Wie houdt in Nederland toezicht op de AI Act? Het korte antwoord: de Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur worden samen coördinerend toezichthouder. Welke toezichthouder daarnaast meekijkt, hangt in het wetsvoorstel af van wat het AI-systeem doet: de AP voor het grootste deel van Bijlage III, AFM en DNB voor kredietbeoordeling en voor risicobeoordeling en prijsstelling bij levens- en ziektekostenverzekeringen bij financiële instellingen. Voor AI in producten blijven de bestaande producttoezichthouders bevoegd. De formele aanwijzing wacht op de Uitvoeringswet AI-verordening. In de tussentijd is de AP al coördinerend toezichthouder op algoritmes en AI, vanuit haar directie Toezicht en Coördinatie AI/Algoritmes (TCA).
AP en RDI coördineren gezamenlijk
Nederland werkt aan de Uitvoeringswet AI-verordening (UAIV). De AI Act zelf hoeft niet te worden omgezet in nationale wetgeving, want een verordening werkt rechtstreeks door in alle lidstaten. De UAIV regelt wie hier toezicht houdt en welke sancties een toezichthouder kan opleggen. Op 20 april 2026 is het wetsvoorstel gepubliceerd voor internetconsultatie, die liep tot 1 juni 2026. Het voorstel wijst de Autoriteit Persoonsgegevens (AP) en de Rijksinspectie Digitale Infrastructuur (RDI) gezamenlijk aan als coördinerende nationale toezichthouders voor de AI Act.
Wanneer die wet bij de Kamer ligt, is inmiddels bekend. De planningsbrief Digitale Zaken van 31 augustus 2026 (Kamerstuk 26643, nr. 1554) zet indiening in het tweede kwartaal van 2027. In januari stond hij nog op het vierde kwartaal van 2026, dus het schuift twee kwartalen op. Let op wat zo'n kwartaal betekent: het is het moment waarop het voorstel naar de Kamer gaat. Behandeling in Tweede en Eerste Kamer komt daarna. Inwerkingtreding vóór eind 2027 is daarmee niet te verwachten, waarmee de formele aanwijzing van AP en RDI dreigt te vallen ná 2 december 2027. Dat is de datum waarop de hoog-risicoverplichtingen ingaan waar zij op toezien.
De keuze voor twee coördinatoren weerspiegelt de breedte van de wet. De AP brengt privacy-, algoritme- en grondrechtenexpertise mee, opgebouwd via jaren aan AVG-toezicht. De RDI heeft de ervaring met productveiligheid en technische standaarden die nodig is voor AI ingebouwd in CE-gemarkeerde producten. Tot de UAIV formeel is aangenomen, is de aanwijzing nog niet wettelijk rond. Tot dat moment vervult de AP haar rol als coördinerend toezichthouder op algoritmes en AI vanuit de TCA, de opvolger van de Directie Coördinatie Algoritmes. Ze werkt daarbij met haar bestaande bevoegdheden onder de AVG en de Algemene wet bestuursrecht.
Coördinerend toezichthouder betekent niet dat AP en RDI alles zelf doen. Zij zijn het centrale aanspreekpunt voor nationale AI-kwesties, werken samen met de andere markttoezichtautoriteiten en vormen de schakel met het Europees AI Office. Raakt uw AI-systeem de bevoegdheid van meer dan één toezichthouder, dan komt u via AP of RDI binnen.
De AP publiceerde voor 2026 een Werkagenda coördinerend AI- en algoritmetoezicht. Daarin staan vijf prioriteiten: overkoepelend stelseltoezicht, transparantie en uitlegbaarheid, kaders en normen, bias- en fairnesstoetsing tegen discriminatie en AI-geletterdheid. Voor de AI-geletterdheidsplicht uit Artikel 4, die al geldt, kiest de agenda voor voorlichting en monitoring: de AP vraagt bij organisaties uit hoe zij hun aanpak inrichten en organiseert een tweede seminar over AI-geletterdheid.
