AI Act 2 augustus: wat het MKB de komende honderd dagen moet regelen

Op 2 augustus 2026 wordt het belangrijkste deel van de Europese AI Act van kracht. Vandaag is dat over zo'n honderd dagen. Voor wie nog moet beginnen is dat krap maar haalbaar; voor wie al bezig is, is dit het moment om de losse eindjes vast te knopen. In de Kempen — waar het MKB volgens onze laatste meting voor 95% uit dienstverlening, detailhandel, bouw, zorg en agrosector bestaat — gebruikt inmiddels een meerderheid van de bedrijven dagelijks AI-tools. ChatGPT op de telefoon van de boekhouder, Microsoft Copilot in de offertesoftware, een chatbot op de website, een AI-gestuurde fotoclassificatie bij een verzekeraar. Allemaal toepassingen die per 2 augustus binnen de scope van de wet vallen.

Dit artikel is geen volledige uitleg van de AI Act — die hebben we al beschreven in EU AI Act voor het Kempische MKB, praktijkcheck en in het uitgebreidere AI Act stappenplan voor MKB. Wat we hier doen: vijf concrete branchevoorbeelden uit de Kempen, een minimale beleidsregel die je in een uur kunt schrijven, een eerlijk gesprek over wat de toezichthouders sinds januari 2026 al hebben uitgestraald, en een T-100-checklist die je vrijdag kunt afvinken.

De minimale verplichtingen voor de meeste MKB'ers

In de korte versie: voor het overgrote deel van het Kempische MKB is de wet aanzienlijk lichter dan de eerste paniekberichten in 2024 deden vermoeden. Je bent in de meeste gevallen deployer — gebruiker van AI-systemen die anderen hebben gebouwd — niet provider. Voor deployers van niet-hoog-risicotoepassingen zijn er drie kernverplichtingen:

1. Transparantie naar je klanten wanneer ze met AI te maken krijgen (bijvoorbeeld een chatbot die niet duidelijk een chatbot is, of automatisch gegenereerde content die als menselijk wordt gepresenteerd).
2. Bewustwording bij medewerkers — zorgen dat de mensen die de AI gebruiken weten wat hij wel en niet kan, en wat je intern wel en niet doet met die tools.
3. Documentatie van inzet — kunnen aantonen welke AI-systemen je inzet, voor welk doel, en welke afspraken je daarover hebt.

Dat is grotendeels één A4-document, eenmalig vastleggen, en jaarlijks updaten. Geen extra software, geen consultant, geen audit-rapport. Voor de meeste MKB-bedrijven is het werk in een dag te doen.

Wat het zwaarder maakt: zit je in een hoog-risicodomein (kredietverlening, werving en selectie, kritieke infrastructuur, gezondheidsdiagnostiek, biometrie), of bouw je zelf AI-systemen waar anderen op steunen, dan gelden uitgebreidere verplichtingen — risicobeheer, datakwaliteitseisen, post-market-monitoring. In de Kempen raakt dat een minderheid van de bedrijven, maar wel een belangrijke (zorginstellingen, recruitment-bureaus, AI-startups, financieel adviseurs).

Vijf cases per sector — wat is er per branche te doen?

Case 1 — Het accountantskantoor in Eindhoven dat scan-en-boek gebruikt

Een MKB-accountantskantoor met dertig medewerkers werkt met software waarbij bonnen en facturen automatisch worden gescand en in de boekhouding geboekt. De AI achter het systeem (geleverd door een externe softwareleverancier) doet OCR, classificatie en boekingsvoorstellen.

Case 2 — Het recruitment-bureau in Veldhoven dat CV's filtert

Een wervingsbureau gebruikt een AI-tool die binnenkomende CV's automatisch beoordeelt op match met openstaande functies. Het bureau bemiddelt vooral hightech-functies in de Brainport-keten.

Case 3 — Het autobedrijf in Bladel dat foto's gebruikt voor schadetaxatie

Een autobedrijf met een eigen schadeafdeling werkt met een AI-systeem dat schadefoto's analyseert en een eerste taxatie genereert. Het systeem leert van eerdere taxaties en dossiers van het bedrijf.

Case 4 — De webwinkel in Hapert die productfoto's automatisch genereert

Een online winkel die werkkleding en arbeidsmiddelen verkoopt gebruikt AI-tools om productfoto's te bewerken (achtergrond verwijderen, kleuraanpassingen, stijlvariaties genereren). De resultaten worden gepubliceerd op de webshop en sociale media.

Case 5 — De AI-startup in Eindhoven die een eigen tool levert

Een softwarebedrijf in Eindhoven levert een AI-platform aan transportbedrijven voor route-optimalisatie. Klanten zijn MKB-bedrijven in en buiten de Kempen.

