De EU AI-wet uitgelegd: Wat bedrijven moeten weten in 2026

De EU AI-wet is op 1 augustus 2024 in werking getreden. Sindsdien zijn verplichtingen gefaseerd ingevoerd. De belangrijkste deadline voor de meeste bedrijven, volledige naleving voor AI-systemen met een hoog risico, is 2 augustus 2026.

De meeste mkb-bedrijven die momenteel AI-tools gebruiken, zijn zich niet bewust van de wettelijke vereisten. Sommigen gebruiken onbewust tools die al niet-compliant zijn. Anderen gebruiken AI-tools van derden in HR, klantenservice of bedrijfsvoering zonder te controleren of deze tools voldoen aan de normen van de wet.

Deze gids legt uit wat de EU AI-wet inhoudt, in welke risicocategorie uw AI-gebruik waarschijnlijk valt, hoe de boetes eruitzien, wat al verboden is en welke praktische stappen u kunt nemen vóór augustus 2026.

Dit is geen juridisch advies. Voor specifieke begeleiding over uw situatie, raadpleeg een gekwalificeerde juridische professional. Dit is een eenvoudig overzicht dat u helpt uw verplichtingen te begrijpen en een beter geïnformeerd gesprek te voeren met uw juridische team en uw technologiepartners.

‍

‍

Wat is de EU AI-wet?

De EU AI-wet is 's werelds eerste uitgebreide wettelijke kader dat specifiek kunstmatige intelligentie reguleert. Het is van toepassing op elke organisatie die AI-systemen ontwikkelt, implementeert, importeert of distribueert die mensen in de Europese Unie beïnvloeden, ongeacht waar de organisatie zelf gevestigd is.

Dat laatste punt is belangrijk. Als u een Nederlands bedrijf bent dat een AI-tool gebruikt die door een bedrijf waar dan ook ter wereld is gebouwd om sollicitaties te verwerken, klantadviezen te genereren, kredietrisico's te beoordelen of beslissingen te nemen die mensen beïnvloeden, dan is de wet op u van toepassing als implementeerder, niet alleen op het bedrijf dat de tool heeft gebouwd.

De wet werkt volgens een risicogebaseerd model. Hoe groter de potentiële schade van een AI-systeem, hoe meer verplichtingen er rusten op de bedrijven die het gebruiken of bouwen. Een aanbevelingsengine voor afspeellijsten heeft een minimaal risico met bijna geen specifieke vereisten. Een AI-systeem dat beïnvloedt of iemand een baan, een lening of medische zorg krijgt, wordt geclassificeerd als hoog risico en brengt aanzienlijke nalevingsverplichtingen met zich mee.

‍

Wat zijn de belangrijkste deadlines van de EU AI-wet?

De wet is niet in één keer van toepassing. Hij wordt gefaseerd ingevoerd, en begrijpen welke fase op uw bedrijf van toepassing is, is de eerste praktische stap.

1 augustus 2024 was het moment waarop de wet in werking trad in alle EU-lidstaten, inclusief Nederland.

2 februari 2025 is wanneer de verboden van kracht werden. Een gedefinieerde lijst van AI-praktijken werd vanaf deze datum illegaal. Deze zijn nu al actief.

2 augustus 2025 is wanneer de verplichtingen voor aanbieders van algemene AI-modellen begonnen. Bedrijven die voortbouwen op basismodellen zoals GPT of Claude moeten begrijpen waarvoor hun modelaanbieder verantwoordelijk is en wat naar hen overgaat.

2 augustus 2026 is de cruciale deadline voor de meeste bedrijven. Dit is wanneer AI-systemen met een hoog risico volledig moeten voldoen aan de vereisten van de wet. Deze deadline is minder dan drie maanden vanaf vandaag.

2 augustus 2027 is de deadline voor AI met een hoog risico die is ingebed in gereguleerde producten zoals medische hulpmiddelen, machines en liften.

‍

Wat zijn de 4 risiconiveaus in de EU AI-wet?

Het begrijpen van uw risicoclassificatie is de allerbelangrijkste stap in de naleving van de EU AI-wet.

Onaanvaardbaar risico - volledig verboden

Deze AI-praktijken zijn verboden en dat is al zo sinds 2 februari 2025. Dit omvat AI-systemen die mensen manipuleren via subliminale technieken, kwetsbaarheden van specifieke groepen uitbuiten, sociale scoring door publieke of private organisaties mogelijk maken, real-time biometrische identificatie in openbare ruimtes uitvoeren, emoties afleiden op werkplekken of in onderwijsinstellingen, en criminaliteit voorspellen uitsluitend op basis van profilering. Als een tool die u gebruikt in deze categorie valt, bent u al niet-compliant.

