EU AI Act voor het MKB, praktisch stappenplan voor 2026-2027

De EU AI Act is de eerste grote wet ter wereld die specifiek over kunstmatige intelligentie gaat. Vanaf 2 augustus 2026 is het hoofddeel van kracht, en dan is niet-compliance niet langer een theoretisch risico. Voor grote techbedrijven is de impact enorm, maar ook voor een gemiddeld MKB in de Kempen verandert er iets. De vraag is alleen: wat precies, en wat moet je wanneer doen?

De wet zelf is ruim driehonderd pagina's dik en zit vol met juridisch Engels. Voor de meeste ondernemers in de regio is dat onleesbaar, en gelukkig ook niet nodig. Wat je wél nodig hebt is een praktisch stappenplan: welke categorie val je in, wat moet je uiterlijk februari 2026 geregeld hebben, wat kan tot augustus wachten, en waar haal je hulp als het nodig is?

Dit artikel is dat actieplan. Voor de wet-inhoudelijke toelichting verwijs ik naar het eerdere artikel EU AI Act voor het MKB, wat verandert er in augustus 2026 op deze site. Hier gaat het om: wat doe je wanneer, en hoe pak je het praktisch aan.

Geldt de wet voor jou? (beslismatrix)

Eerst de hamvraag. Niet elk MKB hoeft hetzelfde te doen. Er zijn twee rollen in de wet, en daarbinnen vier risicocategorieën. Jouw combinatie bepaalt wat je moet regelen.

De eerste vraag: ben je een provider of een deployer? Een provider is iemand die een AI-systeem op de markt brengt onder eigen naam of merk. Een deployer is iemand die AI gebruikt in zijn bedrijf, maar de tool zelf niet bouwt. Voor de overgrote meerderheid van het Kempische MKB geldt: je bent deployer, niet provider. Dat is goed nieuws, want voor deployers is het regime aanzienlijk lichter.

Ben je deployer? Ga naar het stappenplan verderop. Ben je provider (bijvoorbeeld een SaaS-bouwer in Eindhoven-rand die een eigen AI-chatbot verkoopt), dan gelden aanvullende verplichtingen waarover verderop meer.

De risicocategorieën, waar val jij in?

De wet deelt AI-systemen in vier risicocategorieën in. Welke categorie je bent, bepaalt wat je moet doen.

Voor het overgrote deel van de Kempische MKB's zit de AI-inzet in categorie "minimaal risico" (tekst schrijven, beelden genereren, mails samenvatten) of "beperkt risico" (een klant-chatbot op je website). Dat scheelt. Maar er zijn uitzonderingen die je wel moet kennen.

• Uitzendbureau dat AI gebruikt voor CV-screening of kandidaat-selectie
• Administratiekantoor of bank-kantoor dat AI inzet voor kredietbeoordeling van ondernemers
• Zorgpraktijk die AI gebruikt voor diagnose-ondersteuning
• Onderwijsinstelling of kinderopvang die AI inzet voor leerling-beoordelingen
• Verzekeringskantoor dat AI gebruikt voor risico-inschatting bij polisafsluiting

Als je in één van deze groepen valt, is het regime zwaarder. Zo niet, dan is de hoofdverplichting voor jou: AI-literacy en transparantie.

Verplichting 1: AI-literacy (artikel 4)

Vanaf 2 februari 2026 zegt artikel 4 van de AI Act dat alle medewerkers die AI gebruiken "voldoende AI-geletterd" moeten zijn. Dit geldt voor élke organisatie die AI inzet, ongeacht grootte of sector. Voor een bakker in Hapert met twee medewerkers die ChatGPT gebruikt, en voor een bouwbedrijf in Bladel met vijftien man, geldt hetzelfde principe.

Wat betekent "voldoende AI-geletterd"? De wet is daar bewust niet te specifiek in. Maar op basis van de guidelines die de Commissie inmiddels heeft gepubliceerd, komt het neer op drie dingen:

Voor grotere MKB's of sectoren met hoger risico (zorg, financieel) kan een uitgebreidere training nodig zijn. De branche-organisaties publiceren inmiddels eigen curricula, en er zijn commerciële aanbieders. Ook de Brabantse Ontwikkelings Maatschappij (BOM) en het Digital Trust Center bieden bepaalde trainingen aan, soms gesubsidieerd voor MKB.

Verplichting 2: Transparantie bij beperkt-risico AI

Als je AI gebruikt in een situatie waarbij eindgebruikers er direct mee interacteren, moet je dat kenbaar maken. De wet onderscheidt drie gevallen.

Voor een installateur in Valkenswaard die een chatbot op de website heeft voor eerste klantvragen: voeg de AI-disclosure toe in de intro-bubbel. Klaar. Voor een webshop in Bergeijk met AI-gegenereerde productfoto's: vermeld in de footer of productbeschrijving dat beelden AI-gegenereerd zijn. Voor een B&B in Netersel met AI-herschreven reviews: niet doen, dat raakt eerder aan reclame-recht dan AI Act.

Verplichting 3: Documentatieplicht (voor hoog-risico)

Als je écht in de hoog-risico categorie valt, verandert er meer. Dit is het strikte regime:

Voor het overgrote deel van de Kempische MKB's is dit niet van toepassing. Maar wees kritisch: denk je dat je een hoog-risico toepassing hebt, laat dan kort een AVG-jurist of AI-specialist meekijken. De boetes voor niet-compliance in deze categorie zijn aanzienlijk.

