AI Act: wat hij regelt en welke verplichtingen nu al gelden voor bedrijven
Verboden, AI-geletterdheid en transparantie gelden al, terwijl de Digital Omnibus de verplichtingen voor hoog risico heeft uitgesteld. Wat een bedrijf dat AI gebruikt vandaag moet doen, ook in het licht van de Italiaanse wet.
De AI Act, Verordening (EU) 2024/1689, deelt systemen voor artificiële intelligentie in naar risico en geldt ook voor bedrijven die ze gebruiken, niet alleen voor wie ze ontwikkelt. In oktober 2026 zijn de verboden, de maatregelen voor AI-geletterdheid en de transparantieverplichtingen al van toepassing. Voor systemen met een hoog risico heeft de Digital Omnibus de termijnen daarentegen verschoven naar 2 december 2027 en 2 augustus 2028.
Wat de AI Act in het kort regelt
De AI Act is een Europese verordening en geldt dus rechtstreeks in alle lidstaten, zonder omzetting. Ze regelt niet de technologie zelf, maar het gebruik ervan: hoe meer een systeem de gezondheid, veiligheid en rechten van mensen kan raken, hoe meer verplichtingen eraan verbonden zijn. Het is dezelfde risicogebaseerde aanpak die bedrijven kennen uit risicomanagement.
Er zijn vier niveaus, plus een aparte regeling voor grote AI-modellen voor algemene doeleinden:
- Onaanvaardbaar risico: verboden praktijken, zoals manipulatie die kwetsbaarheden van mensen uitbuit, social scoring of emotieherkenning op de werkplek (behalve om medische of veiligheidsredenen).
- Hoog risico: systemen die in gevoelige domeinen worden gebruikt, bijvoorbeeld personeelsselectie, beoordeling van kredietwaardigheid, onderwijs en kritieke infrastructuur, of die zijn ingebouwd in gereguleerde producten zoals machines en medische hulpmiddelen.
- Transparantierisico: chatbots, gegenereerde of gemanipuleerde content (deepfakes), systemen die met mensen interageren.
- Minimaal risico: het grootste deel van het zakelijke gebruik, zoals spamfilters, vertalingen en het uitlezen van gegevens uit documenten. Geen specifieke verplichtingen behalve AI-geletterdheid.
- AI-modellen voor algemene doeleinden (de modellen achter generatieve assistenten): verplichtingen voor wie ze ontwikkelt en op de markt brengt, niet voor wie ze gebruikt.
Op wie ze van toepassing is: aanbieder of gebruiksverantwoordelijke
De verordening onderscheidt rollen. De aanbieder ontwikkelt een AI-systeem, of laat het ontwikkelen, en brengt het onder eigen naam op de markt. De gebruiksverantwoordelijke (deployer) is wie een AI-systeem onder eigen verantwoordelijkheid gebruikt in het kader van een beroepsactiviteit. Daarnaast zijn er importeurs en distributeurs.
Een mkb-bedrijf dat een generatieve assistent gebruikt, HR-software die cv's screent of een bedrijfssysteem met voorspellende modules, is bijna altijd gebruiksverantwoordelijke. Let wel: zet je je eigen merk op een systeem met een hoog risico, of wijzig je het ingrijpend, dan kun je zelf aanbieder worden, met veel zwaardere verplichtingen. De AI Act geldt ook voor aanbieders buiten de EU wanneer de output van het systeem in Europa wordt gebruikt.