Hoog risico - aanzienlijke verplichtingen vanaf augustus 2026

Dit is waar de meeste Nederlandse bedrijven die AI gebruiken in belangrijke processen goed op moeten letten. Volgens het ondernemersportaal van de Nederlandse overheid, omvatten AI-systemen met een hoog risico die welke worden gebruikt bij wervings- en HR-beslissingen, kredietbeoordeling en financiële evaluatie, toegang tot essentiële diensten, onderwijsbeoordeling, wetshandhaving, migratie- en grenscontrole, en de rechtspraak. Als u AI gebruikt om sollicitanten te screenen, kredietwaardigheid te beoordelen of beslissingen te ondersteunen die iemands leven aanzienlijk beïnvloeden, dan is dit niveau hoogstwaarschijnlijk op u van toepassing.

Beperkt risico - alleen transparantieverplichtingen

AI-systemen die interageren met mensen of inhoud genereren, inclusief chatbots en door AI gegenereerde tekst, moeten duidelijk vermelden dat er AI bij betrokken is. Vanaf augustus 2026 moeten klantenservice-chatbots gebruikers vertellen dat ze met een AI praten. Deze verplichting is licht in vergelijking met hoog risico, maar is al gedeeltelijk actief.

Minimaal risico - geen specifieke vereisten

AI die wordt gebruikt voor spamfilters, games en kwaliteitscontrole in de productie valt hieronder. Er zijn geen specifieke verplichtingen van de EU AI-wet van toepassing, afgezien van algemene goede praktijken.

‍

Wat is al verboden sinds februari 2025?

Het verbodsgedeelte van de EU AI-wet is op 2 februari 2025 in werking getreden. Bepaalde AI-praktijken zijn nu, vandaag, illegaal in de EU.

De verboden praktijken omvatten AI die subliminale technieken gebruikt om iemands gedrag op een schadelijke manier te beïnvloeden, AI die de kwetsbaarheden van specifieke groepen, zoals kinderen of mensen met een handicap, uitbuit, sociale scoringssystemen van de overheid en de private sector, AI die crimineel gedrag voorspelt uitsluitend op basis van profilering of persoonlijkheidskenmerken, biometrische categorisatiesystemen die gevoelige kenmerken zoals politieke opvattingen of seksuele geaardheid afleiden uit biometrische gegevens, en real-time biometrische identificatie op afstand in openbare ruimtes door wetshandhavers, met beperkte uitzonderingen.

Een praktische controle is hier op zijn plaats. Veel moderne HR-tools, marketingpersonalisatieplatforms en risicoscoringssystemen integreren AI op manieren die hun gebruikers niet volledig begrijpen. Het feit dat een leverancier zijn tool omschrijft als "AI-gestuurd" zonder het als hoog risico te bestempelen, beschermt u als implementeerder niet. U bent verantwoordelijk voor het controleren wat de tool daadwerkelijk doet.

‍

Wat zijn de boetes van de EU AI-wet?

De boetestructuur onder de EU AI-wet is strenger dan die van de AVG. Artikel 99 van de wet beschrijft een boetestructuur met 3 niveaus.

Het gebruik van verboden AI-praktijken leidt tot boetes van maximaal 35 miljoen euro of 7% van de totale wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Niet-naleving van verplichtingen voor systemen met een hoog risico leidt tot boetes van maximaal 15 miljoen euro of 3% van de wereldwijde omzet. Het verstrekken van onjuiste of misleidende informatie aan autoriteiten leidt tot boetes van maximaal 7,5 miljoen euro of 1,5% van de omzet.

Voor mkb-bedrijven zijn boetes gemaximeerd op het laagste bedrag van de percentage- en absolute drempels. Een startup met 2 miljoen euro jaarlijkse omzet krijgt een maximale boete van niveau 1 van ongeveer 140.000 euro in plaats van 35 miljoen. Dat is nog steeds een aanzienlijk bedrag voor een klein bedrijf, en de reputatieschade door een openbare handhavingsactie is moeilijker te kwantificeren en potentieel kostbaarder.

In Nederland is de Autoriteit Persoonsgegevens aangewezen als een belangrijke handhavingsinstantie. De handhaving zal naar verwachting serieus van start gaan vanaf augustus 2026, hoewel verboden nu al afdwingbaar zijn.

