Terug naar het overzicht
24 augustus 2026
De AI Act voor het MKB: wat er echt geldt (en wat is uitgesteld)
Op 2 augustus 2026 ging een nieuwe fase van de AI Act in. Wat er die dag niet gebeurde: er kwam geen toezichthouder langs, de boete uit alle koppen viel bij niemand op de mat, en de zware verplichtingen voor hoog-risico AI, waar de paniekartikelen over gingen, zijn met de Digital Omnibus doorgeschoven naar december 2027.
Wat er wél geldt, is overzichtelijk: een chatbot moet zich kenbaar maken als AI, bepaalde AI-content moet herkenbaar zijn, en de AI-geletterdheidsplicht die al sinds februari 2025 bestaat, staat nu onder toezicht. Toch voelt volgens KVK-onderzoek maar een klein deel van de ondernemers zich goed geïnformeerd over deze wet; de rest krijgt zijn informatie uit koppen die angst verkopen.
Deze blog zet op een rij wat er echt geldt voor een MKB-bedrijf dat gewoon ChatGPT, Copilot of een chatbot gebruikt: wat is uitgesteld, wat nu geldt, wat al gold, en de vijf punten waarmee je het praktisch regelt.
Drie stapels: uitgesteld, geldt nu, gold al
De verwarring rond de AI Act verdwijnt zodra je de verplichtingen in drie stapels legt. Uitgesteld: de zware eisen voor hoog-risico AI-systemen zijn met de Digital Omnibus (Verordening (EU) 2026/1744, in werking sinds 27 juli 2026) doorgeschoven naar 2 december 2027, en voor systemen onder Bijlage I naar 2 augustus 2028. Geldt sinds 2 augustus 2026: de transparantieverplichtingen van artikel 50, over chatbots en AI-content. Gold al sinds februari 2025: de AI-geletterdheidsplicht van artikel 4 en de verboden praktijken van artikel 5; nieuw is dat daar nu toezicht bij hoort.
Dat toezicht ligt bij de nationale markttoezichtautoriteiten. In Nederland is de uitvoeringswet nog niet in werking, dus de handhaver is nog in aanbouw. De plicht zelf is dat niet: de verordening werkt rechtstreeks.
Praat je klant met AI? Dan moet hij dat weten
Staat er een chatbot op je website, dan moet voor de bezoeker duidelijk zijn dat hij met AI praat, niet met een collega die toevallig nooit slaapt. En dat mag niet weggestopt in de algemene voorwaarden: de wet vraagt om duidelijkheid op het moment van de interactie zelf. In de praktijk is dat een melding boven het chatvenster of in het openingsbericht: “Je chat met de AI-assistent van [bedrijf].” Dit is geen project, dit is een middag.
AI-content herkenbaar: wat er echt onder valt
Over de herkenbaarheid van AI-content bestaat het meeste misverstand, dus even precies. De markeringsplicht van artikel 50 richt zich met name op deepfakes en op AI-gegenereerde teksten die het publiek informeren over zaken van algemeen belang. Niet elke marketingtekst die je met AI schreef valt er automatisch onder, zeker niet als er een mens naar keek en er redactionele verantwoordelijkheid is. Voor de machineleesbare markering door aanbieders geldt bovendien een overgangstermijn tot 2 december 2026, uitsluitend voor systemen die vóór 2 augustus 2026 op de markt waren.
De nuchtere praktijklijn: wees transparant waar AI het werk deed en een lezer of kijker dat redelijkerwijs wil weten. Dat kost niets, klanten waarderen het, en je zit er ruim mee aan de goede kant van de plicht.
De training die je al moest hebben
“AI-geletterdheid? Onze mensen gebruiken nauwelijks AI.” Stel dan één vraag: wie in het team heeft de afgelopen maand ChatGPT, Copilot of een AI-functie in de eigen software gebruikt? Het antwoord is vrijwel altijd: iedereen eigenlijk. Precies daar gaat artikel 4 over: wie met AI werkt, moet snappen wat het wel en niet kan, en wanneer je de uitkomst moet wantrouwen.
