Home | Nieuws | EU AI Act voor het mkb: wat moet jouw organisatie nu regelen?

EU AI Act voor het mkb: wat moet jouw organisatie nu regelen?

AI wordt waarschijnlijk al gebruikt binnen jouw organisatie. Ook als je daar nog geen beleid voor hebt. Medewerkers schrijven teksten met ChatGPT, vatten documenten samen, maken afbeeldingen of gebruiken Microsoft Copilot binnen Outlook, Teams en Word. Dat levert tijdwinst op, maar roept ook vragen op. Welke gegevens mogen medewerkers invoeren? Wie controleert de uitkomst? En weet […]

Automatisering & AI 28 juli 2026 11 Minuten

De EU AI Act maakt AI daarmee niet alleen een technisch onderwerp. Ook kennis, afspraken, verantwoordelijkheden en informatiebeveiliging moeten op orde zijn. Niet iedere medewerker hoeft een AI-expert te worden. Iedereen die ermee werkt, moet wel weten wat verantwoord gebruik is.

De EU AI Act geldt al

De Europese AI-verordening, beter bekend als de EU AI Act, bevat regels voor het ontwikkelen en gebruiken van kunstmatige intelligentie. De wet kijkt vooral naar het risico van een toepassing. AI die helpt bij het schrijven van een interne tekst brengt andere risico’s met zich mee dan AI die sollicitanten beoordeelt, kredietwaardigheid inschat of beslissingen over mensen ondersteunt.

Hoe groter de mogelijke gevolgen, hoe strenger de regels. De AI Act trad op 1 augustus 2024 in werking. Sinds 2 februari 2025 gelden al regels rond verboden AI-toepassingen en AI-geletterdheid. Veel andere onderdelen worden vanaf augustus 2026 van toepassing. Voor bepaalde hoog-risico-AI-systemen gelden latere data in 2027 en 2028. De AI Act wordt stap voor stap ingevoerd. De Europese Commissie zet de belangrijkste invoeringsmomenten op een rij.

De wet is dus niet iets voor later. Voor veel mkb-organisaties is dit juist het moment om het huidige AI-gebruik in kaart te brengen.

AI Act of AI Pact?

De termen AI Act en AI Pact worden regelmatig door elkaar gebruikt, maar betekenen niet hetzelfde. De AI Act is Europese wetgeving. Het AI Pact is een vrijwillig initiatief waarmee organisaties zich eerder kunnen voorbereiden op de invoering van de wet.

Deelnemers aan het AI Pact richten zich onder andere op AI-governance, het herkennen van mogelijk hoog-risico-AI en het vergroten van AI-geletterdheid. Meer over dit vrijwillige programma lees je op de pagina van de Europese Commissie over het AI Pact. Voor de dagelijkse praktijk van de meeste mkb-organisaties is vooral de AI Act relevant.

Medewerkers moeten weten wat ze met AI doen

Een belangrijk onderdeel van de AI Act is AI-geletterdheid. Dat klinkt misschien zwaar, maar de praktische gedachte is eenvoudig: medewerkers moeten begrijpen wat AI kan, waar de beperkingen liggen en welke risico’s bij het gebruik horen.

Organisaties die AI aanbieden of gebruiken, moeten maatregelen nemen om de ontwikkeling van AI-geletterdheid te ondersteunen. Daarbij moet rekening worden gehouden met de kennis, ervaring, opleiding en werkzaamheden van medewerkers.

In de praktijk moeten medewerkers onder andere weten:

welke AI-tools zij wel en niet mogen gebruiken;
welke bedrijfs- en persoonsgegevens zij mogen invoeren;
dat AI overtuigende maar onjuiste antwoorden kan geven;
wanneer de uitkomst door een mens moet worden gecontroleerd;
wie verantwoordelijk blijft voor een tekst, advies of beslissing;
wanneer openheid over het gebruik van AI nodig is.