De minimale beleidsregel — één A4 voor het hele bedrijf

Voor het overgrote deel van het MKB volstaat één eenvoudig intern document. Dit is de minimale invulling die in onze observatie van Kempische MKB-bedrijven werkt:

> AI-gebruiksregels [Bedrijfsnaam] — vastgesteld [datum], herzien [jaarlijks] > > 1. Welke AI-tools gebruiken wij intern: [lijst, bijvoorbeeld: ChatGPT (OpenAI), Microsoft Copilot, factuurherkenning Moneybird, chatbot website (leverancier X), beeldbewerking Adobe Firefly] > 2. Wat we ermee doen: [korte omschrijving per tool] > 3. Wat we niet met AI doen: [lijst — bijvoorbeeld: definitief beslissen over personeelszaken zonder menselijk oordeel, klanten persoonlijke informatie verwerken zonder hun toestemming, juridische adviezen genereren en doorgeven zonder menselijke check] > 4. Welke gegevens we niet in AI-tools invoeren: [lijst — persoonsgegevens van derden, bedrijfsgevoelige informatie van klanten, broncode van klantsystemen, etc.] > 5. Hoe medewerkers worden getraind: [eenmalige sessie bij in dienst treden, jaarlijkse herhaling, intern aanspreekpunt vragen] > 6. Hoe wij klanten informeren: [verwijzing naar website-disclaimer of standaardpassage in algemene voorwaarden] > 7. Hoe wij omgaan met fouten: [meldingsroute, leeractie] > 8. Verantwoordelijke binnen het bedrijf: [naam + functie]

Dat is het. Eén pagina, ondertekend door de directeur, gedeeld met alle medewerkers, jaarlijks herzien. Voor 95% van de Kempische MKB-bedrijven dekt dit de transparantie-, bewustwordings- en documentatieplicht.

Wat we sinds januari 2026 al weten over de toezichtsaanpak

In de eerste maanden van 2026 zijn er nog geen handhavingsbesluiten gepubliceerd — dat zou ook prematuur zijn voor een wet die pas in augustus echt in werking treedt. Maar uit verschillende signalen kunnen we wel een richting opmaken:

• De Autoriteit Persoonsgegevens (AP) — die in Nederland een kerntaak in het AI-Act-toezicht heeft — is in maart begonnen met het publiceren van guidance. Vooralsnog gericht op overheden en grote organisaties; voor MKB-specifieke richtlijnen wachten we nog. De toon: pragmatisch, met focus op kwaadwillendheid in plaats van procedurele perfectie.
• Op Europees niveau is de AI Office actief gestart met sector-werkgroepen, waarvan de eerste publicaties (over de definitie van "AI-systeem", over risicocategorisatie) worden meegenomen in nationale guidance.
• In Vlaanderen loopt een vergelijkbaar traject via de Belgische Gegevensbeschermingsautoriteit, in samenwerking met de Vlaamse digitalisatie-organisaties. Voor wie aan beide kanten van de Kempen werkt: de regelgeving is identiek, maar de toezichthoudende instanties verschillen.

De algemene boodschap die uit gesprekken met juridische adviseurs en sectorverenigingen oprijst: de toezichthouders zijn niet uit op het straffen van mkb-bedrijven die hun best doen. De handhaving wordt naar verwachting eerst gericht op grote spelers, op sectoren met evidente misstanden en op duidelijke kwaadwillendheid (zoals het verzwijgen van een AI in besluitvormingsprocessen waar dat juist zichtbaar moet zijn).

Dat betekent niet dat MKB-bedrijven hun voorbereidingen kunnen overslaan. Maar het betekent wel dat een eerlijke poging — zoals het invullen van het minimale beleidsdocument hierboven, een medewerkers-training en transparantie naar klanten — in de praktijk een sterke positie geeft. Wie kan aantonen dat hij in 2026 actief de wet heeft gevolgd, hoort zeer waarschijnlijk niet bij de eerste handhavingsdoelen.

De T-100-checklist

Honderd dagen voor de deadline (vandaag minus 5 dagen, dus eigenlijk T-95): een werkbare opbouw voor de komende drie maanden.

Wat als je net niet klaar bent op 2 augustus?

In de meeste handhavingsregimes — zo ook bij de AVG sinds 2018 — wordt een eerlijke, gedocumenteerde voorbereiding belangrijker geacht dan harde deadlines. Wie op 2 augustus halverwege is met implementatie maar kan aantonen dat hij ermee bezig is, loopt geen significant risico op directe sanctionering. Wie ervoor heeft gekozen niets te doen en een klacht of melding krijgt, staat zwakker.

Het pragmatische advies: zorg dat je op 2 augustus minimaal het beleidsdocument hebt en een medewerkers-sessie hebt gehouden. De rest mag je in september verfijnen. Wat je niet wilt is op 2 augustus geen enkel papier kunnen overleggen — dat is wat een handhaver een serieus signaal vindt.

Verder lezen

• EU AI Act voor het Kempische MKB — praktijkcheck — meer detail over de vier acties en de checklist
• AI Act stappenplan voor MKB — de juridisch-inhoudelijke uitleg met alle risicocategorieën en provider-deployer-onderscheid
• AI en de AVG — wat mag wel — privacyregels die naast de AI Act onverminderd gelden
• AI-tools voor ondernemers slimmer werken — praktisch overzicht van de tools die de meeste MKB-bedrijven nu gebruiken
• AI-valkuilen — hallucinaties, bias en checkprotocol — voor de bewustwordingssessie met je team