Naleving van de EU AI-wet voor MKB-bedrijven: uw checklist voor 2026

⚖️ De vier risiconiveaus – en wat ze voor u betekenen

Elk AI-systeem valt onder één van vier risicocategorieën. De tabel hieronder laat zien waar de meeste kleine bedrijven daadwerkelijk terechtkomen.

De meeste AI-toepassingen bij kmo’s zijn van minimaal of beperkt risico. De meest voorkomende valkuil is AI in werving en selectie – het screenen van cv’s en rangschikken van kandidaten wordt beschouwd als hoogriskantig

📅 De daadwerkelijke deadlines

De wet is op 1 augustus 2024 van kracht getreden en wordt geleidelijk toegepast.

Een belangrijke voorbehoud. Een vereenvoudigingspakket, bekend als de Digitale Omnibus, stelt voor om de uiterlijke datum van de hoogrisico Bijlage III uit te stellen van 2 augustus 2026 naar 2 december 2027. Totdat deze wijziging formeel wordt gepubliceerd in het EU-Publicatieblad, blijft 2 augustus 2026 geldend als wettelijk bindende datum – dus plan op augustus 2026 en behandel eventuele verlenging als ademruimte, niet als reden om stil te zitten.

Bent mijn kleine bedrijf überhaupt geraakt?

Waarschijnlijk minder dan je denkt — maar ‘minder’ betekent niet ‘niets’. Drie snelle testen:

• Voert u een verboden praktijk uit? Bijna geen MKB-bedrijf doet dat, maar controleer wel of u niet stiekem biometrische categorisering of sociaal scoringsysteem gebruikt.
• Voert u een hoogrisicotoepassing uit? Als u AI gebruikt om sollicitanten te filtreren of te rangschikken, bent u waarschijnlijk een gebruiker van een hoogrisicosysteem.
• Interacteren klanten met uw AI? Een chatbot of door AI gegenereerde inhoud activeert doorzichtigheidsverplichtingen – gebruikers moeten weten dat ze te maken hebben met AI.

Als geen van bovenstaande geldt, bestaat uw taak voornamelijk uit documentatie en administratieve zaken. Als dat wel het geval is, is de onderstaande checklijst voor u bedoeld.

✅ De EU AI-wetgeving Compliancechecklijst voor KMU’s

Ga deze stap voor stap door. De meeste MKB-bedrijven kunnen de kern binnen een paar gefocuste dagen afronden.

• 1. Bouw een inventaris op van uw AI-systemen. Noteer alle AI-systemen die u gebruikt – inclusief verborgen AI in dagelijkse SaaS-tools (CRM-leadscoring, e-mailassistenten, ondersteuningschatbots). U kunt niet voldoen aan de regels voor systemen die u niet hebt geïnventariseerd.
• 2. Klassificeer elk systeem naar risico. Wees voor elke positie een niveau toe en noteer waarom. Dit document vormt het ruggengraat van uw compliancedossier.
• 3. Bevestig uw rol. Voor elk systeem, noteert u of u het gebruikt (implementator/deployer) of erop bouwt/markeert (leverancier/provider). Het fijnsturen van een open model en dit onder eigen naam uitbrengen kan u tot leverancier maken.
• 4. Beheer hoogrisicosystemen correct. Gebruik ze volgens de instructies van de leverancier, zorg voor menselijke supervisie, behoud logboeken, controleer prestaties en informeer betrokken partijen waar nodig.
• 5. Voldoen aan transparantieverplichtingen. Merk AI-chatbots duidelijk en geef AI gegenereerde tekst, afbeeldingen, audio en video altijd aan. Dit is de regel die het meeste MKB overslaat.
• 6. Zorg voor goede gegevensbestuurspraktijken. Documenteer de bronnen van uw gegevens, uw wettelijke grondslag volgens AVG, opslagperiodes en toegangscontroles. De AI-wetgeving en AVG overlappen sterk op dit gebied.
• 7. Schakel je team op. Vanaf februari 2025 moet je ervoor zorgen dat medewerkers voldoende AI-kennis hebben. Een korte, gedocumenteerde interne sessie volstaat hier meestal voor.
• 8. Zet het op papier en houd het actueel. Beheer een eenvoudig bestand met: voorraad, classificaties, gegevensbronnen, beheersmaatregelen en opleidingsregistraties. Als een toezichthouder vraagt, is dit uw antwoord.

⚠️ Wat gebeurt er als u dit negeert? De boetes

Naleving van de regels is kostbaar. Boetes schalen op met de ernst van de overtreding – en voor de ergste schendingen kunnen ze oplopen tot maximaal €35 miljoen of 7% van het wereldwijde jaarlijkse omzet, afhankelijk van wat hoger is.

