Wat is de EU AI Act in het kort? Het korte antwoord: een risicogebaseerde wet die AI-systemen indeelt in vier categorieën, met verplichtingen die zwaarder worden naarmate het risico stijgt. Vier blokken zijn al van kracht, de zwaarste eisen volgen op 2 december 2027 en 2 augustus 2028.
U wilt weten wat de wet is, of hij op u van toepassing is en welke deadlines tellen. Hieronder in vijf minuten leestijd.
Wat is de EU AI Act?
De EU AI Act is Verordening (EU) 2024/1689, aangenomen op 13 juni 2024. Het is de eerste horizontale wet ter wereld die het ontwikkelen, in de markt brengen en gebruiken van AI-systemen reguleert. De wet werkt rechtstreeks in elke lidstaat. Voor Nederland komt er nog een Uitvoeringswet AI-verordening (UAIV) die het toezicht regelt, maar de hoofdverplichtingen liggen al vast in de EU-verordening.
De kern is risicogebaseerd: hoe meer schade een AI-systeem kan veroorzaken aan gezondheid, veiligheid of grondrechten, hoe strenger de regels. Dat principe vertaalt zich in vier categorieën.
Onaanvaardbaar risicoPraktijken die in beginsel verboden zijn (Artikel 5). Denk aan social scoring door overheden, manipulatieve AI die kwetsbaarheden uitbuit en untargeted scraping van gezichtsbeelden.
Hoog risicoAI in werving, kredietbeoordeling, onderwijs, kritieke infrastructuur en rechtshandhaving (Bijlage III), plus AI ingebed in gereguleerde producten zoals medische apparatuur (Bijlage I).
Beperkt risicoChatbots, AI-gegenereerde content en deepfakes vallen onder transparantieplichten uit Artikel 50.
Minimaal risicoDe meerderheid van AI-toepassingen, zoals spamfilters of aanbevelingsalgoritmes. Geen specifieke verplichtingen, wel best practices.
Voor wie geldt het?
Voor elk bedrijf dat AI-systemen ontwikkelt (provider, oftewel aanbieder), in de markt brengt of gebruikt (deployer, oftewel gebruiksverantwoordelijke) binnen de EU. Ook bedrijven buiten de EU vallen eronder zodra de output van hun AI-systeem binnen de Unie wordt gebruikt. Vrijwel elk Nederlands MKB dat ChatGPT, Copilot of een ander AI-tool inzet, is deployer.
Wanneer treedt wat in werking?
De verordening kent zes deadlines, waarvan er twee al van kracht zijn.
2 februari 2025: Artikel 4 (AI-geletterdheid) en Artikel 5 (verboden praktijken) gelden. U moet aantoonbaar zorgen dat medewerkers die met AI werken voldoende kennis hebben, en u mag de acht verboden praktijken niet inzetten.
2 augustus 2025: GPAI-verplichtingen uit Hoofdstuk V, voor aanbieders van algemene-doel AI zoals OpenAI, Anthropic en Google.
2 augustus 2026: Artikel 50 (transparantieplicht voor chatbots en AI-content) en Bijlage III (hoog-risico AI). Het Digital Omnibus-akkoord verschuift Bijlage III naar 2 december 2027; Bijlage I schuift van 2 augustus 2027 naar 2 augustus 2028. De algemene transparantieplicht (Artikel 50) blijft 2 augustus 2026. Tot adoptie in het Publicatieblad gelden de oorspronkelijke deadlines.
Wat moet u nu al doen?
Vijf acties zijn voor vrijwel elke organisatie relevant.
AI-inventaris
Welke AI-systemen gebruikt of ontwikkelt uw organisatie, inclusief AI-functies in bestaande software die u over het hoofd ziet? De gratis 5-minuten risicoscan geeft dit overzicht plus een eerste classificatie.
Risicoclassificatie
Bepaal per systeem of het verboden, hoog, beperkt of minimaal is. Dit bepaalt welke verplichtingen op u rusten.
AI-geletterdheid
Verplicht sinds feb 2025Aantoonbare training voor iedereen die met AI werkt.
AI-beleid
Een intern document dat aangeeft wat is toegestaan, wie verantwoordelijk is en hoe incidenten worden gemeld.
Documentatie
Voor hoog-risico systemen: technische documentatie, logging en periodieke evaluatie. Een centraal AI-register helpt u op koers te blijven.
Wat zijn de boetes?
Tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet, afhankelijk van welke het hoogst is, bij overtreding van het verbod op onaanvaardbare AI. Voor andere overtredingen geldt 15 miljoen euro of 3 procent. Voor onjuiste informatie aan toezichthouders 7,5 miljoen euro of 1 procent van de wereldwijde jaaromzet (Artikel 99, lid 5). Voor MKB en startups gelden lagere maxima. AI Act-boetes komen bovenop eventuele AVG-boetes.
Wie houdt toezicht?
In Nederland krijgen Autoriteit Persoonsgegevens (AP) en de Rijksinspectie Digitale Infrastructuur (RDI) gezamenlijk de coördinerende rol. Sectorale toezichthouders zoals DNB, AFM, IGJ en de Arbeidsinspectie pakken specifieke domeinen op. Op EU-niveau coordineert het AI Office bij DG CNECT van de Europese Commissie.
Veelgestelde vragen
Geldt de AI Act voor mij?
Als uw organisatie AI gebruikt of aanbiedt en in de EU actief is: ja. De wet kent geen ondergrens naar omvang. Wat verschilt is hoeveel u moet doen, en dat hangt af van wat uw AI-systemen doen.
Wat is er nu al verplicht?
AI-geletterdheid en het verbod op onaanvaardbare AI sinds 2 februari 2025, de GPAI-regels sinds 2 augustus 2025 en de transparantieplicht sinds 2 augustus 2026. De hoog-risico-eisen volgen op 2 december 2027 en 2 augustus 2028.
Wat is hoog-risico precies?
Een AI-systeem waarvan het beoogde doel in Bijlage III staat, zoals werving, kredietbeoordeling of examinering, of dat een veiligheidscomponent is in een gereguleerd product. Hoog-risico hangt aan wat het systeem doet, niet aan uw branche.
Hoe hoog zijn de boetes?
Tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet voor verboden AI, en tot 15 miljoen euro of 3 procent voor de meeste andere overtredingen. Voor kmo's geldt daarvan steeds het laagste bedrag (Artikel 99, lid 6).
Wie controleert dit in Nederland?
De Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur worden coördinerend toezichthouder, met sectorale toezichthouders als IGJ, DNB, AFM en de Arbeidsinspectie daarnaast.
Wat u vandaag doet
Drie minuten investeren in de gratis risicoscan levert een eerste antwoord. U weet daarna welke systemen u heeft, welke risicoklasse ze hebben en welke verplichtingen voor u tellen. Vanaf dat punt is alles concreet.