Wie houdt toezicht op de AI-verordening in Nederland?

U heeft inmiddels gelezen dat de AI-verordening voor uw bedrijf kan gelden en dat de boetes uit artikel 99 niet mals zijn. De volgende, heel praktische vraag is: wie zou er dan concreet aan de deur komen als het misgaat? De Autoriteit Persoonsgegevens, zoals bij de AVG? Een dienst waarvan u de naam nog nooit heeft gehoord? Het eerlijke antwoord is dat Nederland deze vraag nog aan het beantwoorden is, en dat dat traject zelf iets zegt over hoe u zich nu al kunt voorbereiden.

Wat de verordening van elke lidstaat vraagt

Artikel 70 van de AI-verordening verplicht elke lidstaat om ten minste één aanmeldende autoriteit en ten minste één markttoezichthoudende autoriteit aan te wijzen, met 2 augustus 2025 als formele deadline. De verordening zelf schrijft geen vaste structuur voor: een land mag één nieuwe dienst optuigen, het werk bij bestaande regulators onderbrengen, of beide combineren. Nederland koos, net als de meeste lidstaten, ervoor die deadline te laten verstrijken zonder een volledig uitgewerkt systeem — het aanwijzen van toezichthouders bleek in de praktijk overal meer tijd te kosten dan de verordening had voorzien.

De Uitvoeringswet AI-verordening: tien toezichthouders, nog geen wet

Op 20 april 2026 stuurde staatssecretaris Aerdts (Digitale Zaken) het concept van de Uitvoeringswet AI-verordening de consultatie in, met een reactietermijn tot 1 juni 2026. Dat wetsvoorstel regelt niet zozeer nieuwe regels over AI zelf — die staan al in de Europese verordening — maar wijst aan wie in Nederland gaat toezien op de naleving ervan. Het is op het moment van schrijven een wetsvoorstel, geen aangenomen wet: de tekst kan nog wijzigen tijdens de verdere parlementaire behandeling, en de datum waarop de wet daadwerkelijk in werking treedt, staat nog niet vast.

Het voorstel wijst geen nieuwe dienst aan, maar verdeelt het toezicht over tien bestaande autoriteiten, elk verantwoordelijk voor het eigen domein: de Autoriteit Persoonsgegevens (AP), de Rijksinspectie Digitale Infrastructuur (RDI), de Inspectie Leefomgeving en Transport (ILT), de Inspectie Gezondheidszorg en Jeugd (IGJ), de Nederlandse Voedsel- en Warenautoriteit (NVWA), de Nederlandse Arbeidsinspectie (NLA), de Autoriteit Financiële Markten (AFM), De Nederlandsche Bank (DNB), de procureur-generaal bij de Hoge Raad en de voorzitter van de Afdeling bestuursrechtspraak van de Raad van State. De AP en de RDI krijgen daarbinnen een coördinerende rol over het geheel, en de RDI faciliteert bovendien de regelluwe testomgevingen ('AI-zandbakken') die de verordening voorschrijft.

De rol van de AP: vangnet, plus een eigen portefeuille

Binnen dat voorstel krijgt de AP een dubbele functie. Ten eerste is de AP de aangewezen toezichthouder voor verboden AI-praktijken, voor het grootste deel van de hoogrisicosystemen uit bijlage III, en voor de transparantieverplichtingen van de verordening — denk aan de plicht om te melden dat content door AI is gegenereerd. Ten tweede fungeert de AP als vangnet-autoriteit: voor AI-toepassingen die niet duidelijk onder een van de andere negen vallen, is de AP de toezichthouder bij gebrek aan een specifiekere kandidaat. Voor haar bestaande rol onder de AVG verandert er niets — die bevoegdheid, en het handhavingsverleden dat daarbij hoort, hebben we in ons artikel over de AVG en de AI-verordening al beschreven. Het is vooral deze combinatie van vangnetrol en eigen portefeuille die de AP in de praktijk tot het meest voorkomende aanspreekpunt voor een gemiddeld mkb-bedrijf maakt, ook onder het nieuwe voorstel.

