Geldt de EU AI Act voor mijn bedrijf?
Korte conclusie
De EU AI Act (Verordening (EU) 2024/1689) geldt in principe voor uw bedrijf zodra u in de EU een AI-systeem op de markt brengt, in de EU gebruikt of de output ervan in de EU laat gebruiken. Of u zware verplichtingen krijgt, hangt volledig af van de rol die u heeft (aanbieder, deployer, importeur, distributeur of producent) en de risicocategorie van het AI-systeem (verboden, hoog risico, beperkt risico, minimaal risico). Voor het mkb en startups gelden de regels ook, maar met evenredige (proportionele) verlichtingen en langere aanlooptijden.
Toelichting
1. Territoriaal toepassingsbereik (artikel 2 AI Act)
De verordening is volgens artikel 2 van toepassing op:
| U bent… | En… | Dan geldt de AI Act |
|---|---|---|
| Aanbieder (provider) | U brengt een AI-systeem of -model op de EU-markt of in gebruik, ongeacht of u in de EU bent gevestigd | Ja |
| Aanbieder of deployer | U bent buiten de EU gevestigd, maar het AI-systeem wordt in de EU op de markt gebracht of de output wordt in de EU gebruikt | Ja |
| Deployer (gebruiker) | U gebruikt een AI-systeem in de EU, ook als de aanbieder buiten de EU zit | Ja |
| Importeur of distributeur | U maakt een AI-systeem van een niet-EU-aanbieder beschikbaar op de EU-markt | Ja |
Bent u puur eindgebruiker buiten de EU en heeft de output geen effect in de EU? Dan valt u in beginsel niet onder de verordening. Wetenschappelijk onderzoek en ontwikkeling vóór het op de markt brengen zijn uitgezonderd (artikel 2 lid6 en 8 AI Act).
2. Uw rol bepaalt wat u moet doen
De AI Act onderscheidt vier hoofdrollen, elk met eigen verplichtingen:
- Aanbieder (artikel 3 punt 3): de zwaarste lasten. U moet het systeem ontwerpen, documenteren, testen, een risicobeheer opzetten, een kwaliteitsmanagement voeren, conformiteit beoordelen vóór het op de markt brengen, de CE-markering aanbrengen, een EU-conformiteitsverklaring opstellen en zich registreren in de EU-databank (artikelen 16, 43, 49 en 71 AI Act).
- Deployer (artikel 3 punt 4): gebruiker van het AI-systeem. U moet het systeem gebruiken volgens de instructies, toezicht houden op menselijke tussenkomst, een register bijhouden en een fundamentele-rechten-impactanalyse uitvoeren bij hoog-risico systemen (artikelen 26 en 27 AI Act).
- Importeur (artikel 3 punt 6): brengt systemen van een niet-EU-aanbieder in de EU; moet controleren of conformiteit en documentatie in orde zijn (artikel 23 AI Act).
- Distributeur (artikel 3 punt 7): maakt systemen beschikbaar op de EU-markt; vergelijkbare maar lichtere controleplicht (artikel 24 AI Act).
3. RisicocategorieënDe aard van uw verplichtingen hangt af van het risiconiveau van het AI-systeem dat u maakt of gebruikt:
| Categorie | Wettelijke basis | Kernregel |
|---|---|---|
| Verboden praktijken (bijv. sociale scoring door overheden, onbewuste biometrische identificatie in openbare ruimten, manipulatieve subliminale technieken) | Artikel 5 AI Act | Vanaf 2 februari 2025 volledig verboden |
| Hoog risico (bijv. werving, kredietwaardigheid, medische hulpmiddelen, kritieke infrastructuur, rechtshandhaving, migratie) | Artikelen 6–7, Bijlage III AI Act | Vanaf 2 augustus 2026; voor in producten ingebedde systemen vanaf 2 augustus 2027 |
| Beperkt risico / transparantieverplichtingen (chatbots, deepfakes, emotieherkenning, AI-gegenereerde content, biometrische categorisatie) | Artikel 50 AI Act | Vanaf 2 augustus 2025; u moet gebruikers informeren dat zij met AI communiceren |
| Minimaal risico (spamfilters, aanbevelingen in e-commerce, AI in videogames) | Geen specifieke verplichting | Vrijwillige gedragscodes |
| Algemene AI-modellen (GPAI, bv. grote taalmodellen) | Artikelen 51–55 AI Act | Vanaf 2 augustus 2025; “systemic risk”-modellen (vanaf10²⁵ FLOPs) krijgen extra lasten |
4. Specifieke regels voor het mkb en startups
Ondernemingen met minder dan 250 werknemers en een omzet van maximaal € 50 miljoen of een balanstotaal van maximaal € 43 miljoen gelden als kleine onderneming in de zin van Aanbeveling 2003/361/EG. Voor hen gelden twee belangrijke verlichtingen:
- Evenredige aanpak (artikel 11 lid 2 en overweging 146 AI Act): de eisen aan het kwaliteits- en risicomanagementsysteem mogen in verhouding tot uw omvang en middelen worden ingevuld.
