EU AI Act voor het mkb: de checklist

De EU AI Act is de Europese wet die regels stelt aan het gebruik van AI. Zodra je erover leest, lijkt het alsof je een compliance-afdeling nodig hebt. Voor de meeste mkb-bedrijven valt dat mee: je gebruikt AI waarschijnlijk op een manier die in de lichtste categorie valt, met een paar simpele verplichtingen. Maar “waarschijnlijk” is niet genoeg — daarom deze checklist waarmee je het zelf nagaat.

Stap 1 — Zet op een rij waar je AI gebruikt

Je gebruikt vaker AI dan je denkt: een chatbot op je site, een tool die teksten of offertes schrijft, software die cv’s of facturen beoordeelt, een systeem dat klanten scoort. Maak een simpele lijst: waar zit AI in je bedrijf, en wat doet het precies?

Stap 2 — Bepaal per gebruik de risicoklasse

De wet deelt AI-gebruik in vier categorieën in. Loop je lijst uit stap 1 hier langs:

• Verboden: AI die mensen manipuleert, sociale scoring, bepaalde vormen van biometrische herkenning. Kom je dit tegen, dan stop je ermee. In het gewone mkb kom je dit zelden tegen.
• Hoog risico: AI die beslist over dingen die er voor mensen echt toe doen — werving en selectie, kredietbeoordeling, toegang tot voorzieningen. Hier gelden strenge eisen. Gebruik je AI in je sollicitatieproces? Dan zit je mogelijk hier.
• Beperkt risico: AI waarmee mensen direct te maken hebben, zoals een chatbot of gegenereerde teksten/afbeeldingen. Hoofdregel: wees transparant — laat weten dat het om AI gaat. Hier zit het gros van het mkb.
• Minimaal risico: de rest (denk aan een spamfilter of AI die intern een proces versnelt). Weinig tot geen extra verplichtingen.

Stap 3 — Regel de transparantie

Val je in “beperkt risico” (de meest voorkomende situatie), dan is de kern simpel: mensen moeten weten dat ze met AI te maken hebben. Praktisch betekent dat: een chatbot die zich als bot voorstelt, en met AI gemaakte content die als zodanig herkenbaar is. Regel dit gewoon netjes; het is geen groot werk en het schept vertrouwen.

Stap 4 — Leg vast wat je doet

Je hoeft geen dik dossier te maken, maar leg kort vast welke AI je gebruikt, waarvoor, en waarom je die in een bepaalde risicoklasse plaatst. Bij een controle of vraag van een klant heb je dan een helder verhaal. Zit je in “hoog risico”, dan is de documentatie- en toezichtplicht een stuk zwaarder — schakel dan hulp in.

Stap 5 — Check je leveranciers

Gebruik je AI van een leverancier (en dat doe je bijna altijd), vraag dan hoe zij met de AI Act omgaan. Aanbieders van de grote AI-modellen hebben eigen verplichtingen; jij leunt op wat zij aanleveren. Een leverancier die daar geen antwoord op heeft, is een waarschuwingssignaal.

Stap 6 — Denk aan de AVG, die staat er los van

De AI Act gaat over AI; de AVG gaat over persoonsgegevens. Verwerkt je AI klant- of personeelsgegevens, dan geldt de AVG gewoon óók. Die twee door elkaar halen is een veelgemaakte fout.

Wat vooral wordt overschat

De grootste misvatting is dat elk AI-gebruik zwaar gereguleerd is. Voor de meeste mkb-bedrijven is de praktische uitkomst: je zit in “beperkt” of “minimaal risico”, je regelt de transparantie, je legt kort vast wat je doet, en klaar. Raak dus niet in paniek — maar sla stap 2 niet over, want juist het sollicitatie- en kredietstuk (“hoog risico”) wordt weer onderschat.

Wil je zeker weten waar jouw AI-gebruik valt en wat je moet vastleggen? Dat nemen we mee in de eerste sessie — inclusief een eerlijke inschatting of je iets moet regelen of dat je gewoon door kunt.