Wat kost AI Act compliance voor een MKB-bedrijf? Het korte antwoord: voor het grootste deel van het Nederlandse MKB valt het mee. Voor een organisatie die alleen minimaal- of beperkt-risico AI inzet, ligt de directe uitgave tussen nul en enkele duizenden euro's. Voor MKB met hoog-risico AI loopt het op tot vijfcijferige bedragen per systeem. Het verschil zit in vier kostenposten en de vraag of u zelf de kennis in huis haalt of extern inkoopt.
Hoe komt de prijs tot stand?
De AI Act zelf legt geen registratiefee of compliance-tarief op. Er is geen toezichthouder die u factureert om aanwezig te zijn. De kosten ontstaan door wat u doet om aantoonbaar te voldoen: tijd van uw mensen, eventuele software en tools, plus de specifieke plichten die gelden voor hoog-risico AI. Wie deze kostendrijvers begrijpt, kan een realistische begroting maken.
Vier kostenposten van AI Act compliance
Elke MKB-organisatie krijgt met dezelfde vier categorieën te maken. De omvang per categorie verschilt sterk afhankelijk van uw AI-portefeuille. De bedragen in dit artikel zijn onze eigen ordegroottes om een begroting mee te beginnen. Alleen de bedragen uit de raming van de Europese Commissie en de prijzen van leveranciers hebben een publieke bron. Die noemen we steeds bij naam.
AI-geletterdheid en trainingVerplicht sinds 2 februari 2025 onder Artikel 4. U neemt maatregelen die de AI-geletterdheid bevorderen van iedereen die met AI werkt, rekening houdend met kennis, ervaring, opleiding en gebruikscontext. Voor het MKB is dat meestal een interne training, met een overzicht van wie wat heeft gevolgd. Reken voor een doe-het-zelf-aanpak via een e-learning op 0 tot 30 euro per medewerker per jaar. Voor een halve dag met een externe trainer rekent u op 1.500 tot 3.500 euro. Voor een organisatie van 25 medewerkers komt dat op hoogstens 750 euro per jaar met een e-learning, of 1.500 tot 3.500 euro per sessie met een externe trainer. Nieuwe medewerkers en opfrissessies komen daar jaarlijks bij.
Governance en documentatieEen AI-beleid van twee tot vier pagina's, een AI-register en een procedure voor incidentmelding. Wie dit zelf opstelt is vier tot acht uur kwijt aan beleid plus enkele uren per AI-systeem voor het register. Een externe jurist rekent doorgaans 150 tot 300 euro per uur. Een SaaS-platform met beleidsgenerator en register bundelt deze taken voor een vast bedrag per maand. Voor de meeste MKB komt dit neer op 0 tot 5.000 euro eenmalig, daarna een bescheiden abonnementsbedrag.
Risicoanalyse en aanvullende beoordelingenVoor minimaal-risico AI volstaat een lichte inventarisatie van enkele uren. Voor hoog-risico AI richt de aanbieder een risicobeheersysteem in dat de hele levensduur van het systeem doorloopt (Artikel 9). Als gebruiksverantwoordelijke monitort u de werking aan de hand van de gebruiksaanwijzing (Artikel 26, lid 5). Een Fundamental Rights Impact Assessment (FRIA, Artikel 27) is verplicht voor publiekrechtelijke organen, voor particuliere entiteiten die openbare diensten verlenen en voor iedere gebruiksverantwoordelijke van AI die de kredietwaardigheid van natuurlijke personen beoordeelt of levens- en ziektekostenverzekeringen beprijst (Bijlage III, punt 5 onder b en c). Die laatste groep is niet beperkt tot de financiële sector. Een DPIA onder de AVG voor hoog-risico AI loopt vaak parallel. Reken voor externe begeleiding op 5.000 tot 15.000 euro per traject. Wie ervaring heeft met DPIA's onder de AVG kan veel zelf doen.
