De AI Act is de eerste brede AI-wet ter wereld, en dat merk je aan de manier waarop erover geschreven wordt: veel bijlagen, veel categorieën, veel data. Ondertussen wil een zaakvoerder maar drie dingen weten. Geldt dit voor mij? Wat moet ik dan doen? En wanneer?
Dit artikel beantwoordt die drie vragen zonder jargon. Het is bijgewerkt na de Digital Omnibus on AI, die op 27 juli 2026 in werking trad en de tijdlijn op een aantal punten flink heeft verschoven.
Wat is de AI Act eigenlijk?
De AI Act — officieel verordening (EU) 2024/1689 — is een Europese wet die regelt hoe AI-systemen ontwikkeld en gebruikt mogen worden. Ze trad op 1 augustus 2024 in werking en wordt in fasen van toepassing.
De logica erachter is eenvoudiger dan de omvang doet vermoeden: hoe groter het risico voor mensen, hoe zwaarder de regels. Een AI die spam filtert, wordt niet behandeld als een AI die beslist wie een job krijgt. Die gelaagdheid is de kern van de hele wet.
Twee dingen die vaak verward worden. De AI Act is een productveiligheidswet: ze gaat over of een systeem veilig en betrouwbaar op de markt mag. De GDPR — in Nederland de AVG — is een gegevensbeschermingswet: die gaat over persoonsgegevens. Ze gelden naast elkaar. Voldoen aan de ene betekent niet dat je aan de andere voldoet.
Wat telt als een AI-systeem?
Ruimer dan de meeste mensen denken. Het gaat om machinegebaseerde systemen die met een zekere autonomie werken en uit de input die ze krijgen output afleiden — voorspellingen, aanbevelingen, content of beslissingen — die invloed heeft op de fysieke of digitale omgeving.
Praktisch gezien vallen hieronder: taalmodellen zoals ChatGPT en Claude, beeldgeneratoren, chatbots, aanbevelingsalgoritmes, gezichtsherkenning, CV-screeningtools, fraudedetectie, en de “slimme” functies die de laatste jaren stilletjes in je bestaande software zijn geslopen.
Wat er niet onder valt: klassieke software die gewoon vaste regels uitvoert. Een Excel-formule, een e-mailfilter op trefwoord, een boekhoudpakket dat btw berekent — dat is automatisering, geen AI.
De vier risiconiveaus
Onaanvaardbaar risico: verboden
Een korte lijst praktijken die sinds 2 februari 2025 gewoon verboden zijn. Onder meer: sociale scoring door overheden, het uitbuiten van kwetsbaarheden van specifieke groepen, ongerichte scraping van gezichtsbeelden om herkenningsdatabanken te bouwen, en emotieherkenning op de werkvloer en in het onderwijs.
De Digital Omnibus heeft hier iets aan toegevoegd: AI-systemen die niet-consensueel intiem beeldmateriaal genereren — de zogenaamde nudificatie-apps — en systemen die materiaal van seksueel kindermisbruik genereren, zijn nu expliciet verboden. Dat kwam er op initiatief van het Europees Parlement en stond niet in het oorspronkelijke voorstel van de Commissie.
Overtreding van de verbodsbepalingen is de zwaarste categorie, met boetes tot 35 miljoen euro of 7% van de wereldwijde jaaromzet.
Hoog risico: zwaar gereguleerd
Hier zitten de systemen die echte gevolgen voor mensen hebben. De wet splitst ze in twee groepen.
Bijlage III bevat zelfstandige toepassingen in gevoelige domeinen: werkgelegenheid en personeelsselectie, onderwijs, kritieke infrastructuur, rechtshandhaving, toegang tot essentiële diensten. Let op de nuance — niet elk AI-systeem in die sectoren is automatisch hoog risico. Het gaat om specifiek omschreven gebruiksgevallen.
Bijlage I bevat AI die is ingebouwd in producten die al onder Europese sectorale veiligheidswetgeving vallen: medische hulpmiddelen, liften, speelgoed, voertuigen.
Wie zo’n systeem aanbiedt, krijgt een zwaar pakket: risicobeheersysteem, datakwaliteitseisen, technische documentatie, logregistratie, menselijk toezicht, conformiteitsbeoordeling en registratie in een Europese databank.
Dit is precies het deel dat de Digital Omnibus heeft uitgesteld. Meer daarover verderop.
Beperkt risico: transparantieplicht
Voor de meeste Belgische kmo’s is dít de relevante categorie. Systemen die met mensen communiceren of content genereren moeten transparant zijn over wat ze zijn.
Concreet: chatbots moeten zich kenbaar maken, generatieve output moet machineleesbaar gemarkeerd worden, emotieherkenning moet gemeld worden, en deepfakes en bepaalde gepubliceerde AI-teksten moeten gelabeld worden. Dat is artikel 50, en dat gaat op 2 augustus 2026 in — niet uitgesteld.
Ik heb die vier verplichtingen in detail uitgewerkt in wat er op 2 augustus 2026 concreet verandert, inclusief de uitzonderingen die je waarschijnlijk kunt inroepen.
