AI Act MKB 2026: wat moet je écht doen vóór 2 augustus?

Op 2 augustus 2026, minder dan drie maanden vanaf nu, treedt de EU AI Act volledig in werking. De boetes kunnen oplopen tot 15 miljoen euro of 3% van je wereldwijde jaaromzet. Toch heeft 99% van het Nederlandse MKB nog niks geregeld. De wet klinkt groot en eng, maar in de praktijk komt het neer op een handvol concrete acties. Hier is de eerlijke versie: wat je écht moet doen, wat overdreven is, en hoe je het op een middag regelt.

Val ik onder de AI Act?

Bijna zeker ja. De AI Act geldt voor elke organisatie die AI gebruikt in haar bedrijfsvoering, of je nu een installatiebedrijf bent, een webshop runt of een transportbedrijf hebt. Bedrijfsgrootte doet er niet toe. Of je AI zelf hebt gebouwd ook niet. Als je AI inkoopt en inzet, val je eronder.

En "AI inzetten" is breder dan je denkt. Gebruik je ChatGPT om e-mails op te stellen? Heb je Copilot in Word of Excel? Werkt je boekhoudsoftware met AI-functies (Exact, AFAS, e-Boekhouden, Visma)? Staat er een chatbot op je website? Gebruik je LinkedIn Recruiter? Grammarly? AI-functies in je CRM? Dan val je eronder.

Wat moet je per 2 augustus 2026 op orde hebben?

Voor de meeste MKB-bedrijven gaat het om vijf concrete onderdelen. Geen ervan is technisch ingewikkeld. Wel moet je het schriftelijk vastleggen en aantoonbaar maken.

• Een AI-register, een lijst van alle AI-tools die je bedrijf gebruikt, met per tool: naam, leverancier, doel, welke data erin gaat, en wie het gebruikt. Een Excel-bestand met zes kolommen is voldoende.
• Een AI-beleid, een interne A4 met afspraken: welke tools mag iedereen gebruiken, welke niet, wat doe je wel en niet met klantgegevens, wie controleert. Geen juridisch dictaat, gewoon duidelijke regels.
• Aantoonbare training van medewerkers, iedereen die met AI werkt moet basiskennis hebben (artikel 4 van de AI Act, "AI-geletterdheid"). Dit is al verplicht sinds februari 2025. Een interne sessie van een uur met een korte toets erna is genoeg.
• Transparantie naar klanten, als je AI inzet in communicatie (bijvoorbeeld een chatbot), moet je dat melden. Eén regel in je footer of in het eerste bericht volstaat: "Je praat met een AI-assistent."
• Verwerkersovereenkomsten met AI-leveranciers, als persoonsgegevens via een AI-tool gaan, heb je een verwerkersovereenkomst nodig. Bij grote leveranciers (OpenAI, Microsoft, Google) staan deze standaard online, even printen en archiveren.

De boetes, wat klopt er, wat is overdreven?

De cijfers zijn flink: tot 35 miljoen euro of 7% wereldwijde omzet voor het inzetten van verboden AI-praktijken (bijvoorbeeld social scoring), tot 15 miljoen of 3% voor het niet voldoen aan hoog-risico-verplichtingen, en tot 7,5 miljoen of 1% voor onjuiste informatie verstrekken aan toezichthouders.

In de praktijk: voor het gemiddelde MKB-bedrijf dat alleen "gewone" AI gebruikt (ChatGPT, Copilot, een chatbot, AI in je boekhouding) gaat het niet over deze maximumboetes. Maar het ontbreken van basisdocumentatie, AI-register, beleid, training, kan wel leiden tot een bestuurlijke boete als de Autoriteit Persoonsgegevens langskomt. De AP is in Nederland aangewezen als toezichthouder en is in 2025 al begonnen met steekproefcontroles.

Welke AI-tools moet ik in mijn register zetten?

Hier struikelen de meeste ondernemers. Ze denken bij "AI" aan ChatGPT en vergeten dat AI nu in vrijwel elke moderne software zit. Een snelle scan: heeft je bedrijf één of meer van deze tools in gebruik?

• Generieke AI-assistenten: ChatGPT, Claude, Gemini, Microsoft Copilot, Perplexity
• Office-AI: Copilot in Word/Excel/Outlook, Google Workspace AI, Notion AI
• CRM-AI: Salesforce Einstein, HubSpot AI, Pipedrive AI, ActiveCampaign AI
• Boekhoud-AI: Exact AI Connect, AFAS InSite AI, Yuki AI, Klippa, Visma AutoInvoice
• Communicatie-AI: chatbots op je website, AI-telefonisten, WhatsApp Business-bots
• HR-AI: LinkedIn Recruiter, Recruitee AI, Bullhorn AI
• Schrijf-AI: Grammarly, DeepL Write, ProWritingAid
• Marketing-AI: ChatGPT-plugins, AI in Mailchimp, AI in Meta Ads Manager
• Branchespecifiek: planning-AI voor installateurs, routerings-AI voor transport, voorraad-AI voor retail

Vrijwel elk MKB-bedrijf gebruikt minstens drie tools uit deze lijst. Schrijf ze allemaal op. Dat is je AI-register.