Voor KMZ’s, geldt verlichting: boetes zijn beperkt tot het lagere van de twee bedragen, niet het hogere. De wet biedt ook proportionele behandeling – vereenvoudigde documentatietemplates en prioritaire toegang tot reguliere zandbakken (regulatory sandboxes). Maar er is geen algemene vrijstelling: de kernregels blijven gelden.

🔐 Waarom de locatie van uw AI alles verandert

Hier is het deel dat de meeste compliancegidsen overslaan. Een groot deel van de risico’s volgens de AI-wet en de AVG komt neer op één vraag: verlaat uw gegevens uw controle?

Wanneer u aanwijzingen, klantgegevens of documenten naar een derde-partijcloud-AI verzendt, neemt u de gegevensstromen van die leverancier over, inclusief sub-verwerkers en — als de leverancier Amerikaans eigendom is — mogelijke blootstelling aan het US CLOUD Act, zelfs wanneer de servers zich in Europa bevinden.

Zelfhosten draait dit om. Wanneer je opensource-modellen uitvoert op een eigen GPU-server binnen de EU, verlaat gegevens nooit jouw netwerkperimeter — wat meerdere compliancevragen reduceert tot eenvoudige configuratie.

Voor een MKB-bedrijf is «je eigen infrastructuur beheren» vaak de kortste weg naar bewezen naleving.

🇪🇺 Hoe Trooper.AI U Helpt Naleving te Garanderen

Trooper.AI huurt EU-gestuurde GPU-servers — gebouwd in Duitsland, met geen Amerikaanse moedermaatschappij — zodat u opensource-modellen zoals Mistral en Llama volledig kunt draaien op infrastructuur die u zelf beheert. Dat geeft u de gegevenssoevereiniteit waarvoor zowel de AI-wet als het AVG belonen, zonder dat u hardware hoeft aan te schaffen.

Als uw plannen voor 2026 een AI-chatbot, een documentassistent of het vervangen van een Amerikaanse cloudtool omvatten, maakt het uitvoeren hiervan op uw eigen EU-server de bovenstaande checklijst veel gemakkelijker te voldoen.

Kernprincipes omvatten:

• ✅ EU-gelokaliseerde infrastructuur
• ✅ AVG-voldoening
• ✅ klaarheid voor de EU AI-wet
• ✅ Beveiligde eindpunten en SSL-beveiliging
• ✅ Volledige root-toegang en gegevenssoevereiniteit

Huur een privé GPU-server in de EU en begin vandaag nog met bouwen.

Veelgestelde vragen

Wanneer geldt de EU AI-wet voor kleine bedrijven?

De belangrijkste verplichtingen treden in werking op 2 augustus 2026, nadat eerder fasen van kracht zijn geweest in februari en augustus 2025. Een voorstel voor een digitaal pakket (Digital Omnibus) zou mogelijke uitstelregels kunnen invoeren voor hoogrisico-eisen per december 2027, maar totdat dit formeel bekendgemaakt wordt, geldt 2 augustus 2026 als de bindende uiterste datum.

Zijn MKB-bedrijven vrijgesteld van de EU AI-wetgeving?

Nee. Er geldt geen algemene vrijstelling. MKB-bedrijven krijgen een evenredige behandeling – vereenvoudigde sjablonen, toegang tot de zandbak en boetes beperkt tot het lagere plafond –, maar de kernregels blijven van kracht.

Wat zijn de sancties bij niet-naleving?

Tot maximaal €35 miljoen of 7% van de wereldwijde omzet voor verboden praktijken; tot maximaal €15 miljoen of 3% voor hoogrisicoverschrijdingen; en tot maximaal €7,5 miljoen of 1% bij onjuiste informatie. Voor kmo’s geldt de boete als het lagere van beide bedragen.

Maakt het gebruik van ChatGPT of Copilot mijn bedrijf niet-nalevend?

Niet automatisch — maar derdelandskloud-AI verplaats data buiten uw controle en kan de naleving van de AVG en transparantieplichten bemoeilijken. Het zelfhosten van een open model op EU-infrastructuur elimineert die blootstelling.

Moet ik mijn AI-chatbot etiketteren?

Ja. De beperkte-risico-transparantievoorschriften vergen dat je gebruikers informeert wanneer ze met AI interactie hebben en dat je AI gegenereerde inhoud bekendmaakt.

Wat is de meest nuttige eerste stap?

Bouw een inventaris op van uw AI-systemen en classificeer elk systeem naar risico. Alles andere hangt hiervan af.

Laatste update: juni 2026. Dit artikel biedt algemene informatie over de EU AI Act en is geen juridisch advies. Controleer uw specifieke verplichtingen met een gekwalificeerd professional.