Sectorale toezichthouders: wanneer een andere naam relevanter is

Voor bedrijven in een gereguleerde sector is vaak niet de AP, maar de toezichthouder die het bedrijf al kende vóór de AI-verordening, de eerst aangewezen partij:

• Bank-, verzekerings- en beleggingsdiensten, waaronder kredietscoring: AFM en DNB, elk binnen het eigen gebruikelijke terrein.
• Zorg en medische hulpmiddelen, waaronder AI-ondersteunde diagnostiek: IGJ.
• Voedselveiligheid en productinformatie: NVWA.
• Vervoer, infrastructuur en leefomgeving: ILT.
• Werving, selectie en personeelsbeoordeling met AI: de Nederlandse Arbeidsinspectie (NLA), naast de AP zodra persoonsgegevens in het spel zijn.
• Geen van deze past duidelijk bij uw situatie: dan is de AP, als vangnet-autoriteit, het meest voor de hand liggende startpunt.

Wat dit vandaag betekent voor uw mkb-bedrijf

Zolang de Uitvoeringswet nog niet is aangenomen, is er geen Nederlandse autoriteit met een volledig afgebakend, wettelijk vastgelegd mandaat specifiek voor de AI-verordening. Dat betekent niet dat er niets te doen valt: de verordening zelf geldt al, met de risiconiveaus en boetebedragen die we in onze gids voor Nederlandse mkb'ers hebben beschreven, ongeacht hoe ver de Uitvoeringswet is. Voor de meeste mkb-bedrijven die AI-tools inkopen in plaats van zelf ontwikkelen, verandert de uiteindelijke toezichtstructuur weinig aan de dagelijkse praktijk: zodra persoonsgegevens verwerkt worden — HR, klanten, een chatbot — blijft de AP het meest waarschijnlijke aanspreekpunt, met een sectorale toezichthouder als aanvulling zodra uw branche daar aanleiding toe geeft.

Een checklist om uzelf te oriënteren

• Verwerkt uw AI-toepassing, ook indirect, persoonsgegevens van een identificeerbare persoon? Dan is de AP hoogstwaarschijnlijk (mede) bevoegd.
• Valt uw sector al onder een specifieke toezichthouder (financiële dienstverlening, zorg, voeding, vervoer, arbeid)? Die autoriteit blijft er waarschijnlijk ook onder de AI-verordening bovenop komen.
• Gaat het om een hoogrisicotoepassing uit bijlage III, zoals werving, kredietscoring of medische hulpmiddelen? Reken dan op extra aandacht van de AP of de sectorale toezichthouder samen.
• Blijft u na de eerste drie vragen met twijfel zitten? De AP is, als vangnet-autoriteit in het huidige voorstel, het meest voor de hand liggende startpunt voor een mkb-bedrijf.

Algemene informatie, geen juridisch advies

Al het bovenstaande is algemene informatie om u op weg te helpen, geen juridisch advies over uw specifieke situatie. De Uitvoeringswet AI-verordening is op het moment van schrijven een consultatievoorstel, geen aangenomen wet, en de uiteindelijke tekst en inwerkingtredingsdatum kunnen nog wijzigen. Wanneer Komplya dit soort content publiceert, maken we duidelijk onderscheid tussen juridisch gecontroleerde inhoud en materiaal dat nog een concept is, zodat u weloverwogen gebruik kunt maken van wat u leest.

De snelste manier om te zien welke toezichthouder waarschijnlijk bij uw situatie hoort, is uw eigen AI-gebruik puntsgewijs doorlopen in plaats van deze lijst zelf te blijven interpreteren. Beantwoord een kort vragenformulier over uw AI-gebruik en ontvang een overzicht in gewone taal van wat waarschijnlijk voor uw bedrijf geldt.