Conformiteitsbeoordeling en certificeringAlleen relevant als u zelf hoog-risico AI in de handel brengt of in gebruik stelt. Voor de systemen uit Bijlage III, punt 2 tot en met 8, voert u die beoordeling zelf uit via interne controle (Artikel 43, lid 2). Een aangemelde instantie komt alleen in beeld bij de biometrische systemen van Bijlage III, punt 1, als u geen geharmoniseerde normen toepast of zelf voor die route kiest (Artikel 43, lid 1). Voor AI in producten uit Bijlage I, afdeling A, volgt u de keuring die de productwetgeving zelf voorschrijft (Artikel 43, lid 3). De Europese Commissie rekende in haar impact assessment uit 2021 (SWD(2021) 84) met een theoretisch maximum van circa 10.000 euro per AI-toepassing voor een aanbieder die al volgens de gangbare praktijk werkt. Wie dat niet doet, komt er 10.733 euro voor robuustheid en nauwkeurigheid bij. Het menselijk toezicht kost de gebruiker nog eens 7.764 euro per jaar. Het bedrag van 29.277 euro dat vaak circuleert is de optelsom van die tabellen, niet een gemiddelde. Waar een aangemelde instantie verplicht is, raamde de Commissie de beoordeling van de documentatie op 3.000 tot 7.500 euro per product. De audit van het kwaliteitsbeheersysteem kost volgens diezelfde raming 1.000 tot 2.000 euro per auditdag, met een jaarlijkse heraudit. Vrijwillige certificering tegen ISO 42001 is een aparte route en kost een MKB doorgaans tussen 15.000 en 35.000 euro in het eerste jaar, inclusief interne tijd. Die uitsplitsing staat in wat ISO 42001-certificering kost.
Wat kost het met en zonder hoog-risico AI?
De meeste MKB-organisaties vallen in scenario A. U schuift pas op naar scenario B als een AI-systeem een functie uit Bijlage III vervult, zoals kandidaten beoordelen of filteren (punt 4, onder a) of de kredietwaardigheid van natuurlijke personen beoordelen (punt 5, onder b). Het gebied geeft alleen een aanwijzing. Voert zo'n systeem bijvoorbeeld alleen een beperkte procedurele of voorbereidende taak uit, dan is het onder Artikel 6, lid 3 geen hoog-risicosysteem, tenzij het profileert.
Scenario A: MKB zonder hoog-risico AIInschatting eenmalige kosten: 1.000 tot 5.000 euro. Doorlopend: 600 tot 2.500 euro per jaar. Dit dekt training, een werkbaar AI-beleid, een register en transparantie-aanpassingen op uw website. Een ondernemer met affiniteit voor compliance kan dit zelf doen in ongeveer 30 tot 40 uur over de eerste maand. Een platform-abonnement van 99 euro per maand exclusief btw verdient zich terug zodra u per maand een uur externe consulting bespaart.
Scenario B: MKB met hoog-risico AI als deployerInschatting eenmalige kosten: 10.000 tot 30.000 euro per hoog-risico systeem. Doorlopend: 5.000 tot 15.000 euro per jaar. Dit dekt de plichten die Artikel 26 aan een gebruiksverantwoordelijke stelt: gebruik volgens de gebruiksaanwijzing, menselijk toezicht, monitoring en logbewaring, plus een FRIA waar die verplicht is. De technische documentatie van Bijlage IV hoort bij de aanbieder, niet bij u. Wordt u zelf aanbieder van een hoog-risicosysteem, bijvoorbeeld omdat u uw naam of merk zet op een systeem dat al op de markt is of er een substantiële wijziging in aanbrengt (Artikel 25, lid 1), dan komen de aanbiedersplichten daar bovenop. Voor de meeste Bijlage III-systemen doet u de conformiteitsbeoordeling dan zelf (Artikel 43, lid 2). De kosten zitten vooral in het opbouwen van de technische documentatie uit Bijlage IV.