Wat de Uitvoeringswet AI-verordening regelt
UAIV is de afkorting van de Uitvoeringswet AI-verordening. Wat de wet doet is smaller dan de naam doet vermoeden. De AI Act is een verordening en werkt rechtstreeks, dus de verplichtingen gelden zonder Nederlandse wet. De UAIV regelt alleen wat de verordening aan de lidstaten overlaat. Volgens het consultatievoorstel van 20 april 2026 en de bijbehorende memorie van toelichting komt dat voor wie AI inzet neer op drie dingen.
Wie toezicht houdtHet voorstel wijst de markttoezichtautoriteiten aan, met de AP en de RDI als coördinatoren en de RDI als centraal contactpunt: het loket voor de Europese Commissie en voor het publiek (Artikel 70, lid 2). Er komt geen nieuw bestuursorgaan. Bestaande toezichthouders krijgen de AI Act erbij binnen hun eigen domein, zoals de IGJ voor medische hulpmiddelen en DNB en AFM in de financiële sector.
Wat ze mogenDe wet geeft de toezichthouders de bevoegdheid tot bestuursdwang, een last onder dwangsom en een bestuurlijke boete bij overtreding van de verordening. Voor de maximale boete verwijst het voorstel naar de bedragen in de verordening zelf (Artikel 99, lid 3 tot en met 5; artikel 3.7 van het wetsvoorstel). Nederland bedenkt geen eigen bedragen; voor verplichtingen waar de verordening zelf geen boetemaximum aan hangt, kiest het voorstel hetzelfde plafond als lid 4. Voor AI-geletterdheid kiest het voorstel geen boete: Artikel 4 is een inspanningsverplichting, dus daar blijft het bij herstelsancties zoals een last onder dwangsom.
De testomgevingDe AI-testomgeving voor regelgeving die Artikel 57 van elke lidstaat vraagt. Hoe die er in Nederland uitziet, staat in het artikel over de regulatory sandbox.
Welke toezichthouder bij welk systeem hoort
Niet al het AI-toezicht loopt via AP en RDI. Welke andere toezichthouder erbij komt, hangt af van wat uw AI-systeem doet, niet van uw sector. Het voorstel richt een stelsel in van acht markttoezichtautoriteiten, met voor AI in de rechtspraak een eigen regeling. De AP krijgt de verboden AI, de transparantieplicht en het grootste deel van Bijlage III, zoals werving en triage.
Rijksinspectie Digitale Infrastructuur (RDI)
Coördinator samen met de AP. Ook het centrale contactpunt. Markttoezicht op AI in radioapparatuur (Bijlage I) en, afhankelijk van het domein, op AI in kritieke infrastructuur (Bijlage III, punt 2); het andere deel ligt bij de ILT.
Inspectie Gezondheidszorg en Jeugd (IGJ)
AI in medische hulpmiddelen en in-vitrodiagnostica (Bijlage I). Triage en andere zorgtoepassingen uit Bijlage III vallen bij de AP.
Autoriteit Financiële Markten (AFM)
Samen met DNB: kredietbeoordeling plus risicobeoordeling en prijsstelling bij levens- en ziektekostenverzekeringen bij financiële instellingen (Bijlage III, punt 5, onder b en c). Daarnaast bij financiële instellingen: de AI-geletterdheid, vier verboden praktijken (Artikel 5, lid 1, onder a, b, c en d) en de transparantieplicht van Artikel 50. De precieze afbakening volgt uit een ministeriële regeling (artikel 2.2, lid 2 van het wetsvoorstel).
De Nederlandsche Bank (DNB)
Samen met de AFM: kredietbeoordeling plus risicobeoordeling en prijsstelling bij levens- en ziektekostenverzekeringen bij financiële instellingen. Ook AI-geletterdheid en twee verboden praktijken (Artikel 5, lid 1, onder c en d) bij die instellingen.
Inspectie Leefomgeving en Transport (ILT)
Afhankelijk van het domein, naast de RDI: AI in kritieke infrastructuur (Bijlage III, punt 2). Daarnaast AI in pleziervaartuigen en kabelbaaninstallaties (Bijlage I).
Nederlandse Voedsel- en Warenautoriteit (NVWA)
AI in onder meer speelgoed, gastoestellen en beschermingsmiddelen voor consumenten (Bijlage I).
