AI-verordening 2026: wat het mkb moet weten
De AI-verordening geldt sinds 2 augustus 2026 en komt voor een mkb-bedrijf dat AI inkoopt neer op drie verplichtingen. De zware eisen uit bijlage III wachten tot 2 december 2027. Hier staan de data, de boeteplafonds die echt voor het mkb gelden, en wie handhaaft in Nederland, België, Frankrijk en Luxemburg.
Het korte antwoord
De AI-verordening (Verordening (EU) 2024/1689) geldt sinds 2 augustus 2026[1]. Voor een mkb-bedrijf in Nederland, België, Frankrijk of Luxemburg dat AI inkoopt in plaats van zelf bouwt, lopen er nu al drie verplichtingen: de mensen die ermee werken opleiden (artikel 4), wegblijven van de verboden praktijken (artikel 5), en zeggen dat het AI is (artikel 50). De zware eisen voor systemen met een hoog risico uit bijlage III zijn uitgesteld tot 2 december 2027 door de vereenvoudigingsverordening, de zogeheten AI Omnibus, die sinds 27 juli 2026 in werking is[1].
De tijdlijn van de AI-verordening, stap voor stap
De verordening trad op 1 augustus 2024 in werking, maar wordt in golven van toepassing. Dit zijn de data die tellen, zoals de Europese Commissie ze publiceert[1].
| Datum | Wat van toepassing wordt | Raakt het mkb? |
|---|---|---|
| 2 februari 2025 | Verboden praktijken (artikel 5) en de plicht rond AI-kennis (artikel 4) | Ja, voor elk bedrijf dat AI gebruikt |
| 2 augustus 2025 | Governanceregels en verplichtingen voor AI-modellen voor algemene doeleinden | Indirect: uw leverancier valt eronder |
| 2 augustus 2026 | Algemene toepassing, inclusief de transparantie van artikel 50; handhavingsbevoegdheden van nationale toezichthouders | Ja |
| 2 december 2026 | Verbod op systemen die niet-consensueel intiem of kinderpornografisch materiaal maken, toegevoegd door de AI Omnibus | Zelden |
| 2 december 2027 | Verplichtingen voor hoogrisicosystemen uit bijlage III (werving, personeelsbeheer, toegang tot essentiële diensten, biometrie…) | Ja als u sollicitaties of mensen met AI beoordeelt |
| 2 augustus 2028 | Hoogrisicosystemen in gereguleerde producten (bijlage I: liften, speelgoed, machines…) | Ja als u zulke producten maakt |
Het uitstel van bijlage III is geen gerucht: het komt uit de AI Omnibus, voorgesteld op 19 november 2025, politiek beklonken op 7 mei 2026 en in werking sinds 27 juli 2026[1].
Aanbieder of gebruiksverantwoordelijke: de enige vraag die telt
De verordening maakt onderscheid tussen wie een systeem op de markt brengt (de aanbieder) en wie het onder eigen verantwoordelijkheid gebruikt (de gebruiksverantwoordelijke). Een mkb-bedrijf dat een schrijfassistent, een antwoordbot of een selectiehulpmiddel aanzet, is gebruiksverantwoordelijke. Het wordt aanbieder in één duidelijk geval: wanneer het het systeem onder eigen naam of merk op de markt brengt, of het beoogde doel wijzigt.
Dat onderscheid is geen theorie: documentatieplichten, risicobeheer en conformiteitsbeoordeling liggen bij de aanbieder. De lijst van de gebruiksverantwoordelijke is korter maar echt — en bij een hoogrisicosysteem hoort daar vanaf 2 december 2027 bij dat u de ondernemingsraad of personeelsvertegenwoordiging en de betrokken werknemers informeert vóór ingebruikname op de werkvloer, en dat u logbestanden minstens zes maanden bewaart[2].
De drie verplichtingen die nu al lopen
1. Opleiden, zonder te certificeren (artikel 4)
Aanbieders en gebruiksverantwoordelijken moeten maatregelen nemen om de AI-kennis van hun mensen te vergroten, rekening houdend met hun technische kennis, opleiding en de gebruikscontext. De AI Omnibus heeft de tekst verduidelijkt: de plicht verplicht u niet om een bepaald kennisniveau per persoon te garanderen[3]. In de praktijk: een vastgelegde halve dag, een korte interne richtlijn en jaarlijks een opfrisronde doen meer dan een certificaat. De Commissie zegt praktijkvoorbeelden te publiceren op haar centrale informatieplatform[3].