Het is een inspanningsverplichting, geen diploma-eis. Maar de inspanning moet aantoonbaar zijn: wie volgde welke uitleg, wanneer, vastgelegd. Een basistraining voor iedereen die met AI werkt plus verdieping voor de intensieve gebruikers is genoeg. Documenteer het, en dit onderdeel is af. Daar is hij weer, de rode draad van elke wet dit jaar: aantoonbaar.
Waarom menselijk toezicht geen papieren eis is
Een les uit onze eigen praktijk. Na een klantgesprek lieten we AI-notulen maken: keurige samenvatting, actiepunten, alles leek compleet, en de terugkoppeling ging naar de klant. Eén besproken onderwerp ontbrak. Het stond wél in de volledige transcriptie, maar de samenvatting had het laten vallen omdat het kort en tussendoor besproken was. De klant miste het, en er moest een aanvullende mail achteraan.
Sindsdien is de regel: notulen altijd naast de transcriptie leggen voordat er klantcommunicatie van wordt gemaakt. Dat is precies wat de AI Act bedoelt met menselijk toezicht en geletterdheid. Niet omdat AI slecht is; we gebruiken het dagelijks en het bespaart uren. Maar wie AI-output ongecontroleerd doorstuurt, tekent voor fouten die hij niet heeft gezien. AI is gereedschap. De controle blijft mensenwerk.
Verbieden werkt niet
“Wij hebben AI gewoon verboden op de zaak”, zei een directeur trots. Onze wedervraag: en hoe controleer je dat? Stilte. Dit is wat er echt gebeurt bij een AI-verbod: medewerkers gebruiken het op hun privételefoon. Zelfde werk, zelfde bedrijfsgegevens, maar dan in een gratis account zonder afspraken, buiten elk zicht. Dat heet schaduw-AI, en het is een groter risico dan het gebruik dat je verbood.
De AI Act vraagt niet om verbieden maar om kanaliseren: weet welke tools je organisatie gebruikt, spreek af wat erin mag en wat niet, en zorg dat gevoelige klant- en bedrijfsgegevens nooit in een openbare tool belanden. Een AI-beleid van één A4 dat gebruik toestaat onder voorwaarden, wordt nageleefd. Een verbod wordt omzeild.
Het A4 met vijf punten
Alles wat hierboven staat, komt samen in vijf punten. Een AI-register: welke AI-tools gebruikt je organisatie, waarvoor, en welke data gaat erin. Een AI-beleid: wie mag wat gebruiken, en welke gegevens horen er nooit in. Aantoonbare geletterdheid: vastgelegd wie welke uitleg kreeg. Transparantie: de chatbot maakt zich kenbaar en AI-content is herkenbaar waar de plicht dat vraagt. En de leverancierscheck: hebben je AI-leveranciers een verwerkersovereenkomst, en is die getekend? Vijf punten, geen compliance-afdeling nodig.
Het register en de transparantieteksten kun je vandaag nog maken. Onze gratis AI-check op airegister.alta-ict.nl loopt in een minuut of tien door je AI-gebruik heen en levert je AI-register en transparantieteksten als documenten op. Eerlijk vooraf: de wizard bouwt op wat jij invult, dus wat je niet opgeeft staat er niet in, en het is geen juridisch advies. Voor een MKB-bedrijf dat gewoon wil weten waar het staat, is het de snelste eerste stap.
Herken je het patroon van de vijf punten? Het is dezelfde aantoonbaarheid die je klanten via de Cyberbeveiligingswet van je vragen. Wie het voor de ene wet vastlegt, heeft het voor de andere grotendeels liggen.