De aanpak mag worden afgestemd op de functie en de manier waarop AI wordt gebruikt. Een marketingmedewerker die AI inzet voor een eerste tekstversie heeft andere instructies nodig dan iemand die AI gebruikt bij personeelszaken, financiële analyses of klantadvies.

Er bestaat geen verplichte standaardtraining of algemeen AI-certificaat. Trainingen, interne richtlijnen, workshops en praktische voorbeelden kunnen allemaal onderdeel zijn van de aanpak. De Europese Commissie beantwoordt veel praktische vragen over AI-geletterdheid.

Daarin noemt de Commissie zelfs het voorbeeld van medewerkers die ChatGPT gebruiken voor advertentieteksten of vertalingen. Ook dan moeten gebruikers weten dat AI onjuiste of verzonnen informatie kan produceren.

Ook de Autoriteit Persoonsgegevens legt uit wat AI-geletterdheid voor organisaties betekent. Daarbij gaat het niet alleen om technische kennis, maar ook om bewustzijn van de kansen, beperkingen en risico’s van AI.

AI wordt waarschijnlijk al gebruikt. Ook zonder beleid

Veel organisaties denken dat AI nog maar beperkt wordt gebruikt. In de praktijk hebben medewerkers vaak zelf al tools gevonden. Ze gebruiken bijvoorbeeld een persoonlijk ChatGPT-account, een gratis vertaaltool of een online toepassing voor het samenvatten van documenten. Dat gebeurt buiten het zicht en de beheersmaatregelen van de organisatie. Dit wordt ook wel Shadow AI genoemd.

Daardoor weet je niet altijd:

welke tools medewerkers gebruiken;
welke informatie zij invoeren;
wat de aanbieder met die gegevens doet;
welke agents of automatiseringen zijn aangemaakt;
of bedrijfskennis aan een persoonlijk account is gekoppeld.

Ook in onze praktijk zien we dat het werkelijke AI-gebruik vaak breder is dan vooraf wordt gedacht.

Tijdens de eerste testfase van onze Shadow AI-rapportages hebben we de uitkomsten vergeleken met wat organisaties zelf dachten dat er werd gebruikt. Bij acht van de tien eerste controles kwamen die beelden niet met elkaar overeen.

Dat is geen landelijk onderzoek, maar wel een duidelijk signaal: AI-gebruik laat zich moeilijk inschatten zonder het daadwerkelijk in kaart te brengen. Een verbod geeft daarbij niet automatisch grip. Wanneer medewerkers merken dat AI hun werk eenvoudiger maakt, bestaat de kans dat ze alsnog een persoonlijke of gratis tool gebruiken. Een goedgekeurd alternatief en duidelijke afspraken werken meestal beter dan alleen zeggen wat niet mag.

Begin niet met een dik beleidsdocument

Een werkbaar AI-beleid hoeft geen juridisch document van twintig pagina’s te zijn. Begin met duidelijke antwoorden op een aantal praktische vragen.

1. Welke AI-tools worden gebruikt?

Breng in kaart welke tools medewerkers gebruiken, waarvoor ze die inzetten en welke gegevens daarbij worden verwerkt.

Noteer bijvoorbeeld:

de gebruikte tool;
de afdeling of gebruikersgroep;
het doel van de toepassing;
de gegevens die worden ingevoerd;
de verantwoordelijke;
de manier waarop de uitkomst wordt gecontroleerd.

Een intern AI-overzicht wordt ook wel een AI-register genoemd. Voor iedere normale AI-tool geldt niet automatisch een wettelijke registratieplicht. De formele Europese registratieverplichtingen richten zich vooral op bepaalde hoog-risico-AI-systemen. Een intern overzicht is wel een praktische manier om zelf grip te houden.

De Europese Commissie geeft meer uitleg over de reikwijdte en verplichtingen van de AI Act. Een intern overzicht is ook zonder algemene registratieplicht een praktische manier om zelf grip te houden op toepassingen, gegevens en verantwoordelijkheden.

