De EU AI-Wet: waar het werkelijk staat, en wat u er nu mee moet

De AI-verordening geldt, maar minder acuut dan lang is voorspeld. De verplichtingen voor hoogrisico-AI zijn via de Digital Omnibus verschoven naar 2 december 2027. Wat op 2 augustus 2026 wel gaat gelden is de transparantieplicht: wie een AI-systeem aanbiedt dat rechtstreeks met mensen praat, moet die mensen laten weten dat zij met AI te maken hebben. De boetes lopen op tot €35 miljoen of 7% van de wereldwijde jaaromzet, maar dat hoogste tarief geldt alleen voor de verboden praktijken uit artikel 5. Voor andere overtredingen liggen de maxima op €15 miljoen of 3%. Weet u waar u staat? Begin met inzicht via onze gratis NIS2-scan.

Hier zijn drie cruciale ontwikkelingen die directe actie vereisen.

1. In Nederland kan er nog niets worden gehandhaafd

De Uitvoeringswet AI-verordening lag van 20 april tot 1 juni 2026 in internetconsultatie en is nog niet in werking. Er zijn in Nederland geen markttoezichtautoriteiten aangewezen en er is geen sanctiekader. De verordening werkt rechtstreeks, dus de verplichtingen bestaan, maar boetes opleggen kan hier op dit moment niet. Andere lidstaten zijn wel verder: Ierland heeft vijftien autoriteiten aangewezen. Wat dat voor u betekent hangt dus af van waar u gevestigd bent en waar u levert.

2. Let op: Nationale Regels Kunnen Strenger Zijn

De EU-wet functioneert als een 'vloer', niet als een 'plafond'. Lidstaten hebben de vrijheid om aanvullende, strengere regels op te leggen. Italië heeft dit al gedaan met een nationale AI-wet die verder gaat dan de EU-vereisten, inclusief gevangenisstraffen voor het verspreiden van schadelijke, door AI gegenereerde inhoud. U moet zich dus niet alleen richten op de EU-regels, maar ook op mogelijke strengere nationale wetgeving.

3. De Verborgen Kosten van 'Laag-Risico' AI

De wet classificeert AI-systemen op basis van risico. Systemen die worden gebruikt in domeinen als werkgelegenheid (bijv. CV-screening) of toegang tot diensten (bijv. kredietbeoordeling) worden als 'hoog-risico' bestempeld.

Er is een uitzondering voor systemen die "geen significant risico op schade" met zich meebrengen. Hoewel dit een aantrekkelijke uitweg lijkt, ligt de bewijslast volledig bij u. U moet formeel documenteren en bewijzen waarom uw systeem laag-risico is, voordat u het in gebruik neemt. Een zwakke onderbouwing kan leiden tot een retroactieve classificatie als hoog-risico, met alle boetes van dien.

Het correct inschatten van risico's vereist vaak inzicht in hoe IT-systemen (kantoor) interacteren met operationele technologie (OT, fabriek). Leer meer over deze cruciale connectie in onze gratis gids: de vijf duurste fouten op de fabrieksvloer.

Een praktisch voorbeeld: Een ZZP-recruiter die een AI-tool gebruikt om CV's te scannen, valt onder 'hoog-risico' omdat dit de toegang tot werkgelegenheid beïnvloedt. De recruiter moet kunnen aantonen dat het proces eerlijk is en dat er menselijk toezicht is om een potentieel verwoestende boete te voorkomen.

Actieplan: Voer Vandaag een 'AI-Risico-Inventarisatie' uit

De eerste, cruciale stap naar compliance is bewustwording.

• Maak een simpele lijst van alle AI-toepassingen die u in uw bedrijf gebruikt of overweegt.
• Stel voor elke toepassing de vraag: "Beïnvloedt dit systeem beslissingen over mensen (klanten of medewerkers)?".
• Als het antwoord 'ja' is, markeer dit dan als een potentieel 'hoog-risico' systeem.

Deze simpele inventarisatie is de start om de juiste vragen te stellen en de maatregelen te nemen die nodig zijn om catastrofale boetes te vermijden. In een markt waar het vertrouwen in AI daalt, kan aantoonbare compliance zelfs een krachtig concurrentievoordeel worden. Start nu uw inventarisatie.