Hoe ALTA-ICT hierin staat
Wij gebruiken AI dagelijks in ons eigen werk en kennen de valkuilen uit de praktijk, niet uit de folder; de notulen-les hierboven is er één van. Voor klanten zetten we de vijf punten op tijdens een AI check-in: inventarisatie van de tools, het register en beleid op maat, en de training voor het team, passend bij de omvang van het bedrijf. We werken daarbij vanuit onze eigen certificering voor ISO 27001:2023, ISO 9001:2015 en NEN 7510:2024, dus documenteren zoals een auditor het wil zien is ons dagelijks werk.
Veelgestelde vragen
Geldt de AI Act voor mijn bedrijf als we alleen ChatGPT of Copilot gebruiken?
Ja, op de punten die voor gebruikers gelden: de geletterdheidsplicht voor iedereen die met AI werkt, en de transparantieplicht als je AI klantcontact laat doen of content laat maken die onder de markeringsplicht valt. De zware hoog-risico-eisen raken de meeste MKB-gebruikers niet.
Wat is er precies uitgesteld met de Digital Omnibus?
De verplichtingen voor hoog-risico AI-systemen: naar 2 december 2027 voor Bijlage III en naar 2 augustus 2028 voor Bijlage I. De transparantieplicht van artikel 50 is niet uitgesteld en geldt sinds 2 augustus 2026.
Moet ik elke tekst die ik met AI schrijf markeren?
Nee. De markeringsplicht richt zich met name op deepfakes en op AI-teksten die het publiek informeren over zaken van algemeen belang. Een marketingtekst waar een mens redactionele verantwoordelijkheid voor draagt, valt er niet automatisch onder. Transparant zijn waar de lezer het wil weten, blijft wel de verstandige lijn.
Wat riskeer ik bij een overtreding van de transparantieplicht?
De verordening kent boetes tot 15 miljoen euro of drie procent van de wereldwijde jaaromzet, met proportionaliteit voor het mkb. In Nederland is het toezicht nog in opbouw, maar de plicht geldt rechtstreeks; het eerlijke antwoord is dat het risico voor een klein bedrijf nu vooral reputatie en klantvertrouwen is, en dat naleving weinig kost.
Is een AI-verbod op de zaak niet de simpelste oplossing?
Nee. Een verbod verplaatst het gebruik naar privételefoons en gratis accounts, buiten elk zicht en zonder afspraken. Een kort beleid dat gebruik toestaat onder voorwaarden wordt nageleefd; een verbod wordt omzeild.
Conclusie
De AI Act is voor het gemiddelde MKB-bedrijf geen verbouwing maar een inventarisatie: weten welke tools je gebruikt, afspreken wat erin mag, je team aantoonbaar wegwijs maken, transparant zijn waar de wet en je klant dat vragen, en je leveranciers op orde. Wie dat op één A4 vastlegt, is verder dan de meeste bedrijven én klaar voor de vragen die klanten en toezichthouders gaan stellen.
Wil je de vijf punten in één middag staan hebben? Plan een AI check-in met ALTA-ICT, dan inventariseren we je tools en leggen we register, beleid en training samen vast.
Bron: AI-verordening en Verordening (EU) 2026/1744 (Digital Omnibus), EUR-Lex en Europese Commissie, gecontroleerd op 26 juli 2026.
Meer weten?