Minimaal risico: geen specifieke verplichtingen
Spamfilters, aanbevelingen in je webshop, AI in videogames. Geen verplichtingen uit de AI Act — al blijft de GDPR gewoon gelden zodra er persoonsgegevens in het spel zijn.
Aanbieder of gebruiksverantwoordelijke: het onderscheid dat alles bepaalt
De AI Act legt verplichtingen op aan verschillende rollen. Weten in welke rol je zit, bepaalt wat je moet doen.
| Rol | Wanneer | Voorbeeld |
|---|---|---|
| Aanbieder | Je ontwikkelt een AI-systeem of laat het ontwikkelen, en brengt het onder eigen naam of merk op de markt | Je zet een zelfgebouwde chatbot onder je eigen merknaam op je website |
| Gebruiksverantwoordelijke | Je gebruikt een AI-systeem onder eigen gezag, in een professionele context | Je gebruikt ChatGPT voor teksten of een externe chatbotdienst |
| Importeur / distributeur | Je brengt AI van buiten de EU op de markt of verdeelt het | Je verkoopt een Amerikaanse AI-tool door in Europa |
Drie regels die in de praktijk verwarring wegnemen:
- Privégebruik valt buiten de wet. Maar zodra er regelmatig economisch voordeel uit voortvloeit, of het gebeurt in je zaak, beroep of freelancewerk, ben je gebruiksverantwoordelijke.
- Je medewerkers zijn geen aparte gebruiksverantwoordelijken. Werken ze onder jouw instructies en controle, dan draagt de vennootschap de verantwoordelijkheid.
- Niet-Europese aanbieders vallen er ook onder zodra de output van hun systeem in de EU wordt gebruikt. De wet volgt het gebruik, niet de vestigingsplaats.
De meeste kmo’s zijn gebruiksverantwoordelijke. Wie een chatbot onder eigen merk aanbiedt, is allebei tegelijk — ook als een extern bureau hem gebouwd heeft.
De tijdlijn, bijgewerkt na de Digital Omnibus
Lees ook: NIS2: de andere Europese regelgeving die je beveiliging raakt
| Datum | Wat | Status |
|---|---|---|
| 1 augustus 2024 | AI Act treedt in werking | Gebeurd |
| 2 februari 2025 | Verboden praktijken + AI-geletterdheidsplicht | Van kracht |
| 2 augustus 2025 | Regels voor AI-modellen voor algemene doeleinden, governance, sanctieregime | Van kracht |
| 2 augustus 2026 | Transparantieverplichtingen (artikel 50) | Niet uitgesteld |
| 2 december 2026 | Einde overgangsperiode markeringsplicht voor systemen van vóór augustus 2026 | Nieuw |
| 2 augustus 2027 | Lidstaten moeten minstens één AI-testomgeving hebben | Verschoven |
| 2 december 2027 | Hoog-risico systemen bijlage III (zelfstandig) | Uitgesteld vanaf 2 augustus 2026 |
| 2 augustus 2028 | Hoog-risico systemen bijlage I (in producten) | Uitgesteld |
Wat de Digital Omnibus precies veranderde
De Digital Omnibus on AI werd op 24 juli 2026 gepubliceerd in het Publicatieblad en trad drie dagen later in werking. Het is de eerste formele wijziging van de AI Act sinds de aanname in juni 2024. Het Parlement stemde op 16 juni in, de Raad gaf op 29 juni definitief groen licht.
De belangrijkste wijzigingen:
- Uitstel voor hoog-risico. Bijlage III schuift van augustus 2026 naar 2 december 2027, bijlage I naar 2 augustus 2028.
- Nieuwe verboden. Nudificatie-apps en systemen die materiaal van seksueel kindermisbruik genereren.
- AI-geletterdheid versoepeld. Artikel 4 vraagt nu dat je maatregelen neemt om AI-kennis te bevorderen, in plaats van dat je een toereikend niveau moet garanderen. Er wordt geen specifiek resultaat meer geëist. De verplichting zelf en de ingangsdatum blijven.
- Meer tijd voor testomgevingen. Lidstaten hebben tot 2 augustus 2027. Het AI-bureau kan een Europese testomgeving opzetten, met voorrang voor kmo’s, start-ups en kleine midcapondernemingen.
- Bias-detectie verruimd. De grondslag om bijzondere categorieën persoonsgegevens te verwerken voor het opsporen en corrigeren van vertekening geldt nu voor alle AI-systemen, niet enkel hoog-risico. De strenge noodzakelijkheidstoets bleef wel behouden.
- Lichtere registratie. Wie zelf beoordeelt dat zijn systeem níét hoog-risico is, moet dat nog steeds documenteren en registreren, maar met minder informatievereisten.
- Kleine midcaps meegenomen. Ondersteuningsmaatregelen gelden nu ook voor bedrijven die net boven de kmo-drempel groeien.
Waar de omnibus niets aan veranderde: de transparantieverplichtingen van artikel 50. Die staan onverkort op 2 augustus 2026.
Wat betekent dit concreet voor een Belgische kmo?
Als je AI vooral gebruikt en niet ontwikkelt — wat voor de overgrote meerderheid geldt — komt het neer op vier dingen.