2. Welke tools mogen medewerkers gebruiken?

Maak duidelijk welke zakelijke AI-oplossingen zijn toegestaan en welke niet. Leg ook uit waarom. Alleen een lijst met verboden tools helpt medewerkers niet verder. Benoem daarom welk goedgekeurd alternatief zij wel kunnen gebruiken.

Maak daarbij onderscheid tussen:

persoonlijke accounts;
gratis consumentenversies;
zakelijke oplossingen met centraal beheer;
agents en toepassingen die met bedrijfsinformatie zijn verbonden.

3. Welke informatie mag je invoeren?

Een algemene afspraak als ‘gebruik AI verantwoord’ is te vaag. Medewerkers moeten weten wat dat tijdens hun werk betekent. Maak daarom concrete afspraken over bijvoorbeeld:

persoonsgegevens;
klantgegevens;
financiële informatie;
contracten en offertes;
interne beleidsstukken;
wachtwoorden en inloggegevens;
vertrouwelijke bedrijfsinformatie.

De regel moet zo duidelijk zijn dat iemand tijdens het werk zelfstandig kan bepalen wat wel en niet is toegestaan.

4. Wie is verantwoordelijk?

Iedere AI-toepassing heeft een eigenaar nodig. Wie beslist of de tool mag worden gebruikt? Wie controleert of de toepassing nog goed werkt? En wie beoordeelt de kwaliteit wanneer AI informatie naar klanten, medewerkers of andere partijen stuurt?

Zonder duidelijk eigenaarschap blijven AI-tools en agents al snel buiten beeld.

5. Wie controleert de uitkomst?

AI kan professioneel en overtuigend klinken, terwijl de inhoud toch niet klopt.

Menselijke controle blijft daarom belangrijk. Zeker bij:

klantcommunicatie;
offertes en adviezen;
personeelszaken;
financiële informatie;
juridische documenten;
openbare publicaties.

In ons webinar noemen we dit een human in the loop. Een medewerker beoordeelt de uitkomst en besluit bewust om die te gebruiken, aan te passen of af te wijzen. AI kan ondersteunen. De verantwoordelijkheid blijft bij de organisatie.

6. Welke kennis hebben medewerkers nodig?

Niet iedere medewerker hoeft dezelfde training te volgen. Begin met een algemene basis over veilig en verantwoord gebruik. Vul die daarna aan met voorbeelden die passen bij de functie.

Een marketingmedewerker moet bijvoorbeeld weten hoe je bronnen en AI-teksten controleert. Een HR-medewerker heeft vooral duidelijke afspraken nodig over sollicitaties, persoonsgegevens en beslissingen die mensen raken. Leg ook vast welke trainingen, richtlijnen en andere maatregelen zijn aangeboden. Volgens de Europese Commissie is geen officieel certificaat nodig. Een intern overzicht van de genomen maatregelen kan wel helpen.

Het trainen van medewerkers raakt bovendien aan een breder onderwerp: veilig digitaal gedrag. Op onze pagina over security awareness training lees je hoe je medewerkers bewuster maakt van digitale risico’s.

Moet je altijd vermelden dat AI is gebruikt?

Nee. Niet iedere e-mail, offerte of socialmediapost waarbij AI heeft geholpen, heeft automatisch een AI-label nodig. De transparantieregels richten zich vooral op specifieke situaties, zoals:

communicatie waarbij iemand niet doorheeft dat diegene met een AI-systeem praat;
deepfakes;
bepaalde AI-gegenereerde of gemanipuleerde content;
bepaalde teksten die het publiek informeren over onderwerpen van publiek belang.

Voor bepaalde teksten geldt een uitzondering wanneer menselijke controle heeft plaatsgevonden en een persoon of organisatie de redactionele verantwoordelijkheid draagt.

De Europese Commissie licht de transparantieregels voor AI-content verder toe. Dat maakt menselijke controle opnieuw belangrijk. Niet alleen om fouten te voorkomen, maar ook om duidelijk te houden wie verantwoordelijk is voor wat wordt gepubliceerd.

Wat betekent dit voor Microsoft Copilot?

