevoegdheid om erop te handhaven. Het verschil is dat je nu kunt volstaan met aantoonbaar beleid en aantoonbare inspanning, in plaats van een examenuitslag per persoon.

In de praktijk is dat een halve dag werk: leg vast wie welke systemen gebruikt, wat die mensen daarover hebben gehoord, en wanneer. Meer over wat AI-geletterdheid in de praktijk betekent staat op de begrippenpagina.

Wat je niet mag, en wat dat kost

Eén categorie is absoluut. Artikel 5 verbiedt een aantal praktijken volledig, ongeacht bedrijfsgrootte of sector. De twee die in een gewoon bedrijf daadwerkelijk voorkomen: emotieherkenning op de werkvloer en in het onderwijs, en het ongericht schrapen van gezichtsbeelden om een herkenningsdatabase te bouwen. Beide zijn verboden sinds februari 2025.

De boetes staan in artikel 99, en het verschil tussen de categorieën is groot.

Voor het MKB geldt een eigen regel die de moeite van het lezen waard is. Waar voor grote ondernemingen het hoogste van de twee bedragen geldt, geldt voor kleine en middelgrote ondernemingen juist het laagste van de twee. Bij een omzet van veertig miljoen euro betekent dat bij een overtreding van artikel 50 een maximum van 1,2 miljoen in plaats van 15 miljoen. Nog steeds geen bedrag om te negeren, maar het is niet de existentiële dreiging waarmee deze verordening vaak wordt verkocht.

Een lijst maken met de hand. De inventarisatie van waar AI al draait is de stap die niemand voor je kan doen.

Wat je deze week doet

Vier stappen, in deze volgorde, en geen ervan vraagt een jurist.

Eén: maak de lijst. Alles waar AI in zit en dat in je organisatie draait. Vergeet de functies niet die je leverancier stilletjes heeft aangezet in software die je al jaren had. Dat is bij de meeste bedrijven waar de verrassingen zitten, niet bij de projecten die je zelf bent begonnen.

Twee: zet per regel wie de aanbieder is. In vrijwel alle gevallen is dat je leverancier en niet jij. Waar dat niet zo is, of waar je twijfelt, zet je een vraagteken en dat is de lijst die naar een jurist gaat. Meestal zijn dat één of twee regels, niet dertig.

Drie: loop artikel 50 na op de systemen die met mensen praten. Klantenservice, sollicitatieprocedures, de chat op je site. Zegt het systeem dat het een systeem is? Zo niet, dan is dat een tekstwijziging en geen project.

Vier: leg vast wie beslist. Niet omdat de wet dat in deze vorm eist, maar omdat elke verplichting hierboven uiteindelijk neerkomt op iemand die kan uitleggen waarom een systeem doet wat het doet. Dat is de kern van een werkbaar AI-beleid en van human on the loop: een mens die toezicht houdt en kan ingrijpen, in plaats van iemand die achteraf een logbestand krijgt voorgelegd.

Waar dit misgaat

Twee patronen komen we het vaakst tegen.

Het eerste is de organisatie die een compliance-project start voor verplichtingen die niet op haar rusten. Dat kost een kwartaal, levert een map op die niemand opent, en heeft als voornaamste effect dat het echte werk stilligt. De hoog-risico verplichtingen gelden niet voor de meeste bedrijven in deze grootteklasse, en ze gelden bovendien pas over anderhalf jaar.

Het tweede is de organisatie die niets doet omdat het is uitgesteld, en over een jaar ontdekt dat er tientallen systemen draaien die niemand kent. De inventarisatie is geen compliance-werk. Het is precies dezelfde lijst die je nodig hebt om te bepalen waar AI je iets oplevert, en dat is de reden om hem hoe dan ook te maken.

Nog één ding over deze pagina

Regelgevingscontent die verouderd is doet meer kwaad dan geen content. Deze pagina beschrijft de stand van 29 juli 2026 en verwijst per bewering naar de bron waar je het zelf kunt nalezen. De Omnibus is twee dagen oud en de nationale uitwerking in Nederland is nog niet uitgekristalliseerd. Controleer de datums opnieuw voordat je er een besluit op baseert, en raadpleeg een jurist voor je eigen situatie.