- AI-geletterdheid. Loopt al sinds februari 2025. Je moet maatregelen nemen zodat de mensen die met AI werken begrijpen wat ze doen. Zie hoe je daaraan voldoet.
- Transparantie. Vanaf 2 augustus 2026. Chatbot kenbaar maken, deepfakes labelen, en opletten met gepubliceerde AI-teksten over onderwerpen van algemeen belang.
- Een intern beleid. Niet wettelijk verplicht als los document, maar wel de praktische manier om aan te tonen dat je de eerste twee punten serieus neemt. Zie een AI-beleid opstellen.
- De GDPR-kant. Zodra er persoonsgegevens in je AI-tools gaan, heb je een verwerkingsgrond, een verwerkersovereenkomst en een plek in je verwerkingsregister nodig. Daarover schreef ik eerder in ChatGPT en AI-tools GDPR-conform gebruiken.
Dat is het. Geen conformiteitsbeoordeling, geen technische documentatie, geen registratie in een Europese databank — tenzij je een hoog-risico systeem aanbiedt, en dat is zeldzaam bij kmo’s.
De boetes op een rij
| Overtreding | Maximum |
|---|---|
| Verboden AI-praktijken | €35 miljoen of 7% wereldwijde jaaromzet |
| Overige verplichtingen, waaronder artikel 50 en hoog-risico | €15 miljoen of 3% wereldwijde jaaromzet |
| Onjuiste of misleidende informatie aan toezichthouders | €7,5 miljoen of 1% wereldwijde jaaromzet |
Voor kmo’s, start-ups en kleine midcapondernemingen wordt bij het bepalen van boetes rekening gehouden met hun belangen en economische leefbaarheid. Dat betekent lagere bedragen, geen immuniteit.
Het toezicht ligt bij de nationale markttoezichtautoriteiten. In België werd het BIPT via het federale regeerakkoord van januari 2025 aangewezen als coördinerende autoriteit, met de FOD Economie die de implementatie over de sectoren heen begeleidt. De volledige sectorale aanduiding is nog niet afgerond — België is daarin niet uniek.
Veelgestelde vragen
Geldt de AI Act ook buiten de EU?
De wet volgt het gebruik. Een Amerikaanse aanbieder waarvan de output in de EU wordt gebruikt, valt onder de AI Act. Omgekeerd geldt: verkoop je als Belgisch bedrijf AI buiten Europa, dan gelden daar de lokale regels.
Hoe weet ik of mijn systeem hoog risico is?
Kijk naar de gebruiksgevallen in bijlage III en naar de productcategorieën in bijlage I. De valkuil zit in de aanname dat een hele sector automatisch hoog risico is. Een HR-tool die vakantiedagen berekent, is dat niet. Een tool die kandidaten rangschikt, waarschijnlijk wel. Twijfel je, laat het beoordelen — een verkeerde inschatting is duur.
Vervangt de AI Act de GDPR?
Nee. Ze gelden naast elkaar en overlappen op punten. Verwerkt jouw AI-systeem persoonsgegevens, dan moet je aan beide voldoen. Bij hoog-risico systemen die persoonsgegevens verwerken, komt daar meestal ook nog een gegevensbeschermingseffectbeoordeling bij.
Moet ik een AI-register bijhouden?
Niet als algemene verplichting voor gebruiksverantwoordelijken. Maar een overzicht van welke AI-tools er in je organisatie draaien, wie ze gebruikt en waarvoor, is de basis waarop al het andere rust. Zonder dat overzicht kun je niet aantonen dat je iets onder controle hebt.
Wij zijn met vijf man. Is dit niet buiten proportie?
Voor een klein bedrijf dat AI gebruikt en niet ontwikkelt, is het werk beperkt: een chatbotmelding, een korte interne afspraak over wat wel en niet in AI-tools mag, en enige aandacht bij publicatie. Reken op een halve tot een hele dag. De zware verplichtingen zitten bij hoog-risico systemen, en daar zit je vrijwel zeker niet.
Kort samengevat
De AI Act deelt AI in op risico. Hoe hoger het risico voor mensen, hoe zwaarder de regels. De meeste Belgische kmo’s zitten in de categorie “beperkt risico”: ze gebruiken AI in klantcontact of contentcreatie en moeten daar transparant over zijn. Dat gaat op 2 augustus 2026 in en is niet uitgesteld.
Wat wél is uitgesteld — de hoog-risicoverplichtingen — raakt je waarschijnlijk niet. En als het je wel raakt, is uitstel geen afstel: die dossiers bouw je niet in een maand op.
Wil je weten waar jouw organisatie staat op het snijvlak van AI en privacy? Bekijk mijn aanpak voor privacy en AI, doe de gratis GDPR-scan, of stuur me je situatie door voor een eerste inschatting.
Feiten laatst gecontroleerd op 30 juli 2026 aan de hand van de gepubliceerde Digital Omnibus on AI (Publicatieblad, 24 juli 2026) en de FAQ van de Europese Commissie over artikel 50 (laatste update 20 juli 2026). Dit artikel is algemene informatie en geen juridisch advies over jouw specifieke situatie.
