EU AI Act voor kmo's: wat verandert er sinds 2 augustus 2026

Wat er sinds 2 augustus 2026 geldt

Op 2 augustus 2026 werd het grootste deel van de Europese AI-verordening van toepassing. In de berichtgeving ging het vooral over de makers van de grote taalmodellen. De vraag die bij een kmo leeft, is praktischer. Er draait hier iets mee in de administratie, moet daar nu iets voor gebeuren?

Voor de meeste bedrijven is het antwoord geruststellend. De verordening kijkt naar wat een toepassing doet en naar wie ze raakt, niet naar hoe geavanceerd de techniek is. Een systeem dat binnenkomende mail rangschikt of dat een inkoopfactuur klaarzet voor de boekhouding, valt in de lichtste categorie. Daar horen geen zware verplichtingen bij. Zwaardere verplichtingen gelden waar AI mee beslist over iemands werk, geld of gezondheid. Bij de meeste kmo-automatisatie is dat niet aan de orde.

Dit artikel is bedoeld als oriëntatie. Het is geen juridisch advies. Wij zijn ingenieurs en wij lezen de tekst zoals een bedrijf hem leest, met de vraag wat er morgen anders moet. Staat er bij u iets op het spel, dan is een jurist die uw dossier kent de juiste persoon om verder te gaan.

De verplichtingen in gewone taal

Twee dingen komen bij bijna elk bedrijf terug. Een derde speelt zodra klanten meekijken.

Het eerste is dat de mensen die met AI werken, begrijpen wat het ding doet. Dat vraagt geen opleiding met een diploma op het einde. Het komt neer op weten dat een model een leveranciersnaam verkeerd kan lezen, dat het zelden zegt dat het twijfelt en dat iemand het resultaat dus nakijkt. In de praktijk komt dat neer op een gesprek met de mensen die het gebruiken, met een paar voorbeelden van wat er kan misgaan. Wie dat weet, gebruikt zo'n systeem anders dan wie denkt dat het altijd juist is.

Het tweede is dat u weet wat er draait. Welke toepassingen gebruiken AI, wat doen ze precies, welke gegevens gaan erin en wie keurt het resultaat goed. Voor de lichtste categorie staat dat niet als verplichting in de tekst. Zodra de verplichtingen wel gelden, is die lijst het eerste wat gevraagd wordt. Het opstellen ervan kost een halve pagina.

Het derde gaat over uw klanten. Wie met een machine praat, moet dat weten. Beantwoordt een chatvenster op uw site vragen met AI, dan zegt dat venster dat. Maakt u beeld of tekst met AI die voor echt kan doorgaan, dan wordt dat herkenbaar gemaakt. Dit is de verplichting die het snelst zichtbaar wordt op een website. Ze is meestal met één zin opgelost.

Wanneer een toepassing hoog risico heet

De zware verplichtingen hangen aan een beperkte lijst toepassingen. Het gaat over AI die mee beslist over mensen: software die sollicitanten rangschikt of mee bepaalt wie promotie krijgt, een systeem dat beoordeelt of iemand krediet of een verzekering krijgt, AI die als veiligheidsonderdeel in een machine of een product zit.

Zit uw toepassing in die categorie, dan verandert er veel. Er hoort documentatie bij over hoe het systeem werkt en waarop het getraind is. Er moet iemand zijn die kan ingrijpen en er moet bijgehouden worden wat het systeem gedaan heeft. Dat werk gebeurt vooraf, niet nadat er iets misgaat.

Bij de meeste kmo's valt de administratieve automatisatie hier niet onder. Een factuur die herkend en klaargezet wordt, beslist niet over een mens. Een mail die naar de juiste collega gaat, evenmin. De grens ligt bij toepassingen die iemands kansen bepalen. Die grens is scherper dan ze op het eerste gezicht lijkt. Een systeem dat cv's voorsorteert, staat aan de andere kant ervan, ook al voelt het als gewone administratie.

Twijfelt u over een toepassing, dan helpt één vraag verder. Neemt dit systeem een beslissing die voor een mens gevolgen heeft, of zet het iets klaar dat een mens daarna beoordeelt? Het eerste vraagt om voorbereiding. Het tweede is wat de meeste kmo's vandaag draaien.

Wat dit betekent voor AI die al meedraait

Draait er vandaag al iets mee, dan is de nuttigste oefening kort. Zet op één blad welke toepassingen AI gebruiken, wat ze doen en wie het resultaat bevestigt. Zet erbij welke gegevens erin gaan en waar die gegevens bewaard worden. Wie dat blad heeft, kan elke vraag hierover beantwoorden zonder erover te moeten nadenken.

Twee dingen die op deze site al beloofd worden, doen hier meteen mee. De eerste is de menselijke klik. Een voorstel gaat pas door wanneer iemand het bevestigt en dat legt meteen vast wie de beslissing genomen heeft. De tweede is het activiteitenlogboek, waarin staat wat er binnenkwam, wat het systeem eruit haalde en wie het bevestigd heeft. Samen beantwoorden ze de vraag waar bijna elke verplichting op neerkomt: wie heeft dit laten doorgaan?

Dat is geen toeval. Wij bouwden het zo omdat een boekhouder die vraag stelt en omdat een klant ze ook stelt. Dat de wetgever dezelfde vraag stelt, maakt het werk niet zwaarder. Het maakt vooral duidelijk waarom het er stond.

Hoe wij dit in onze aanpak verwerken

Wij starten met één proces en beschrijven de scope voor er iets gebouwd wordt. In die beschrijving staat welke stappen overgenomen worden en welke stappen bij een mens blijven. Wat er niet in zit, staat er evengoed in. Dat is het deel dat achteraf de discussies voorkomt. Het is een commerciële afspraak en tegelijk het antwoord op de vraag wie waarvoor verantwoordelijk blijft.

De gegevens blijven in Europa staan en uw bestaande pakketten blijven waar ze staan. Wat het systeem doet, staat in het logboek. Waar wij een model inzetten, gebeurt dat waar het sterk is, bij het lezen en het herkennen van wat er binnenkomt. Het doorsturen en het inboeken blijven bij uw mensen.

Wie vandaag nog niets op papier heeft staan, begint het best met die lijst. Wat draait er, wat doet het en wie zet er zijn naam onder. Die drie kolommen beantwoorden de meeste vragen die een boekhouder of een klant later stelt.