- Verlaging en uitstel van administratieve lasten (artikel 11 lid 3 en4 AI Act): bepaalde documentatie- en registratieverplichtingen gelden niet of later als u geen hoog-risicosysteem op de markt brengt.
De Nederlandse toezichthouder (Autoriteit Persoonsgegevens voor zover het gaat om de in artikel 74 genoemde bevoegdheden, en de Autoriteit Consument & Markt of een nader aan te wijzen instantie voor de overige onderdelen) moet bij de handhaving van de AI Act ook rekening houden met de mkb-belangen (artikel 74 AI Act).
5. Veelvoorkomende uitzonderingen en grensgevallen
- Gratis en open-source AI-modellen (artikel 2 lid 10 en artikel 51 lid 2 AI Act): GPAI-modellen die onder een vrije open-sourcelicentie worden uitgegeven, zijn deels vrijgesteld van de GPAI-verplichtingen, behalve als zij een “systemic risk” hebben.
- Persoonlijk, niet-professioneel gebruik: de AI Act is niet van toepassing op particulier, niet-beroepsmatig gebruik (artikel 2 lid 10 AI Act).
- Nationale veiligheid, defensie en militaire toepassingen: buiten het bereik (artikel 2 lid 3 en 4 AI Act).
- AI in producten die al onder EU-productveiligheidsrecht vallen (bijv. medische hulpmiddelen, speelgoed, machines): de AI-eisen worden via die sectorale wetgeving ingevoerd (artikel 6 lid 1 en Bijlage I AI Act).
6. Praktische checklist voor uw bedrijf
- Brengt u een AI-systeem op de EU-markt? Dan bent u aanbieder en vallen de zwaarste verplichtingen op u.
- Gebruikt u AI alleen intern of voor klanten in de EU? Dan bent u deployer.
- Valt uw AI-systeem in Bijlage III of onder de verboden lijst van artikel 5? Dan gelden de strengste regels.
- Bent u mkb? Maak gebruik van de evenredige invulling van artikel 11.
- Bereid u voor op de datum2 augustus 2026: vanaf dan worden de meeste hoog-risico-eisen afgedwongen.
Bronnen
De EU AI Act is Verordening (EU) 2024/1689 van het Europees Parlement en de Raad van 13 juni 2024 (Publicatieblad EU, L 2024/1689 van 12 juli 2024). De volledige officiële tekst is beschikbaar op EUR-Lex:
In het Nederlandse Basiswettenbestand (BWB) is de AI Act (nog) niet als afzonderlijke wet opgenomen; een specifieke Nederlandse implementatiewet was bij onderzoek niet beschikbaar via de geraadpleegde bronnen.
Belangrijke beperking van dit onderzoek
Mijn onderzoeksinstrumenten konden de officiële Nederlandse en Europese bronnen op het moment van schrijven niet raadplegen: web_search gaf geen resultaten en dutch_law_search doorzoekt alleen het Nederlandse BWBR-bestand, dat EU-verordeningen niet bevat. De inhoud van deze FAQ is gebaseerd op de algemeen bekende en openbaar gepubliceerde tekst van Verordening (EU) 2024/1689 en op de daarin genoemde data. Controleer altijd de actuele tekst op EUR-Lex en raadpleeg een gespecialiseerde jurist voor een bindend oordeel over uw concrete situatie. Dit artikel is algemene informatie en geen juridisch advies.