2. Blijf achter de rode lijnen (artikel 5)
Negen praktijken zijn verboden. Twee raken het mkb rechtstreeks: emotieherkenning op de werkvloer en in het onderwijs, en sociale scoring. Een hulpmiddel dat beweert de stemming, stress of motivatie van een medewerker uit stem of gezicht te meten, valt onder dat verbod, dat sinds februari 2025 geldt[1]. Het is het eerste punt om te controleren voordat u software voor gespreksanalyse koopt.
3. Zeg dat het AI is (artikel 50)
Sinds 2 augustus 2026 eist artikel 50 dat mensen weten dat ze met een AI-systeem te maken hebben, tenzij dat voor een redelijk oplettende persoon evident is. Synthetische uitvoer (audio, beeld, video, tekst) moet machineleesbaar gemarkeerd zijn en herkenbaar als kunstmatig gegenereerd of gemanipuleerd. Deepfakes moeten worden vermeld, en tekst die gepubliceerd wordt om het publiek te informeren over zaken van algemeen belang ook — tenzij er menselijke redactionele controle op zat[4].
Boetes: wat een mkb-bedrijf echt riskeert
Artikel 99 kent drie niveaus: tot 35 000 000 EUR of 7 % van de wereldwijde jaaromzet voor een verboden praktijk; tot 15 000 000 EUR of 3 % voor andere overtredingen, waaronder artikel 50; tot 7 500 000 EUR of 1 % voor onjuiste of onvolledige informatie aan een toezichthouder[5]. Bij grote ondernemingen geldt het hoogste van de twee. Bij kleine en middelgrote ondernemingen draait de tekst dat om.
Rekenaanname, te vervangen door uw eigen cijfers: een bedrijf met 2 000 000 EUR omzet dat artikel 50 schendt, krijgt als theoretisch plafond min(15 000 000 EUR; 3 % × 2 000 000 EUR) = 60 000 EUR, en niet 15 000 000 EUR[5]. De tekst vraagt lidstaten bovendien om bij het opleggen van sancties rekening te houden met de belangen van kleine bedrijven en start-ups en met hun economische levensvatbaarheid[5].
Wie handhaaft in Nederland, België, Frankrijk en Luxemburg
Sinds 2 augustus 2026 ligt de handhaving bij het AI-bureau van de Commissie voor modellen voor algemene doeleinden, en bij de nationale markttoezichthouders voor systemen[1]. Dit is de stand van de lijst van de Commissie, laatst bijgewerkt op 7 september 2026[6].
| Land | Aangemeld centraal contactpunt | Status |
|---|---|---|
| Nederland | Rijksinspectie Digitale Infrastructuur (RDI) | Nationale aanwijzing nog niet definitief vastgesteld |
| België | Geen centraal contactpunt gepubliceerd | Leeg veld op de lijst van de Commissie |
| Frankrijk | Direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF) | Nationale aanwijzing nog niet definitief vastgesteld |
| Luxemburg | Commission nationale pour la protection des données (CNPD) | Nationale aanwijzing nog niet definitief vastgesteld |
Een leeg veld betekent niet dat de verordening niet geldt: ze geldt in alle zevenentwintig lidstaten. Het betekent dat het nationale loket nog niet bekend is, en dat de Commissie een inbreukprocedure kan starten tegen een lidstaat die geen toezichthouder heeft aangewezen[6]. Voor een Belgisch bedrijf blijft de reflex dezelfde als bij persoonsgegevens: leg uw keuzes schriftelijk vast.
Hoe uw buren ervoor staan
In 2025 gebruikte 19,95 % van de EU-bedrijven met tien of meer werkzame personen minstens één AI-technologie. Het verschil tussen uw vier markten is groot[7].
| Land | Bedrijven met 10 of meer werkzame personen | Bedrijven met 10 tot 49 werkzame personen |
|---|---|---|
| België | 34,54 % | 28,82 % |
| Luxemburg | 33,61 % | 30,48 % |
| Nederland | 33,21 % | 28,76 % |
| Frankrijk | 18,16 % | 15,04 % |
| Europese Unie | 19,95 % | 17,00 % |
De rem is niet alleen technisch: 5,92 % van de EU-bedrijven met tien of meer werkzame personen zegt AI niet te gebruiken door onduidelijkheid over de juridische gevolgen[7]. Precies dat neemt de tijdlijn hierboven weg. Om de eerste projecten te kiezen, zet ons stuk over de vijf taken die het mkb eerst moet automatiseren de volgorde op papier, en Flash Eurobarometer 578 over AI en algoritmisch management laat zien wat medewerkers verwachten. Raken uw toepassingen de acquisitie, dan komen de gegevensregels van de AVG erbovenop: zie B2B-prospectie en de AVG in Frankrijk, België en Nederland.
