De EU AI-wet (verordening 2024/1689) groepeert AI-toepassingen in vier risiconiveau's: verboden, hoog risico, transparantieplicht en minimaal risico. De meeste KMO-toepassingen — een chatbot, AI-teksten, vertalingen, advertentie-optimalisatie — vallen onder minimaal risico of transparantie: geen registratie of certificering, wel eerlijk zijn over wat AI is en je team AI-geletterd maken. De verboden praktijken en de geletterdheidsplicht gelden sinds februari 2025, de transparantieregels sinds augustus 2026.
Een wet die risico's regelt, geen AI verbiedt
De AI-wet is een Europese verordening die AI niet als technologie aanpakt, maar de toepassingen ervan op hun risico beoordeelt. Er zijn vier niveaus: verboden praktijken, systemen met hoog risico, systemen met een transparantieplicht en systemen met minimaal risico. Hoe zwaarder het risico, hoe strenger de regels.
Voor een gewone KMO valt de balans mee: chatbots die klantenvragen beantwoorden, teksten genereren, vertalen of advertenties optimaliseren zitten vrijwel altijd in de onderste twee categorieën. Registratie of certificering is daar niet nodig. Wel zijn er transparantieplichten en een plicht om je team verantwoord met AI te leren omgaan.
Welke regel geldt wanneer?
De verordening trad in werking op 1 augustus 2024 en is in fases gaan gelden. Sinds 2 februari 2025 zijn de verboden praktijken van kracht en geldt de plicht tot AI-geletterdheid. Sinds 2 augustus 2025 volgden de verplichtingen voor aanbieders van generieke AI-modellen zoals GPT en Gemini. Sinds 2 augustus 2026 gelden de meeste overige verplichtingen, waaronder de transparantieregels en de volledige regels voor systemen met hoog risico. Vanaf 2 augustus 2027 volgt AI die ingebouwd zit in gereguleerde producten zoals machines en medische toestellen.
Voor een KMO betekent dat iets geruststellends: alles wat voor jou telt, is al volledig van kracht. Er komt geen nieuwe golf verplichtingen meer aan. De zwaarste boetes — tot 35 miljoen euro of 7% van de wereldwijde omzet — zijn bovendien bedoeld voor de zwaarste gevallen en grootste spelers, niet voor een bedrijf met een chatbot op zijn website.
Wat is sinds februari 2025 verboden?
De verboden lijst is kort, maar raakt een paar toepassingen die in de praktijk wel eens opduiken:
- Sociale scoring: mensen beoordelen op hun gedrag met nadelige gevolgen als gevolg
- Emotieherkenning op de werkvloer en in het onderwijs, los van medische of veiligheidsdoelen
- Gezichten verzamelen door ongericht te schrapen van internet, zonder dat iemand erom vroeg
- Biometrische categorisering die gevoelige kenmerken afleidt, zoals politieke overtuiging, godsdienst of geaardheid
- Manipulatieve technieken die mensen onderbewust tot schadelijke beslissingen brengen, zeker bij kwetsbare groepen
Transparantie: de plicht die de meeste bedrijven raakt
Wie een AI-systeem inzet dat met mensen praat — een chatbot op je website, een stemassistent aan de telefoon — moet duidelijk maken dat de klant met een AI aan het praten is, tenzij dat vanzelfsprekend is. Sinds 2 augustus 2026 is dat geen goede gewoonte meer, maar een wettelijke verplichting.
Daarnaast moeten zwaar bewerkte of volledig gegenereerde beelden, video's en geluiden herkenbaar zijn als ze echt kunnen misleiden, en moet wie een systeem gebruikt dat emoties herkent of mensen biometrisch categoriseert, de betrokkenen daarvan verwittigen. Voor de meeste KMO's komt dit neer op één kernwoord: eerlijk zijn over wat AI is en wat niet.
AI-geletterdheid: ook een plicht voor kleine teams
Sinds februari 2025 moet iedereen die AI professioneel inzet zorgen dat zijn medewerkers er voldoende mee overweg kunnen. Voor een KMO betekent dat geen cursus van veertig uur, maar wel het belang van de basis: weten wat de tools met je gegevens doen, hallucinaties herkennen en output controleren voor ze bij een klant belanden.
Hoe ver die geletterdheid moet gaan, hangt af van wat je team met AI doet. Wie er alleen conceptteksten mee schrijft, heeft minder nodig dan wie er klantenadvies of offertes mee voorbereidt. Proportionaliteit is dus het uitgangspunt.
Gebruiker of aanbieder: dat bepaalt hoeveel op je bord komt
Gebruik je gewoon bestaande tools — een chatbundelaar, een vertaaltool, een AI-functie in je advertentieplatform — dan ben je gebruiker en blijven je verplichtingen beperkt tot transparantie, geletterdheid en de verboden lijst vermijden.
Wie een systeem onder eigen naam op de markt brengt of wezenlijk aanpast, bijvoorbeeld een AI-tool onder het eigen merk aan klanten verkoopt, kan als aanbieder tellen met aanzienlijk meer verplichtingen. Twijfel je over een concreet geval, leg dan je gebruik schriftelijk vast en vraag advies voor je verder gaat.
Praktische checklist voor vandaag
Dit is wat een gewone KMO in een namiddag op orde krijgt:
- Inventariseer welke AI-tools je team vandaag gebruikt, ook de gratis en de informele toepassingen
- Zorg dat je chatbot zich voorstelt als AI, voor het gesprek begint
- Label zwaar bewerkte beelden en video's waar ze misleidend kunnen zijn
- Zet de basis van AI-geletterdheid uit in je team: wat mag er naar klanten, wat blijft binnen de muren
- Vermijd de verboden toepassingen, zeker in personeelszaken en recruitment
- Onthoud dat de GDPR onverkort blijft gelden: persoonsgegevens in, persoonsgegevens uit
Geen paniek, wel orde
De AI-wet is geschreven voor de systemen met de grootste impact, niet om kleine bedrijven het werken onmogelijk te maken. Wie de checklist hierboven doorloopt, dekt wat de meeste KMO's nodig hebben; specifieke gevallen verdienen een tweede blik. Twijfel je over een toepassing in je eigen bedrijf? Een kort gesprek geeft meestal al helderheid over waar je staat en wat nog moet gebeuren.