AVG en AI Act, hoe verhouden ze zich?

De AVG (GDPR) blijft gewoon gelden. De AI Act is een aanvulling, geen vervanging. Als jouw AI-tool persoonsgegevens verwerkt (en dat doen de meeste), moet je aan beide voldoen.

Concreet: voor elke AI-toepassing met klantgegevens stel je jezelf twee vragen. Eén: is de dataverwerking AVG-proof (grondslag, doel, bewaartermijn, beveiliging)? Twee: voldoet het AI-systeem aan de risico-categorie die de AI Act voorschrijft? Voor de meeste MKB-toepassingen vallen je tools in de categorie "beperkt risico", dan zijn alleen transparantieverplichtingen van toepassing.

De 5-stappen aanpak voor jouw MKB

• Stap 1, Inventarisatie (1–2 uur): Loop met je team alle software langs die jullie gebruiken. Check op AI-functies. Maak een Excel-bestand met kolommen: tool, leverancier, doel, data, gebruikers, risiconiveau.
• Stap 2, Beleid op één A4 (1 uur): Schrijf op welke AI-tools mogen, welke niet, en wat de regels zijn voor klantdata. Laat het door één persoon goedkeuren en deel het in je teammap.
• Stap 3, Training (1 uur per medewerker): Geef een korte sessie over wat AI is, wat de risicos zijn, en wat de regels zijn. Sluit af met een korte toets of een handtekening voor ontvangst.
• Stap 4, Klantcommunicatie aanpassen (30 minuten): Voeg een AI-melding toe in je chatbot, in je e-mail-handtekening waar relevant, en in je privacyverklaring.
• Stap 5, Verwerkersovereenkomsten checken (1–2 uur): Bij elke AI-leverancier die persoonsgegevens verwerkt: download de standaard verwerkersovereenkomst en archiveer hem.

Wat hoef je NIET te doen?

Er is een hele industrie ontstaan rond AI-compliance, en die wil je graag dure pakketten verkopen. Voor de meeste MKB-bedrijven is dat onnodig. Eerlijk overzicht van wat overbodig is:

• Een externe compliance-consultant van €5.000–€15.000, niet nodig tenzij je hoog-risico AI inzet (HR-beslissingen, kredietbeoordeling, biometrische identificatie)
• Dure compliance-software met dashboards, een Excel doet hetzelfde voor nul euro
• ISO 42001-certificering, interessant voor enterprise, overdreven voor MKB
• Een eigen Data Protection Officer (DPO), alleen verplicht als je structureel grootschalig persoonsgegevens monitort
• Een uitgebreid risicoanalyserapport per AI-tool, alleen vereist voor hoog-risico systemen

Wat als je het te druk hebt om dit zelf te regelen?

Realistisch: een ondernemer met een vol agenda gaat dit niet op zaterdag tussen voetbal en boodschappen doen. Twee opties dan: één, geef het aan iemand in je team met affiniteit voor structuur (vaak je officemanager of HR) en blok er een dag voor in. Twee, schakel een partij in die het sámen met je doet, niet voor je, maar met je. Dan kost het je 2–3 uur in plaats van 6.

Ik bouw automatiseringen die standaard AI Act- en AVG-proof zijn. Dat is geen marketingclaim, dat is gewoon hoe ik werk. Of je nu klantenservice automatiseert, e-mails laat afhandelen of een AI-telefonist inzet: het AI-register en de transparantieverplichtingen regel ik mee.

Wat verandert er ná augustus 2026?

De AI Act is geen eenmalige hindernis. Vanaf 2 augustus 2026 gaat de Autoriteit Persoonsgegevens actief toezicht houden. In 2027 komen er aanvullende verplichtingen voor general-purpose AI-modellen. En de Europese Commissie heeft aangekondigd dat de wet elke twee jaar wordt geëvalueerd. Wie nu een werkbare structuur opzet, hoeft het straks alleen bij te werken.

Drie veelgemaakte fouten

• Fout 1: Denken dat de AI Act niet voor jou geldt omdat je "gewoon ChatGPT" gebruikt. Hij geldt wél. Het maakt niet uit hoe simpel of standaard de tool is.
• Fout 2: Wachten tot 1 augustus. Dan loop je tegen leveranciers aan die geen tijd meer hebben en mensen op vakantie. Doe het in juni.
• Fout 3: Alleen je eigen team trainen en je verkopers vergeten. De wet geldt ook voor zzpers die in je naam met AI werken. Neem ze mee in je beleid.

De AI Act klinkt als regelgeving voor multinationals, maar de praktische impact landt vooral bij het MKB. Het goede nieuws: voor een normaal MKB-bedrijf is het in een paar uur geregeld. Het slechte nieuws: als je niks doet, sta je in augustus 2026 met lege handen, terwijl je concurrenten een streep voor hebben. De keuze is simpel.