Nederlandse Arbeidsinspectie (NLA)
AI in onder meer liften, drukapparatuur en explosieveilig materieel (Bijlage I). AI voor werving en personeelsbeheer valt bij de AP.
Procureur-Generaal bij de Hoge Raad
Markttoezicht op hoog-risico AI van de rechtbanken, de gerechtshoven, de Hoge Raad, de Centrale Raad van Beroep en het College van Beroep voor het bedrijfsleven (Bijlage III, punt 8, onder a).
Voorzitter van de Afdeling bestuursrechtspraak
Markttoezicht op hoog-risico AI van de Afdeling bestuursrechtspraak van de Raad van State (Bijlage III, punt 8, onder a).
De verdeling van bevoegdheden wordt formeel geregeld via de UAIV. Tot die wet is aangenomen, handelen toezichthouders op basis van hun bestaande wettelijke kaders. De Autoriteit Consument en Markt (ACM) staat niet in de consultatieversie als AI Act-toezichthouder. Via het consumenten- en mededingingsrecht kan de ACM wel optreden bij algoritmische prijsvorming en AI in concurrentiegevoelige markten.
Europees niveau: het AI Office
Het EU AI Office is ondergebracht bij DG CNECT van de Europese Commissie. Het is opgericht bij Commissiebesluit van 24 januari 2024 en is operationeel sinds 16 juni 2024. Het houdt toezicht op aanbieders van general-purpose AI-modellen, zoals de modellen achter ChatGPT, Claude en Gemini (Artikel 88). Sinds de Digital Omnibus is het ook bevoegd voor AI in zeer grote onlineplatforms en zoekmachines (Artikel 75, lid 1, onder b). Hetzelfde geldt, op enkele uitzonderingen na, voor AI-systemen die een aanbieder op zijn eigen general-purpose AI-model bouwt (Artikel 75, lid 1). De lidstaten stemmen hun toezicht onderling af in de Europese AI-board (Artikel 65 en 66).
Voor de meeste Nederlandse MKB-bedrijven is het AI Office indirect relevant. Als uw leverancier een groot internationaal platform is, kan een Europees onderzoek naar dat platform gevolgen hebben voor de tools die u gebruikt.
Wanneer begint actieve handhaving?
In Nederland pas zodra de toezichthouders zijn aangewezen en de sancties wettelijk zijn vastgelegd (Artikel 70, lid 1; Artikel 99, lid 1). Nederland regelt beide in de Uitvoeringswet AI-verordening, die nog een concept is. Tot die tijd kan een toezichthouder alleen optreden met zijn bestaande bevoegdheden, zoals de AP onder de AVG. De verplichtingen zelf lopen al: twee categorieën gelden sinds februari 2025.
AI-geletterdheidArtikel 4 is van kracht sinds 2 februari 2025. Artikel 4 staat niet in de opsomming van Artikel 99, lid 4, dus de verordening hangt er geen eigen boeteplafond aan. Het wetsvoorstel UAIV kiest voor Artikel 4 alleen herstelsancties, zoals een last onder dwangsom (artikel 3.6 en 3.7 van het wetsvoorstel). Tot dat voorstel wet wordt, ontbreekt in Nederland de wettelijke basis om Artikel 4 te handhaven.
Verboden AI-praktijkenArtikel 5 verbiedt bepaalde AI-systemen ook al sinds februari 2025. De acht oorspronkelijke categorieën omvatten onder meer social scoring, het voorspellen van strafbaar gedrag uitsluitend op basis van profilering, het ongericht scrapen van gezichtsafbeeldingen voor databanken voor gezichtsherkenning, het afleiden van emoties op de werkplek en in het onderwijs behalve om medische of veiligheidsredenen, biometrische categorisering naar bijvoorbeeld ras of religie, plus real-time biometrische identificatie op afstand in openbare ruimten voor rechtshandhaving. Met ingang van 2 december 2026 gelden er twee verboden bij (Artikel 5, lid 1, onder b bis en b ter). Het eerste raakt AI die zonder uitdrukkelijke toestemming realistische intieme of seksueel expliciete beelden van een identificeerbaar persoon maakt of bewerkt. Het tweede raakt AI die kindermisbruikmateriaal genereert of bewerkt.