Gerelateerde
blogs
![/ Hero Voor Verzenden.html HTML maak synccommanodo Je stuurde de HTML-bron, niet de PNG. Ik heb die HTML zelf gerenderd en het resultaat bekeken. Het beeld is akkoord. Wat ik heb gecontroleerd Maat en fonts: exact 1200x900. Halogen 900 en Bilo 300 en 500 laden uit het bestand zelf, zonder vervangend lettertype. Inhoud: kicker “BLOG · VOOR VERZENDEN”, de kop in wit en limoengroen, en de chatkaart met “dossier” omlijnd en het label “gevoelig”. Er is geen maskering en er staan geen merknamen in. Opmaak: de kop raakt de kaart niet en de certificeringsregel is volledig. Randen: de hoekpixels zijn paars, niet de controlekleur #160a2e. Er is dus geen rand van de pagina mee geëxporteerd. Het PNG-bestand gevoelige-gegevens-ai-chat-verzenden.png heb ik je gestuurd. Zet het in je Downloads en draai dan: powershell cd C:\repos\ALTA-ICT git pull --rebase $b = "docs\Projecten\social-campagnes\Week 43 - Voor Verzenden\Blog" $f = Get-Item "$env:USERPROFILE\Downloads\gevoelige-gegevens-ai-chat-verzenden.png" Add-Type -AssemblyName System.Drawing $i = [System.Drawing.Image]::FromFile($f.FullName); "{0}x{1}" -f $i.Width, $i.Height; $i.Dispose() Copy-Item $f.FullName "$b\" -Force git add -- "$b\gevoelige-gegevens-ai-chat-verzenden.png" git diff --cached --name-only git commit -m "Blog 43: bloghero gevoelige gegevens voor verzenden" git log origin/master..master --oneline Verwachting: 1200x900, dan één bestandsnaam, daarna één of twee commits. Twee commits als de editie 15-hero nog niet gepusht is. Plak de output terug, daarna push je. In WordPress, bij blog 43: Uitgelichte afbeelding: upload dit bestand, met de alt-tekst uit de plakklaar. Controleer na het uploaden dat de bestandsnaam geen -1 heeft gekregen. De kanaalvarianten van blog 43 maak je pas als de blog live staat. De prompt staat in de plakklaar. geef me blog 43 om te maken zoals het moet in wordpress Hieronder staat alles voor WordPress, in de volgorde van de editor. Ik gebruik variant B, zonder test. Plak elke HTML in het tabblad Tekst en schakel nooit over naar Visueel. 1. Nieuw bericht Ga naar Berichten, Nieuw bericht. 2. Titel Gevoelige gegevens in AI-chat, Teams en WhatsApp: het moment vóór verzenden 3. Veld Introductie (tabblad Tekst) html Bij een datalek denk je aan een hacker. In de praktijk begint het vaak met Ctrl+V: een stuk uit een dossier in de verkeerde chat, de verkeerde mail, of een AI-tool die de tekst "even netjes maakt". Er is geen kwade wil. Er is haast, en een knop die te dichtbij zit. Deze blog gaat over dat ene moment vlak voor verzenden: wat kun je dan nog tegenhouden, en wie ziet het? 4. Veld Omschrijving (tabblad Tekst) html Waar Microsoft 365 ophoudt In de blog over Microsoft Purview zag je wat Business Premium al beschermt: mail en de bestanden in OneDrive en SharePoint. Een bestand dat je in Teams deelt, valt daar ook onder. Het chatbericht in Teams niet. DLP voor Teams-chat vraagt volgens Microsoft een E5-licentie. En een AI-chat in de browser of een app op de laptop ziet Microsoft helemaal niet. AI-chat en geheimhouding Een medewerker plakt een brief aan een cliënt in een gratis AI-chat, met zijn privéaccount, om hem beter te formuleren. Naam, adres en de reden van het dossier gaan mee, naar een dienst waarmee je organisatie geen verwerkersovereenkomst heeft. Verbieden werkt slecht. De tool blijft handig, en wie hem niet mag gebruiken, gebruikt hem stiekem. Beter: weten welke AI-tools je team gebruikt, en per tool afspreken wat erin mag. WhatsApp is geen dossier De wijkverpleegkundige stuurt een foto naar de collega die de dienst overneemt. De installateur appt de klant een offerte met diens adres. Het werkt snel, en het gebeurt vaak op een privételefoon. Daarmee staan zakelijke gegevens op een apparaat dat de organisatie niet beheert, in een app die ze niet kan