AI-verordening: gids voor Nederlandse mkb'ers

Iemand in uw team is Copilot gaan gebruiken, of er is ineens een AI-functie opgedoken in software die u al jaren afneemt zonder dat u daar zelf om heeft gevraagd. En dan valt in een gesprek het woord 'AI-verordening', met een ondertoon alsof u misschien iets over het hoofd heeft gezien. U bent niet de enige — de meeste Nederlandse mkb'ers hebben nog nooit formeel vastgesteld of, en in welke mate, deze regelgeving op hun eigen AI-gebruik van toepassing is. Deze pagina is bedoeld om die situatie te verhelderen, zonder juridisch jargon en zonder te doen alsof het allemaal eenvoudig is.

Een Europese verordening die direct geldt, zonder Nederlandse wet nodig

Verordening (EU) 2024/1689, de AI-verordening of AI Act, is een verordening en geen richtlijn. Dat betekent dat de tekst rechtstreeks geldt in Nederland, zonder dat er eerst een nationale implementatiewet nodig is. Wat Nederland wél moet doen, is de toezichthoudende autoriteiten aanwijzen en het markttoezicht organiseren — institutioneel werk dat binnen de Unie per lidstaat in een ander tempo verloopt.

Voor Nederlandse mkb'ers is dit relevant in sectoren waar sensordata en AI al hand in hand gaan: in de glastuinbouw rond het Westland sturen AI-modellen al klimaat- en oogstvoorspellingen aan, en in de logistiek rond de haven van Rotterdam draait routeoptimalisatie en predictief onderhoud steeds vaker op algoritmes. Veel van die bedrijven gebruiken AI dus al in productie, zonder ooit expliciet te hebben vastgesteld of en in welke mate de AI-verordening op hen van toepassing is.

Wie houdt in Nederland toezicht op de AI-verordening

De Autoriteit Persoonsgegevens (AP) is al sinds de invoering van de AVG in 2018 de Nederlandse privacytoezichthouder, met wortels die teruggaan tot het vroegere College Bescherming Persoonsgegevens. Voor de AI-verordening is het institutionele landschap jonger en nog in opbouw: de AP speelt een centrale rol, zeker bij AI-systemen die persoonsgegevens verwerken, maar treedt niet alleen op — sectorale toezichthouders zoals de AFM (financiële dienstverlening) en de ACM (consumentenbescherming) zijn eveneens relevant, afhankelijk van de sector en het type toepassing. De definitieve aanwijzing van markttoezichthouders voor de AI-verordening is nog niet overal uitgekristalliseerd; beschouw dit als de op dit moment gangbare stand van zaken, niet als het laatste officiële woord. Voor een mkb-bedrijf dat vooral AI-tools inkoopt in plaats van zelf ontwikkelt, is het praktische gevolg dat u in de eerste plaats bij de AP moet zijn zodra persoonsgegevens in het spel zijn, en pas in tweede instantie bij een sectorale toezichthouder als uw AI-toepassing binnen een specifiek gereguleerd domein valt.

De risiconiveaus in het kort

De verordening behandelt niet alle AI hetzelfde: er zijn vier niveaus. Een beperkt aantal praktijken is verboden wegens onaanvaardbaar risico, zoals social scoring op grote schaal. Een hoogrisiconiveau geldt voor gevoelige toepassingen zoals werving en selectie, personeelsbeoordeling en kredietwaardigheidsbeoordeling, met verzwaarde verplichtingen. Een beperkt-risiconiveau legt vooral transparantieverplichtingen op, bijvoorbeeld het melden dat content door AI is gegenereerd of dat een klant met een chatbot spreekt. En een minimaal-risiconiveau, waar de meeste dagelijkse tools onder vallen, zonder nieuwe specifieke verplichtingen.

De boetes: bedragen die u wilt kennen

Het sanctieregime ligt vast in artikel 99 van de verordening en geldt EU-breed, dus ook in Nederland. Het doel van de tekst is niet om boetes te innen maar om reële risico's te voorkomen; toch is het nuttig de bedragen scherp te hebben:

• Tot 35 miljoen euro of 7% van de wereldwijde jaaromzet, wat hoger is, voor verboden AI-praktijken.
• Tot 15 miljoen euro of 3% van de wereldwijde jaaromzet voor de meeste andere overtredingen, inclusief die van aanbieders en gebruiksverantwoordelijken (deployers) van hoogrisicosystemen.
• Tot 7,5 miljoen euro of 1% van de wereldwijde jaaromzet bij onjuiste of misleidende informatie aan de autoriteiten.

Belangrijk voor een mkb-bedrijf: artikel 99, lid 6, voorziet expliciet in proportioneel lagere plafonds voor mkb'ers en start-ups. De tekst is niet bedoeld om een bedrijf van twintig medewerkers op dezelfde voet te behandelen als een multinational, ook al schetsen de bedragen hierboven het algemene kader.

Wat uw mkb-bedrijf concreet moet nagaan

In plaats van artikelnummers te onthouden, is het nuttiger om uzelf een paar concrete vragen te stellen over uw eigen AI-gebruik:

• Is uw bedrijf 'aanbieder' (u ontwikkelt of laat een AI-systeem ontwikkelen) of 'gebruiksverantwoordelijke'/deployer (u koopt en gebruikt al gebouwde tools)? Verreweg de meeste mkb'ers zijn deployer, geen aanbieder.
• Raakt een van uw AI-toepassingen een hoogrisicodomein uit bijlage III, zoals werving en selectie, personeelsbeoordeling of kredietwaardigheidsbeoordeling — denk aan HR-tools bij logistieke of agrarische werkgevers met veel seizoenspersoneel?
• Gebruikt u een chatbot richting klanten, of publiceert u door AI gegenereerde content zonder dit te vermelden? Dat brengt doorgaans transparantieverplichtingen met zich mee, ook zonder hoogrisicostatus.
• Weet u zeker welke software die uw bedrijf al betaalt het afgelopen jaar stilletjes een AI-functie heeft toegevoegd, zonder dat iemand dat formeel heeft beoordeeld?

Algemene informatie, geen juridisch advies

Al het bovenstaande is algemene informatie om u op weg te helpen, geen juridisch advies over uw specifieke situatie. De AI-verordening kent nuances die één artikel niet volledig kan dekken, en de toepassing hangt af van het precieze gebruik per bedrijf. Wanneer Komplya dit soort content publiceert, maken we duidelijk onderscheid tussen juridisch gecontroleerde inhoud en materiaal dat nog een concept is, zodat u weloverwogen gebruik kunt maken van wat u leest.

De snelste weg van 'ik denk dat dit voor ons geldt' naar een helder antwoord is uw daadwerkelijke AI-gebruik puntsgewijs doorlopen. Beantwoord een kort vragenformulier over uw AI-gebruik en ontvang een overzicht in gewone taal van wat waarschijnlijk voor uw bedrijf geldt.