De transparantieplichten voor chatbots, emotieherkenning en biometrische categorisering, deepfakes en bepaalde AI-teksten (Artikel 50) gelden sinds 2 augustus 2026; de Digital Omnibus stelt ze niet uit. Alleen de machineleesbare markering van synthetische content (Artikel 50, lid 2) kent een overgangsregeling: systemen die voor 2 augustus 2026 in de handel waren, voldoen uiterlijk 2 december 2026 (Artikel 111, lid 4). Voor hoog-risico AI-systemen uit Bijlage III gelden de verplichtingen vanaf 2 december 2027, door de Digital Omnibus verschoven van 2 augustus 2026 (Artikel 113, onder c). Bijlage I schuift van 2 augustus 2027 naar 2 augustus 2028. De Digital Omnibus is op 29 juni 2026 definitief aangenomen; de nieuwe deadlines zijn geldend recht sinds 27 juli 2026.
Bevoegdheden: wat kan een toezichthouder doen?
Zodra de Uitvoeringswet de toezichthouders aanwijst, krijgen ze brede bevoegdheden. Een markttoezichtautoriteit kan dan onder meer onaangekondigd inspecties ter plaatse doen en systemen controleren (Artikel 74, lid 1, met artikel 14, lid 4 van Verordening (EU) 2019/1020). Ze kan documenten opvragen: uw AI-register, technische documentatie, risicoanalyses, AI-trainingsbewijzen. Kunt u die niet overleggen, dan staat u direct zwak.
De verordening laat naast boetes ook waarschuwingen en niet-monetaire maatregelen toe (Artikel 99, lid 1). Of er een boete komt en hoe hoog die is, hangt onder meer af van de ernst en duur van de overtreding, de omvang van de organisatie en de mate van medewerking (Artikel 99, lid 7). De verordening zet de boeteplafonds hoog: tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet bij overtreding van Artikel 5, de hoogste van de twee (Artikel 99, lid 3). Voor kmo's, waaronder start-ups, geldt het laagste van de twee (Artikel 99, lid 6). Wat een boete in Nederland concreet wordt, staat er nog niet: Artikel 99, lid 1 laat de sancties aan de lidstaten en Nederland regelt die in het voorstel voor de Uitvoeringswet AI-verordening.
Brengt een AI-systeem een risico mee voor de gezondheid, de veiligheid of de grondrechten van personen en neemt de operator niet op tijd corrigerende maatregelen, dan kan de toezichthouder het aanbieden of in gebruik stellen ervan voorlopig verbieden of beperken (Artikel 79, lid 5).
Klachten indienen over AI-gebruik
Burgers en organisaties kunnen bij de nationale toezichthouder een klacht indienen als ze vermoeden dat een andere partij de AI Act overtreedt. Als ondernemer kunt u klagen over een leverancier die niet-conforme AI levert. Als werknemer over uw werkgever die verboden AI inzet op de werkvloer. De markttoezichtautoriteit neemt die klachten mee in haar markttoezicht en behandelt ze volgens haar eigen procedures (Artikel 85). Welke toezichthouder die klachten in Nederland ontvangt, wijst pas de Uitvoeringswet AI-verordening aan. Gaat het om persoonsgegevens, dan kunt u nu al een klacht indienen bij de AP (artikel 77 AVG).
Dat maakt naleving in de keten afdwingbaar. Wie met AI-tools van derden werkt, heeft er belang bij te controleren of die leverancier zelf compliant is.
Veelgestelde vragen
Bij welke toezichthouder moet ik zijn?
Dat hangt af van waarvoor u AI inzet, niet van uw branche. Volgens het concept van de Uitvoeringswet AI-verordening wordt de AP voor de meeste organisaties het aanspreekpunt, ook voor AI in werving en triage. Zet een bank of verzekeraar AI in voor kredietbeoordeling of voor risicobeoordeling en prijsstelling bij levens- en ziektekostenverzekeringen, dan komen DNB en AFM erbij. Zit er AI in een product, zoals een medisch hulpmiddel, dan blijft de producttoezichthouder bevoegd, in dat voorbeeld de IGJ. Meerdere toezichthouders tegelijk is de normale situatie.
