Het antwoord in dertig seconden
De AI Act is een Europese verordening die niet de technologieën indeelt, maar de toepassingen. Hoe meer een toepassing een persoon kan schaden, hoe zwaarder de verplichtingen. De overgrote meerderheid van de kmo’s zit helemaal onderaan die schaal: ChatGPT gebruiken, een automatische spellingcontrole of een chatbot voor klantendienst brengt vandaag maar één concrete verplichting mee — zeggen wanneer het een AI is die spreekt of die de inhoud heeft gemaakt.
De vier niveaus, op een rij
Verboden. Een korte lijst praktijken is sinds februari 2025 gewoon verboden: sociale scoring, manipulatie die een kwetsbaarheid uitbuit, emotieherkenning op de werkvloer en op school, en het massaal verzamelen van gezichtsbeelden om gezichtsherkenningsdatabanken op te bouwen. Op 2 december 2026 komen daar twee verboden bij, gericht op intieme inhoud zonder toestemming en op door AI gegenereerd beeldmateriaal van kindermisbruik.
Hoog risico. De toepassingen die over het lot van een persoon beslissen: rekruteren, krediet toekennen, een leerling beoordelen, de toegang tot een essentiële dienst filteren — dat is bijlage III. En AI die is ingebouwd in reeds gereglementeerde producten, van machines tot medische hulpmiddelen — dat is bijlage I. De bijbehorende verplichtingen treden pas in werking in december 2027 et augustus 2028.
Transparantierisico. Chatbots, gegenereerde inhoud, deepfakes. Dat moet u vermelden. Het is van toepassing sinds 2 augustus 2026, en het is veruit het meest voorkomende geval in ondernemingen.
Minimaal risico. Al de rest, zonder bijzondere verplichting: spamfilters, productsuggesties, spellingcontroles.
Voor wie geldt dit
De verordening spreekt niet over « ondernemingen » maar over rollen, en dat onderscheid verandert alles. De aanbieder ontwikkelt het systeem of brengt het onder eigen naam op de markt. De gebruiksverantwoordelijke gebruikt het in het kader van zijn beroepsactiviteit. Een kmo die commerciële tools gebruikt, is gebruiksverantwoordelijke: haar verplichtingen zijn oneindig veel lichter. Maar ze wordt aanbieder zodra ze haar merknaam op een AI-tool zet, of het doel ervan wezenlijk wijzigt — en velen weten dat niet.
Een concreet voorbeeld
Een bureau van zes personen gebruikt een generatieve assistent om te schrijven, een chatbot op zijn site en een tool om sollicitaties te filteren. Vandaag moet het: zijn chatbot als automatisch aanduiden, vermelden dat gepubliceerde inhoud van algemeen belang door AI is gegenereerd wanneer ze niet door een geïdentificeerde mens is nagelezen, en redelijke maatregelen nemen opdat zijn teams met die tools kunnen werken. Zijn cv-screeningtool is wel degelijk hoogrisico — maar het heeft tot december 2027 om zich voor te bereiden.
De boetes, zonder overdrijving
De maxima zijn hoog: 35 miljoen euro of 7 % van de wereldwijde omzet voor de verboden praktijken, 15 miljoen of 3 % voor de overige verplichtingen waaronder transparantie, 7,5 miljoen of 1 % voor onjuiste informatie aan de autoriteiten.
Maar één lid verandert alles voor een kmo, en het wordt bijna stelselmatig verzwegen. Artikel 99, lid 6, zegt woordelijk: « In het geval van kmo’s, met inbegrip van start-ups, bedraagt elke in dit artikel bedoelde boete ten hoogste de in de leden 3, 4 en 5 bedoelde percentages of bedragen, waarbij het laagste cijfer wordt gehanteerd. » Voor een kleine onderneming geldt dus het laagste bedrag, en niet het hoogste. Met andere woorden: de cijfers die overal circuleren, zijn niet die welke op u van toepassing zijn.
Wat u morgen al kan doen
- Uw AI-tools oplijsten — ook die welke niemand heeft aangegeven.
- Nagaan of uw chatbot zegt dat hij een chatbot is.
- Eén pagina interne regels schrijven over wat wel en niet in een generatieve tool mag.
- De datum 2 december 2026 noteren, en daarna 2 december 2027 als u met rekrutering te maken heeft.
De fouten die u overal leest
« Sinds 2 augustus 2026 geldt de hele verordening. » Nee: dat is de datum van algemene toepassing, maar de hoogrisicoverplichtingen zijn juist uitgesteld tot december 2027 en augustus 2028 door de Digital Omnibus, in werking sinds 27 juli 2026.
« Op 2 augustus 2027: de hoogrisicosystemen die in producten zijn ingebouwd. » Die datum bestaat nog, maar voor de nationale regelluwe testomgevingen en de oudste AI-modellen voor algemene doeleinden. Hoog risico ingebouwd in producten, dat is 2 augustus 2028.
« 15 miljoen boete als uw werknemers geen opleiding krijgen. » Zie de fiche over het gebruik van ChatGPT op het werk: de verplichting is herschreven, en ze is veel milder dan aangekondigd.
Uw volgende stap
Leg deze fiche naast uw werkelijke gebruik en stel uw vraag aan de community als er iets onduidelijk blijft.
De community bevragen →Referentiebronnen
Verder lezen
Fiche opgesteld op basis van de geconsolideerde tekst van verordening (EU) 2024/1689, versie van 27 juli 2026. Geverifieerd op 26 augustus 2026. Algemene informatie: dit is geen individueel juridisch advies.