‍

‍

Op wie is de EU AI-wet van toepassing?

De wet maakt onderscheid tussen verschillende spelers in de AI-toeleveringsketen, elk met verschillende verplichtingen.

Aanbieders ontwikkelen en brengen AI-systemen op de markt. Als u een AI-gestuurd product of SaaS-platform bouwt en dit aan anderen verkoopt of in licentie geeft, bent u een aanbieder. Aanbieders dragen de zwaarste verplichtingen: technische documentatie, conformiteitsbeoordelingen, CE-markering voor systemen met een hoog risico en registratie in de EU-database.

Implementeerders zijn organisaties die AI-systemen gebruiken in het kader van hun professionele activiteiten. Dit zijn de meeste mkb-bedrijven. Als u een AI-wervingstool, een kredietscoringssysteem of een AI-gestuurde documentverwerker in uw bedrijf gebruikt, bent u een implementeerder. Implementeerders zijn verantwoordelijk voor het gebruik van systemen uitsluitend op de beoogde manier, het waarborgen van menselijk toezicht waar vereist, en voor organisaties in de publieke sector, het uitvoeren van impactbeoordelingen op grondrechten.

Importeurs en distributeurs die AI-systemen van buiten de EU importeren of aan anderen distribueren, dragen ook specifieke verplichtingen.

Het belangrijkste punt voor de meeste mkb-bedrijven: zelfs als u de AI-tool niet zelf heeft gebouwd en alleen een SaaS-abonnement van een leverancier gebruikt, draagt u nog steeds nalevingsverplichtingen als implementeerder. Het controleren van uw leverancierscontracten is een van de eerste praktische stappen die u moet nemen.

‍

Hoe u zich voorbereidt op de EU AI-wet: 6 praktische stappen

Stap 1: Inventariseer alle gebruikte AI-tools

Veel organisaties hebben geen volledig beeld van de AI die in hun bedrijf wordt gebruikt. Dit omvat SaaS-tools van derden, AI-functies ingebed in CRM- of HR-platforms, en alle op maat gemaakte AI-systemen. Begin met het opsommen van elke tool die AI gebruikt in welke bedrijfsfunctie dan ook.

Stap 2: Classificeer elke tool per risiconiveau

Bepaal voor elke tool welk risiconiveau van toepassing is. De centrale vraag is of de AI een beslissing beïnvloedt die de toegang van een persoon tot kansen, diensten of rechten aanzienlijk beïnvloedt. Zo ja, dan is het vrijwel zeker een hoog risico.

Stap 3: Werk uw leverancierscontracten bij

Voor elke AI-tool met een hoog risico van een externe leverancier moet uw contract nu clausules bevatten die betrekking hebben op de naleving van de EU AI-wet. Als dit niet het geval is, neem dan contact op met uw leveranciers en werk die overeenkomsten bij vóór augustus 2026. Als implementeerder bent u kwetsbaar als het systeem van een leverancier niet-compliant is.

Stap 4: Implementeer menselijk toezicht voor beslissingen met een hoog risico

AI-systemen met een hoog risico vereisen zinvol menselijk toezicht. Een mens moet de output van de AI kunnen begrijpen, beoordelen en overrulen voordat deze iemand beïnvloedt. Documenteer hoe dit wordt geïmplementeerd voor elk systeem met een hoog risico.

Stap 5: Creëer AI-geletterdheid in uw organisatie

De verplichting voor personeel om AI-geletterd te zijn, is actief sinds februari 2025. Dit betekent niet dat iedereen machine learning moet begrijpen. Mensen die met AI-tools werken, moeten begrijpen hoe ze werken, wat hun beperkingen zijn en welke risico's ermee gepaard gaan.

Stap 6: Bouw uw nalevingsdocumentatie op

Voor systemen met een hoog risico die u ontwikkelt of implementeert, dient u documentatie bij te houden die naleving aantoont. U moet, indien gevraagd door een autoriteit, kunnen aantonen dat u het risico heeft beoordeeld en passende maatregelen heeft genomen.

‍

‍

Wat betekent de EU AI-wet als u AI-software bouwt?

Als u een AI-automatiseringssysteem of een AI-gestuurd SaaS-platform bouwt, heeft de EU AI-wet directe implicaties voor hoe u ontwerpt en bouwt.