Kan de AP nu al handhaven?
Nee, niet op grond van de AI Act zelf. De verplichtingen gelden wel: Artikel 4 en de oorspronkelijke verboden uit Artikel 5 sinds 2 februari 2025, Artikel 50 sinds 2 augustus 2026. Maar Artikel 99, lid 1 laat de sancties aan de lidstaten en Nederland heeft die nog niet vastgesteld. Ook de aanwijzing van de markttoezichtautoriteiten (Artikel 70) loopt via de Uitvoeringswet AI-verordening. Tot die tijd kan de AP alleen optreden met haar bestaande bevoegdheden, zoals onder de AVG wanneer een AI-systeem persoonsgegevens verwerkt.
Welke stukken kan een toezichthouder opvragen?
Alles wat nodig is om de naleving te controleren. Meestal gaat het om uw AI-register, bewijs van de maatregelen voor AI-geletterdheid (Artikel 4) en uw AI-beleid. Zet u vanaf 2 december 2027 een hoog-risicosysteem uit Bijlage III in, dan komen daar de logboeken (Artikel 26, lid 6) en de gebruiksinstructies van de aanbieder bij. Een register of beleid dat ontbreekt is op zichzelf geen overtreding, maar zonder stukken kunt u moeilijk laten zien wat u wel heeft gedaan.
Kunnen klanten of medewerkers een klacht indienen?
Ja. De AI Act geeft iedereen het recht een klacht in te dienen bij de markttoezichtautoriteit (Artikel 85), los van de AVG-route. Welke autoriteit dat in Nederland wordt, regelt de Uitvoeringswet AI-verordening. Die is nog een concept en ligt niet bij de Tweede Kamer. Een medewerker die vindt dat AI op de werkvloer over de grens gaat, kan dus naar de toezichthouder. Dat maakt intern beleid en een meldpunt meer waard dan alleen een dossier voor de buitenwereld.
Wat is de rol van het AI Office in Brussel?
Het AI Office bij de Europese Commissie houdt toezicht op aanbieders van general-purpose AI-modellen (Artikel 88). Sinds de Digital Omnibus is het ook bevoegd voor AI in zeer grote onlineplatforms en zoekmachines (Artikel 75, lid 1, onder b). Hetzelfde geldt, op enkele uitzonderingen na, voor AI-systemen die een aanbieder op zijn eigen model bouwt (Artikel 75, lid 1). Voor een Nederlands MKB-bedrijf loopt het contact vrijwel altijd via de nationale toezichthouder.
Wat is de UAIV?
De Uitvoeringswet AI-verordening: het Nederlandse wetsvoorstel dat regelt wie hier toezicht houdt op de AI Act en welke sancties een toezichthouder kan opleggen. De verplichtingen zelf staan in de verordening en gelden los van deze wet. Het voorstel lag van 20 april tot 1 juni 2026 in internetconsultatie; indiening bij de Tweede Kamer staat gepland voor het tweede kwartaal van 2027.
Wat te bewaren voor een eventuele inspectie
Een toezichthouder die langskomt, vraagt naar concrete documentatie. Zorg dat u kunt overleggen: een up-to-date AI-register met alle systemen die u gebruikt, bewijs dat medewerkers AI-geletterdheidstraining hebben gevolgd, documentatie over uw risico-overwegingen per systeem en voor hoog-risico AI technische documentatie en conformiteitsverklaringen van leveranciers.
Dat hoeft geen perfecte set te zijn. Bij het bepalen van een boete tellen onder meer de omvang van uw organisatie en uw medewerking mee (Artikel 99, lid 7, onder d en f). Wie aantoonbaar bezig is met compliance, staat veel sterker dan wie het probleem heeft genegeerd.
Wacht niet op een brief van de toezichthouder. Begin met een eerlijke inventarisatie van uw AI-gebruik. De gratis risicoscan geeft in vijf minuten een beeld van uw risicoprofiel, inclusief welke toezichthouder bij welk systeem hoort. Wat er na de scan gebeurt, ziet u in een film van twee minuten.