AI Act voor het MKB

01Het korte antwoord

De vraag waar het in de praktijk mee begint: mag je klantgegevens in AI stoppen? Ja, dat mag. De AI Act verbiedt dat niet. De verordening vraagt wel drie dingen van je: dat je weet welke AI er in je bedrijf wordt gebruikt, dat de mensen die ermee werken begrijpen wat ze in handen hebben, en dat een klant kan weten wanneer hij met AI te maken heeft in plaats van met een mens.

De AVG staat daar los van en is strenger op dit punt: klantgegevens mogen alleen naar een partij waarmee je een verwerkersovereenkomst hebt. Een gratis publieke AI-dienst waar je zomaar een klantmail in plakt, valt daar meestal niet onder. Dat is in de praktijk het echte risico, niet de AI-verordening.

02Welke regels gelden er, en sinds wanneer

De verordening is niet op één dag ingegaan, maar in stappen. Dit is de stand van dit moment, na de wijziging van juli 2026.

03Wat er in juli is veranderd

Vlak voor de zomer heeft Brussel de verordening nog aangepast. Die wijziging, de Digital Omnibus, is op 24 juli 2026 gepubliceerd en geldt sinds 27 juli. In het nieuws ging het vooral over uitstel, maar er is meer gebeurd. Drie dingen zijn voor jou van belang.

• De zware eisen voor hoog-risicosystemen zijn doorgeschoven naar december 2027 en augustus 2028. Voor de meeste mkb-bedrijven verandert dit weinig, want die eisen golden toch al niet voor gewoon kantoorwerk.
• De eis rond AI-geletterdheid is iets soepeler geworden. Eerst moest je een voldoende kennisniveau garanderen, nu moet je maatregelen nemen die dat kennisniveau ondersteunen. De verplichting blijft bestaan, maar je wordt niet meer afgerekend op het resultaat per persoon. De Europese Commissie gaat bovendien praktijkvoorbeelden publiceren, speciaal ook voor het mkb.
• De transparantieregels kregen één uitloop. AI-systemen die vóór 2 augustus 2026 al op de markt waren, hebben tot 2 december 2026 de tijd voor de machineleesbare markering van AI-materiaal. Dat is een plicht voor de makers van die systemen, niet voor jou als gebruiker.

De kern staat dus gewoon overeind: een klant moet kunnen weten dat hij met AI te maken heeft, en je mensen moeten begrijpen waar ze mee werken.

04Wat de wet nu van je vraagt

De meeste bedrijven zijn hier later mee begonnen dan de wet. Dat is geen verwijt: uit onderzoek van de KVK blijkt dat drie op de tien Nederlandse bedrijven generatieve AI gebruikt, terwijl maar 7 procent zegt goed op de hoogte te zijn van de AI-verordening. En het CBS meet al jaren dat gebrek aan ervaring veruit de belangrijkste reden is om niet aan AI te beginnen, met 74,6 procent. Het probleem is onbekendheid, geen onwil. Daarom hieronder de drie dingen waar het voor jou op neerkomt.

Die laatste regel verrast veel mensen, dus hij verdient een toelichting. De labelplicht voor AI-tekst geldt alleen voor tekst die is bedoeld om het publiek te informeren over zaken van algemeen belang, denk aan nieuwsberichten. En zelfs dan vervalt de plicht wanneer een mens de tekst inhoudelijk controleert voordat die naar buiten gaat, en iemand daar de verantwoordelijkheid voor draagt. Een offerte die je met AI opstelt en zelf naleest, hoeft dus geen stempel.

Intussen gebeurt het al

KPMG onderzocht wereldwijd hoe werkenden AI gebruiken. Iets meer dan de helft, 58 procent, gebruikt AI op het werk. Van die groep gebruikt 73 procent algemene AI-diensten en 70 procent gratis, publiek toegankelijke versies. Reken het door en je komt op ruwweg vier op de tien werkenden die gratis, publieke AI gebruiken voor hun werk.