Wat verandert onder Digital Omnibus?
Het Europees Parlement nam de tekst op 16 juni 2026 aan en de Raad gaf op 29 juni 2026 zijn definitieve goedkeuring. De tekst verscheen op 24 juli 2026 in het Publicatieblad als Verordening (EU) 2026/1744 en trad op 27 juli 2026 in werking. Voor MKB telt vooral de langere overgangstermijn voor hoog-risico AI uit Bijlage III, die naar 2 december 2027 schuift. Daarnaast vraagt Artikel 4 sinds de omnibus dat u de ontwikkeling van AI-geletterdheid ondersteunt, zonder dat u per persoon een bepaald niveau hoeft te waarborgen. Het AI-bureau kan een testomgeving op Unieniveau opzetten met voorrang voor kmo's (Artikel 57, lid 3 bis). De vereenvoudigde technische documentatie voor kmo's stond al in de oorspronkelijke tekst; de omnibus breidt die uit naar kleine midcapondernemingen (Artikel 11, lid 1). Plan uw begroting met scenario A of B op de nieuwe timing.
Verborgen kosten
De directe uitgave is vaak het kleinste deel. Drie posten worden onderschat.
Tijd van sleutelmensenEen directielid of compliance-officer die 30 tot 40 uur over een maand investeert, kost intern aanzienlijk meer dan de SaaS-licentie. Reken bij een vol uurtarief van 100 euro op 3.000 tot 4.000 euro aan interne tijd in scenario A.
Aanpassingen in werkprocessenEen AI-beleid waarin u stelt dat cliëntdata niet in publieke AI-tools mag, vraagt om een alternatief: een private AI-tool of duidelijke werkafspraken. Een zakelijke AI-licentie of een private LLM-licentie rekent per gebruiker per maand. Per september 2026 is de lijstprijs van Microsoft 365 Copilot Bedrijven 18,20 euro per gebruiker per maand bij jaarbetaling, exclusief btw, voor maximaal 300 gebruikers en bovenop een Microsoft 365-abonnement. Het Team-abonnement van Mistral kost 24,99 dollar per gebruiker per maand, exclusief btw. ChatGPT Enterprise en de enterprise-varianten van Mistral gaan op offerte. Voor een team van tien komt dat op circa 2.200 euro per jaar met Copilot of circa 3.000 dollar met Mistral Team.
Onderhoud en evolutieAI-tools veranderen, de wet evolueert (Digital Omnibus, latere wijzigingen, sectorrichtsnoeren) en uw register vraagt kwartaalonderhoud. Plan twee tot vier uur per kwartaal voor de eindverantwoordelijke. Wie dit overslaat, ontdekt bij de eerste audit dat het register verouderd is.
Wat kunt u zelf en wanneer extern?
De vuistregel: bouw zelf voor minimaal- en beperkt-risico AI, koop extern in voor hoog-risico of waar juridische aansprakelijkheid speelt.
Zelf doen werkt voorAI-inventaris, eerste risicoclassificatie, AI-beleid op basis van een goede template, register-inrichting, AI-geletterdheidstraining via een e-learning platform en transparantie-aanpassingen op uw website. Tools zoals AIComplianceHub bundelen deze stappen in een werkbare interface.
Extern advies loont voorbeoordeling of een specifiek systeem hoog-risico is in een grijs gebied, een FRIA als u die moet uitvoeren (Artikel 27), een beoordeling door een aangemelde instantie als u die als aanbieder nodig heeft (Artikel 43, lid 1), juridisch advies bij een vermoeden van Artikel 5-overtreding (verboden AI-praktijken) en het opstellen van leveranciersvragenlijsten als u AI inkoopt onder zware compliance-eisen. Reken voor een eerste juridische beoordeling van één systeem op enkele uren advieswerk tegen het uurtarief hierboven.
Wanneer is gratis genoeg?