De classificatie van uw platform is het belangrijkst. Als u een subsidieanalysetool, een kredietbeoordelingsplatform, een wervingsassistent of een ander systeem bouwt dat belangrijke beslissingen beïnvloedt die mensen aangaan, bouwt u waarschijnlijk een AI-systeem met een hoog risico. Dat betekent vanaf het begin ontwerpen voor naleving: zinvol menselijk toezicht, transparante outputs die gebruikers kunnen begrijpen en bevragen, correcte logging en documentatie, en datagovernance die voldoet aan de vereisten van de wet.

Naleving is ook goedkoper om in te bouwen dan achteraf aan te passen. Een platform dat is ontworpen met risicodocumentatie, menselijke toezichtcontroles en verklaarbare outputs zal minder kosten om compliant te houden dan een platform dat na de lancering moet worden geherstructureerd. De implementatietijdlijn voor organisaties met enige complexiteit is doorgaans 12 tot 18 maanden, daarom is nu beginnen belangrijk.

Voor de bedrijven die uw platform bedient, kan naleving van de EU AI-wet een praktisch verkoopargument zijn in de verkoop aan bedrijven en de publieke sector. Een platform dat het voor klanten eenvoudig maakt om menselijk toezicht op AI-aanbevelingen aan te tonen, is waardevoller dan een platform dat dat niet doet.

‍

Hoe Codelevate dit aanpakt

Bij Codelevate nemen we een EU AI-wet nalevingsbeoordeling op als onderdeel van het ontdekkingsproces bij elke AI-platformbouw. Dit betekent dat we u helpen te classificeren wat u bouwt, te identificeren welke verplichtingen op u van toepassing zijn als aanbieder, en de architectuur te ontwerpen om deze vanaf het begin aan te pakken.

Concreet omvat dit het bespreken met u waar menselijk toezicht moet plaatsvinden in de gebruikersstroom, hoe logging en audit trails voor beslissingen met een hoog risico moeten worden gestructureerd, welke transparantieverklaringen zichtbaar moeten zijn voor gebruikers, en welke documentatie moet worden geproduceerd en onderhouden als onderdeel van het project.

Wij zijn geen advocatenkantoor en geven geen juridisch advies. Maar we begrijpen de technische vereisten die de wet stelt aan softwareontwikkelaars, en we zorgen ervoor dat die vereisten worden doordacht voordat er een regel code wordt geschreven. U kunt meer lezen over onze werkwijze op onze servicepagina 'process-to-product'.

‍

Wat gebeurt er als u wacht?

De verleiding voor de meeste bedrijven is om af te wachten. Om te kijken wat andere bedrijven doen, te zien of de deadline verschuift, en pas te handelen wanneer de handhaving begint in plaats van wanneer de wet van toepassing is.

Het probleem hiervan is dat naleving tijd kost. Voor een AI-systeem met een hoog risico is het proces van het uitvoeren van een risicobeoordeling, het implementeren van toezicht, het creëren van technische documentatie, het bijwerken van leverancierscontracten en het trainen van uw team geen oefening van één week.

Er is ook een secundair risico dat moeilijker te kwantificeren is, maar wel reëel: zakelijke klanten, investeerders en partners in de publieke sector nemen steeds vaker de nalevingsstatus van de AI-wet op in hun due diligence- en inkoopprocessen. Een bedrijf dat geen geloofwaardige nalevingshouding kan aantonen, bevindt zich in een groeiend nadeel in die gesprekken.

De bedrijven die nu beginnen, hebben tijd om naleving zorgvuldig op te bouwen. De bedrijven die wachten tot augustus 2026 zullen een crisis moeten beheren met een korte tijdlijn.

‍

Conclusie

De EU AI-wet is niet iets dat in de toekomst komt. Het is een actief juridisch kader met lopende verboden, gefaseerde deadlines en reële financiële sancties. De belangrijkste deadline voor de meeste Nederlandse bedrijven is 2 augustus 2026.

De juiste reactie is een gestructureerde beoordeling van welke AI u gebruikt, hoe deze is geclassificeerd, waarvoor uw leveranciers verantwoordelijk zijn en wat u moet doen. Het meeste van dat werk is eenvoudig zodra u begint. De fout is om niet te beginnen.

Als u een AI-platform bouwt en ervoor wilt zorgen dat naleving vanaf dag één deel uitmaakt van de bouw, boek dan een gratis scan bij ons. We brengen in kaart wat u bouwt, markeren waar de EU AI-wet van toepassing is op uw situatie en geven u een schriftelijk plan.

Boek uw gratis scan hier.

‍