Daar zit het echte risico, en dat is ouder dan de AI-verordening. Iemand plakt een klachtmail in een chatvenster om er een nette reactie van te maken. Iemand laat een offerte samenvatten. Allemaal begrijpelijk, en ondertussen gaat er klantinformatie naar een partij waar het bedrijf geen afspraken mee heeft. Dat is geen AI-verordeningsprobleem, dat is een AVG-probleem. En het is met één teamafspraak grotendeels te ondervangen.

05De wet houdt rekening met kleinere bedrijven

Dit deel wordt bijna overal overgeslagen, terwijl het juist geruststelt. De verordening maakt op een paar punten expliciet onderscheid tussen een groot bedrijf en een mkb-bedrijf.

• De boeteplafonds liggen voor het mkb lager. Waar de wet een bedrag en een omzetpercentage noemt, geldt voor mkb en start-ups het laagste van de twee. De bedragen uit de krantenkoppen zijn dus niet de bedragen waar jij op hoeft te rekenen.
• De papierwinkel is lichter als je ooit zelf AI aanbiedt. Kleinere bedrijven mogen de technische documentatie voor een hoog-risicosysteem in vereenvoudigde vorm aanleveren. Dit speelt pas zodra je zelf AI bouwt of onder eigen naam aanbiedt, niet zolang je alleen software inkoopt.
• Je krijgt voorrang in de testomgeving van de toezichthouder. Elke lidstaat moet een omgeving inrichten waarin bedrijven AI onder begeleiding kunnen testen. Het mkb krijgt daar voorrang en betaalt in beginsel geen deelnamekosten.

De rode draad: de wetgever maakt onderscheid tussen de bedrijven die AI bouwen en de bedrijven die AI gebruiken. Koop je in en gebruik je, dan ligt het zware werk bij je leverancier. Jouw deel is overzicht houden, je mensen meenemen en je klant niet in het ongewisse laten.

06Hier kun je deze week mee beginnen

Vier stappen, samen ongeveer een dagdeel. Meer hoeft er de eerste week niet te gebeuren.

1. Maak het lijstje.

   Vraag per afdeling welke AI-diensten er worden gebruikt, ook de ingebouwde functies die geen AI heten. Zonder dit overzicht blijft elke volgende stap gokken.

2. Spreek af wat er wel en niet in AI mag.

   Eén regel is genoeg om mee te beginnen: geen klant- of persoonsgegevens in AI-diensten waar we geen zakelijke afspraak mee hebben. Schrijf ook op wat wél mag, anders wordt de regel genegeerd.

3. Loop je klantcontact na.

   Kan een klant ergens denken dat hij met een mens praat terwijl het AI is, bijvoorbeeld in een chatbot op je website. Zo ja, zet er een duidelijke vermelding bij.

4. Plan de eerste teamuitleg, en leg vast dat die is geweest.

   Begin bij de mensen die dagelijks met AI werken. Wat doet het systeem, waar gaat het mis, en wanneer vertrouw je een antwoord niet zomaar.

07Hoe wij het bij Raydo hebben aangepakt

Wij bouwen zelf een digitale collega, dus deze regels gelden ook voor ons. Zo hebben we Raydo gebouwd.

Raydo draait op Europese infrastructuur. De rekenkracht staat bij Scaleway, de modellen komen onder meer van Mistral. Je data blijft van jou en gaat niet naar iemand anders om er een model mee te trainen. Soevereiniteit is geen luxe, het is gewoon hoe het hoort.

Elke uitkomst draagt zijn bron. Onder elk bericht staat waar het vandaan komt: welke systemen, hoeveel e-mails, welke melding. Je kunt het nalopen zonder het te hoeven geloven.

Niets gaat naar een klant zonder dat jij het hebt gezien. Een bericht naar buiten is altijd eerst een concept. Jij drukt op verzenden, per bericht.

En Raydo vertelt het zelf. Bij een eerste bericht aan iemand buiten je bedrijf staat eronder dat het door een AI-collega is opgesteld, in de taal van de ontvanger. Dat is artikel 50, en het is de reden dat deze pagina bestaat.

Hoe dat er in de praktijk uitziet lees je op de veiligheidspagina en op hoe het werkt.

08Veelgestelde vragen