archiveren. Vertrekt de medewerker, dan vertrekken de gesprekken mee. Een alternatief moet net zo snel zijn, anders gebruikt niemand het. Een waarschuwing op het juiste moment Een training over datalekken vergeet je in een week. Een melding op het moment van verzenden niet. In Outlook kan Microsoft 365 dat al: staat er een gevoelig gegeven in een mail, dan verschijnt bovenaan een melding nog voor de mail vertrekt. Voor chat en voor apps buiten Microsoft heb je daarvoor software op het apparaat nodig. Beschermen zonder meekijken Elke vorm van datalekpreventie roept bij medewerkers en ondernemingsraad één vraag op: leest de werkgever mee? Stel die vraag zelf, vóór je iets kiest. Een melding per soort gegeven is genoeg om een lek te voorkomen. Namen en berichtinhoud zijn daarvoor niet nodig. Begin met een AI-overzicht Je hoeft niet met software te beginnen. Begin met een lijst van de AI-tools die je team gebruikt, waarvoor, en met welke gegevens. Vaak staan er tools op die niemand had verwacht. De Europese AI-verordening legt de markering van AI-output bij de aanbieders. Sinds augustus moeten zij wat hun AI maakt machineleesbaar markeren; voor tools die al eerder op de markt waren, loopt de overgang tot 2 december. Dat is hun plicht. Jouw taak is weten wat je gebruikt. Het AI-Register geeft geen juridisch oordeel. Wel maakt het in ongeveer tien minuten een overzicht van je AI-tools met de transparantieteksten, als drie documenten in je mail. Zo doen wij het We beginnen met het AI-overzicht en de afspraken per tool. Daarna zetten we Purview aan voor mail en bestanden. Het gat buiten Microsoft vullen we met datalekpreventie op het apparaat, als add-on bij de moderne werkplek. We werken zelf onder ISO 27001:2023, ISO 9001:2015 en NEN 7510:2024. Veelgestelde vragen Mag een medewerker een AI-chat gebruiken voor werk? Dat bepaal je zelf, per tool. Leg vast welke tools mogen en welke gegevens er niet in horen. Een zakelijk abonnement met een verwerkersovereenkomst is iets anders dan een gratis versie met een privéaccount. Beschermt Business Premium Teams? Bestanden die je in Teams deelt wel, want die staan in SharePoint of OneDrive. Het chatbericht zelf niet; daarvoor vraagt Microsoft E5. Moet ik AI-output zelf markeren? De markering van AI-output is een plicht van de aanbieder van de AI-tool. Voor jou telt dat je weet welke tools je gebruikt en wat je erin stopt. Conclusie Het lek begint met plakken, niet met een hacker. Microsoft 365 beschermt mail en bestanden; de chat, de AI-tool en de app op de laptop vallen erbuiten. Begin met een overzicht van wat je team gebruikt en spreek per tool af wat erin mag. Wil je het moment vóór verzenden bespreken? Plan een gesprek met ALTA-ICT. 5. CTA-knop (als je thema een knopveld heeft) Tekst: Het moment vóór verzenden bespreken Link: https://alta-ict.nl/contact?utm_source=blog&utm_medium=referral&utm_campaign=voorverzenden&utm_content=blog43-cta 6. Uittreksel Een datalek begint vaak niet bij een hacker, maar bij plakken. Wat er gebeurt als een medewerker gegevens in een AI-chat, een Teams-chat of WhatsApp zet, waar Microsoft 365 ophoudt, en waarom je begint met een overzicht van de AI die je team gebruikt. 7. Categorie: Beveiliging. Zet geen andere categorie aan. 8. Uitgelichte afbeelding Upload gevoelige-gegevens-ai-chat-verzenden.png. Controleer daarna dat de bestandsnaam in de mediabibliotheek geen -1 heeft gekregen. Alt-tekst: Hero bij de blog over gevoelige gegevens vóór verzenden: een chatinvoerveld met de zin Hierbij het dossier van de cliënt, waarin het woord dossier omlijnd is en gemarkeerd als gevoelig.](/media/uploads/2026/10/gevoelige-gegevens-ai-chat-verzenden.png?width=600 "Gevoelige gegevens in AI-chat, Teams en WhatsApp: het moment vóór verzenden")
Tech Updates: Microsoft 365, Azure, Cybersecurity & AI – Wekelijks in je Mailbox.