Uw checklist in zeven regels
- Zet op papier welke AI-hulpmiddelen werkelijk in gebruik zijn, ook die via een persoonlijk abonnement binnenkwamen.
- Per hulpmiddel: aanbieder of gebruiksverantwoordelijke? In negen van de tien gevallen het laatste.
- Controleer dat geen enkel hulpmiddel emoties van medewerkers meet of mensen scoort.
- Zet de melding "automatische assistent" overal waar een klant met een machine praat.
- Markeer gegenereerde inhoud en laat een mens meelezen voordat u publiceert.
- Leg een halve dag opleiding per betrokken team vast, en herhaal die jaarlijks.
- Raakt een toepassing werving, personeelsbeheer of toegang tot een essentiële dienst: zet 2 december 2027 in de agenda en informeer de personeelsvertegenwoordiging vóór ingebruikname.
Deze zeven regels vervangen geen juridisch advies. Ze geven op volgorde weer wat de bronnen onderaan dit artikel van een gebruiksverantwoordelijke vragen. Voor elke risico-indeling zijn de bevoegde toezichthouder in uw land en de AI Act Service Desk van de Commissie de plaatsen om na te vragen.
Bij CyberNovaLabs.io
Wij bouwen AI-automatisering in mkb-bedrijven in de vier landen, en naleving hoort bij de voorbereiding: inventarisatie van hulpmiddelen, de vraag aanbieder of gebruiksverantwoordelijke, informatiemeldingen, markering van inhoud, een logboek van beslissingen. Zie onze pagina's AI-automatisering voor uw bedrijf en AI-training voor medewerkers, die de plicht uit artikel 4 dekt. Prijzen op aanvraag, afhankelijk van de omvang.
Vraag een gesprek van 20 minuten aan over uw AI-inventarisatie
Bronnen
- Commission européenne — Cadre réglementaire de l'IA : calendrier d'application et AI Omnibus
- AI Act Service Desk — Article 26 : obligations des déployeurs de systèmes à haut risque
- AI Act Service Desk — Article 4 : culture de l'IA (version consolidée au 27/07/2026)
- AI Act Service Desk — Article 50 : obligations de transparence
- AI Act Service Desk — Article 99 : sanctions
- Commission européenne — Autorités de surveillance du marché au titre de l'AI Act (maj 07/09/2026)
- Eurostat — Intelligence artificielle par classe de taille d'entreprise (isoc_eb_ai, 2025)
- Règlement (UE) 2024/1689 (AI Act) — texte au Journal officiel de l'Union européenne
Gekwalificeerde afspraken, zonder looptijd.
Criteria vooraf op papier, betalen per afspraak of per maand, stoppen met een simpele e-mail.
Lees ook
Cyberaanval FOD Financien: deadline verschoven (28-10-2026)
Vier dagen zonder MyMinfin, Tax-on-Web en Biztax, terwijl de uiterste datum bleef staan. Er zijn geen gegevens gestolen, dus de kosten zitten elders. Wat de cyberaanval op FOD Financien concreet betekent voor een mkb-bedrijf in Belgie, Nederland, Frankrijk en Luxemburg.
Lees het artikel →3 november 2026 · 8 min lezenB2B-afspraken laten maken voor webshops
B2B-afspraken laten maken bij webshops wordt beslist vóór het gesprek: het kanaal (eigen site, platform of EDI), het land en de rechtsvorm. Deze gids citeert Eurostat, de CNIL, de FOD Economie en de ACM.
Lees het artikel →2 november 2026 · 7 min lezenDrupal Commerce-lek misbruikt: prijzen aanpasbaar (28-10-2026)
Door een access bypass in Commerce Core kon een klant zelf de prijs en de status van zijn order wegschrijven. Drupal geeft het 21 op 25, meldt actief misbruik en vraagt om orders na te lopen. Wat een mkb-bedrijf moet nakijken, en welke meldtermijnen kunnen gaan lopen.
Lees het artikel →2 november 2026 · 8 min lezenNIS2 België: vallen hotels en toerisme onder de wet?
Logies en restaurants staan niet in de bijlagen van de Belgische wet van 26 april 2024. Drie plichten raken u toch, en één ervan beslist nu al over zakelijke contracten.
Lees het artikel →