Het stappenplan voor 2026

Hieronder een maand-voor-maand planning. Pas aan naar je eigen situatie, maar gebruik het als draaiboek.

1. Januari 2026: inventariseer welke AI-tools je (en je team) gebruikt. Vraag expliciet rond, want de praktijk is dat collega's dingen testen zonder het te zeggen. Maak een lijst: tool, doel, wie gebruikt het, welke data gaat erin.
2. Januari-februari 2026: categoriseer elk tool in risiconiveau. Gebruik de tabel hierboven. Voor de meeste tools kom je uit op "minimaal risico" of "beperkt risico".
3. Vóór 2 februari 2026: rond AI-literacy training af voor alle medewerkers die AI gebruiken. Documenteer wie heeft deelgenomen. Dit is nu wettelijk verplicht.
4. Februari 2026: check of je toepassingen hebt die onder de verboden categorie vallen (zie warning hierboven). Zo ja, stopzetten.
5. Maart-april 2026: pas je privacy-statement, algemene voorwaarden en (waar nodig) arbeidsovereenkomsten aan. Vermeld AI-gebruik transparant.
6. Mei-juli 2026: voor chatbots en AI-gegenereerde content: implementeer transparantie-labels. Zorg dat eindgebruikers weten wat ze voor zich hebben.
7. Juli 2026: volledige compliance-check voor de 2 augustus deadline. Doorloop je checklist (verderop). Los laatste puntjes op.
8. 2 augustus 2026: het hoofddeel van de AI Act is van kracht. Vanaf nu kan de toezichthouder actief controleren en handhaven.
9. Augustus-december 2026: monitor publicaties van de AP en sector-specifieke toezichthouders. In de eerste maanden zullen er verduidelijkingen komen over hoe de wet precies wordt uitgelegd.
10. 2027 en verder: jaarlijkse review. Nieuwe tools erbij? Nieuwe guidance van toezichthouder? Jaarlijkse AI-literacy-refresher.

Als je AI-producten aanbiedt (provider)

Een kleinere groep in de Kempen valt in de provider-categorie. Dat zijn onder andere:

• SaaS-bouwers in Eindhoven-rand die een eigen AI-product verkopen
• Consultants die white-label AI-oplossingen leveren aan klanten
• Bedrijven die een AI-model trainen op eigen data en dat als dienst aanbieden
• Bureaus die AI-gegenereerde content als product verkopen

Voor providers is het regime aanzienlijk uitgebreider. Naast alles wat een deployer moet, moet een provider ook:

Dit is echt juristenwerk. Als je provider bent, plan een gesprek met een gespecialiseerd AI-jurist. De Europese Commissie heeft een handreiking voor MKB-providers gepubliceerd op digital-strategy.ec.europa.eu die een goed startpunt is, maar dit niet vervangt.

Sancties: wat kost niet-compliance?

De boetes zijn substantieel. De wet onderscheidt drie niveaus.

Maar: onderschat het niet. Zelfs een boete van enkele duizenden euro's kan een kleinbedrijf pijn doen, en de reputatieschade bij een publieke handhaving is vaak groter dan de geldboete zelf. Doe het goed omdat het de moeite waard is, niet omdat je bang moet zijn.

Hulp en ondersteuning

Je staat er niet alleen voor. Er zijn verschillende instanties die hulp aanbieden aan MKB's, vaak gratis of tegen beperkte kosten.

Sector-specifieke aandachtspunten

Een aantal sectoren verdient extra aandacht omdat ze waarschijnlijk in de hoog-risico categorie vallen of daar dicht tegenaan zitten.

Zelf aan de slag: de 2026-checklist

Loop deze checklist door vóór 2 februari 2026 (voor de AI-literacy deadline) en opnieuw vóór 2 augustus 2026 (voor het hoofddeel).

1. Inventarisatie: welke AI-tools worden binnen je bedrijf gebruikt? Lijst compleet?
2. Rol: ben je voor elk tool deployer of provider?
3. Risicoclassificatie: welk risiconiveau heeft elk tool voor jouw gebruik?
4. Verboden toepassingen: zit er iets tussen wat verboden is per 2 februari 2026? Zo ja, gestopt?
5. AI-literacy training: afgerond vóór 2 februari 2026? Gedocumenteerd (wie, wanneer, wat)?
6. Transparantie: chatbots en AI-gegenereerde content correct gelabeld?
7. Hoog-risico documentatie: als van toepassing, risicoanalyse, menselijk toezicht, technische documentatie op orde?
8. AVG-compliance: gecombineerd met AVG-regels (verwerkersovereenkomst, register, privacy-statement)?
9. Medewerker-afspraken: weten medewerkers wat wel en niet mag? Staat het in een interne richtlijn?
10. Incident-procedure: weten medewerkers wat te doen als AI een fout maakt of er iets misgaat?
11. Provider-verplichtingen (alleen indien van toepassing): CE-markering, technische documentatie, post-market monitoring?
12. Jaarlijkse review: staat er een herinnering in de agenda voor 2027?

Voor meer verdieping: lees ook AI en de AVG, wat mag wel voor de privacy-kant van AI-inzet, en het oorspronkelijke wet-uitleg artikel EU AI Act voor het MKB, augustus 2026 voor wat er precies in de wet staat.