Microsoft Copilot kan een logische manier zijn om AI binnen een bestaande en beheersbare werkomgeving beschikbaar te stellen. Microsoft 365 Copilot werkt met de toegangsrechten die binnen Microsoft 365 al zijn ingesteld. Een medewerker kan via Copilot alleen informatie gebruiken waartoe diegene al toegang heeft.

Copilot doorbreekt je toegangsrechten dus niet.

Maar wanneer een document in SharePoint, Teams of OneDrive onbedoeld te breed is gedeeld, kan Copilot die informatie wel sneller vinden en samenvatten. Copilot veroorzaakt het probleem niet. Het maakt bestaande oversharing wel zichtbaarder.

Microsoft legt in de documentatie over privacy en gegevensbescherming binnen Microsoft 365 Copilot uit hoe Copilot omgaat met bedrijfsgegevens, prompts en bestaande toegangsrechten.

Microsoft adviseert organisaties daarnaast om te breed gedeelde informatie en onjuiste rechten vóór een bredere uitrol op te sporen. De documentatie over een veilige en beheersbare basis voor Microsoft 365 Copilot geeft daarvoor verschillende aandachtspunten.

Controleer vóór een bredere uitrol daarom onder andere:

wie toegang heeft tot welke documenten;
welke mappen en Teams-omgevingen breed zijn gedeeld;
of oude accounts en groepen zijn opgeschoond;
waar gevoelige informatie wordt opgeslagen;
welke agents en connectoren medewerkers mogen gebruiken;
welke voorwaarden gelden voor gekoppelde externe diensten.

Microsoft geeft daarnaast aan dat prompts, antwoorden en gegevens die Microsoft 365 Copilot gebruikt niet worden ingezet om de onderliggende foundationmodellen te trainen.

Gebruik je agents of gekoppelde externe diensten? Controleer dan afzonderlijk welke voorwaarden en privacyafspraken daarvoor gelden. Microsoft licht dit verder toe bij Enterprise Data Protection.

Copilot vervangt goed informatiebeheer niet. Het maakt het juist belangrijker. Meer weten over de mogelijkheden en inrichting? Bekijk dan hoe we organisaties ondersteunen met Microsoft Copilot en AI.

De AI Act is vooral een goed moment om te beginnen

De EU AI Act kan voelen als de volgende verzameling regels waar je iets mee moet. Maar de praktische aanleiding is groter.

Duidelijke afspraken helpen ook om:

bedrijfsinformatie beter te beschermen;
ongecontroleerd gebruik van AI-tools tegen te gaan;
verantwoordelijkheden helder te maken;
fouten eerder te herkennen;
AI daadwerkelijk onderdeel te maken van het dagelijkse werk.

Begin daarom niet met de vraag hoe je zo snel mogelijk aan alle regels voldoet.

Begin met deze vraag:

Weten we welke AI-tools worden gebruikt, waarvoor ze worden gebruikt en welke afspraken daarbij horen?

Kun je daar nog geen duidelijk antwoord op geven? Dan is dat een logisch startpunt.

Download de whitepaper en bekijk het webinar

In onze whitepaper ‘AI voor het mkb: wat kun je ermee?’ vertalen we AI-beleid naar tien vragen die directie en management moeten kunnen beantwoorden.

De whitepaper gaat onder andere in op:

toegestane AI-tools;
het gebruik van bedrijfsgegevens;
Shadow AI;
menselijke controle;
toegangsrechten binnen Microsoft 365;
Microsoft Copilot;
procesautomatisering en adoptie.

Wil je daarna verder de diepte in? Vraag dan ook de opname aan van ons webinar ‘Copilot voor het mkb: wat kun je er nu mee?’

Thijmen Bosman en Arjan Boeve bespreken daarin niet alleen wat Copilot kan, maar ook wat je vooraf goed moet regelen. Denk aan AI-beleid, beveiliging, toegangsrechten, Shadow AI, agents, adoptie en menselijke controle.

Bronnen