Gebruikt u als zzp'er of MKB alleen algemene tools als ChatGPT of Microsoft 365 Copilot voor schrijven, samenvatten en zoeken, dan volstaat in de basis een gratis aanpak: een AI-inventaris in een spreadsheet, een eenvoudig AI-beleid uit een template en de gratis 5-minuten risicoscan. Zet u zo'n tool in om sollicitanten te beoordelen of te filteren, dan kan dat gebruik hoog-risico zijn (Bijlage III, punt 4, onder a). Een betaald platform wordt rendabel zodra u meer dan vijf AI-tools heeft, hoog-risico-elementen tegenkomt, of meerdere medewerkers wilt opleiden met aantoonbaar bewijs.
De rekening die u niet wilt krijgen
De boetes onder Artikel 99 lopen op tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet voor verboden AI-praktijken. Voor MKB en startups verlaagt Artikel 99, lid 6 deze plafonds: het laagste van het vaste bedrag of het percentage geldt. Een overtreding van Artikel 50 valt onder het plafond van 15 miljoen euro of 3 procent (Artikel 99, lid 4). Sancties komen uit nationaal recht (Artikel 99, lid 1). In Nederland ligt dat nog in het wetsvoorstel UAIV. Reputatieschade en gemiste tenders door ontbrekende compliance kosten vaak meer dan de boete zelf.
Veelgestelde vragen
Kan ik AI Act compliance zelf regelen?
Ja, zolang u geen hoog-risico AI inzet. Inventariseren, classificeren en de documentatie uit sjablonen opbouwen kunt u zelf. Wie extern inhuurt, betaalt vaak ook voor inhaalwerk: een consultant moet eerst uitzoeken wat er draait. Daar bent u zelf sneller in.
Moet ik betalen voor AI-geletterdheid?
Nee. De wet eist geen cursus of certificaat. Hij vraagt maatregelen die rekening houden met kennis, ervaring en gebruikscontext. Een vastlegging schrijft Artikel 4 niet voor. Met een deelnemerslijst laat u later zien wat u heeft gedaan. Een interne sessie met een deelnemerslijst en een korte samenvatting kan volstaan, zolang die past bij de kennis van de deelnemers en de manier waarop zij AI gebruiken (Artikel 4, lid 1).
Wat kost een hoog-risicosysteem extra?
Een meervoud van het basisscenario, met maanden doorlooptijd. Wat u betaalt hangt af van uw rol. Als gebruiksverantwoordelijke gaat het vooral om menselijk toezicht, monitoring, het bewaren van logs en waar nodig een FRIA (Artikel 26 en 27). Als aanbieder komen daar risicobeheer, technische documentatie en de conformiteitsbeoordeling bij (Artikel 9, 11 en 43). Kmo's en kleine midcapondernemingen mogen de technische documentatie vereenvoudigd verstrekken, op het formulier van de Commissie (Artikel 11, lid 1).
Levert uitstel tot 2027 besparing op?
Nee, het verplaatst de kosten en verhoogt ze meestal. Wie in 2027 begint, moet hetzelfde werk in kortere tijd doen en huurt daardoor eerder extern in. De onderdelen die nu al gelden kennen geen uitstel.
Wat kost niet-naleven?
Naast de boeteplafonds uit Artikel 99 vooral commerciële schade: inkopers, verzekeraars en aanbestedende diensten kunnen naar uw AI-beleid vragen. Een afgewezen offerte kost eerder geld dan een toezichthouder.
Waar u begint
Kies een scenario op basis van uw AI-portefeuille, maak een budget voor twaalf maanden vooruit en plan de tijd in. Een gratis 5-minuten risicoscan plaatst u binnen het juiste scenario en geeft een concreet stappenplan. Vanaf dat punt is de begroting realistisch te maken en de uitvoering te plannen. Het duurste is uitstel: hoe later u begint, hoe meer u in een keer moet inhalen wanneer een audit, klant of toezichthouder het vraagt.