De tijdlijn, bijgewerkt tot oktober 2026
De AI Act is op 1 augustus 2024 in werking getreden en wordt stapsgewijs van toepassing. Dit zijn de data die tellen na de wijzigingen van 2026:
| Datum | Wat van toepassing wordt | Status in oktober 2026 |
|---|---|---|
| 2 februari 2025 | Verboden op praktijken met een onaanvaardbaar risico en AI-geletterdheid | Van kracht |
| 2 augustus 2025 | Verplichtingen voor modellen voor algemene doeleinden, governance, sancties | Van kracht |
| 27 juli 2026 | Wijzigingen van de Digital Omnibus, inclusief de nieuwe tekst over AI-geletterdheid | Van kracht |
| 2 augustus 2026 | Algemene toepassing, inclusief de transparantieverplichtingen | Van kracht |
| 2 december 2026 | Nieuw verbod op intieme deepfakes zonder toestemming; markering van gegenereerde content voor systemen die al op de markt zijn | Binnenkort |
| 2 december 2027 | Verplichtingen voor systemen met een hoog risico uit bijlage III (werk, krediet, onderwijs, biometrie) | Uitgesteld |
| 2 augustus 2028 | Verplichtingen voor AI met een hoog risico in gereguleerde producten (bijlage I) | Uitgesteld |
Wat de Digital Omnibus heeft veranderd
Het vereenvoudigingspakket dat de Commissie in november 2025 voorstelde, is Verordening (EU) 2026/1744 geworden, gepubliceerd in het Publicatieblad van de EU op 24 juli 2026 en van kracht sinds 27 juli, enkele dagen vóór de oorspronkelijke termijn van 2 augustus 2026 voor hoog risico.
De belangrijkste wijzigingen:
- Uitstel voor hoog risico: 2 december 2027 voor systemen uit bijlage III, 2 augustus 2028 voor systemen die in producten zijn ingebouwd. Het is uitstel, geen afstel: eisen en verplichtingen blijven dezelfde.
- Herijkte AI-geletterdheid: aanbieders en gebruiksverantwoordelijken hoeven niet langer een voldoende niveau van vaardigheden te “waarborgen”, maar moeten maatregelen nemen om die bij het personeel te ontwikkelen. Commissie en lidstaten moeten bedrijven ondersteunen, vooral het mkb.
- Nieuw verbod vanaf 2 december 2026 op systemen die zonder toestemming intieme of seksueel expliciete beelden van herkenbare personen genereren.
- Vereenvoudigingen voor documentatie en het kwaliteitsmanagementsysteem voor mkb-bedrijven en small mid-caps.
De transparantieverplichtingen zijn niet uitgesteld: ze gelden sinds 2 augustus 2026. Een uitzondering is de machineleesbare markering van gegenereerde content, die voor systemen die vóór die datum al op de markt waren, verschuift naar 2 december 2026.
De verplichtingen die nu al gelden
Verboden praktijken
Controleer dat geen enkele tool die je gebruikt onder de verboden praktijken valt. Het geval dat bedrijven het meest raakt, is emotieherkenning bij medewerkers, bijvoorbeeld in callcenters of tijdens sollicitatiegesprekken: dat is verboden, behalve om medische of veiligheidsredenen.
AI-geletterdheid
Wie AI-systemen gebruikt, moet maatregelen nemen om passende vaardigheden te ontwikkelen bij de mensen die ermee werken, rekening houdend met hun rol en de context. Er is geen certificaat of minimumaantal uren nodig: gerichte training, duidelijke gebruiksinstructies en een overzicht van wat je hebt gedaan zijn genoeg.
Transparantie
Sinds 2 augustus 2026 moeten mensen weten dat ze met een machine praten als een chatbot op je website klanten antwoordt. Publiceer je realistische beelden, audio of video die met AI zijn gegenereerd of gemanipuleerd, dan moet je dat vermelden. Hetzelfde geldt voor gegenereerde teksten die worden gepubliceerd om het publiek te informeren over zaken van algemeen belang, tenzij er een menselijke controle met redactionele verantwoordelijkheid is.
De sancties uit artikel 99 lopen op tot 35 miljoen euro of 7% van de wereldwijde omzet voor verboden praktijken en tot 15 miljoen of 3% voor de andere verplichtingen. Voor mkb-bedrijven geldt het laagste van de twee bedragen.
De Italiaanse AI-wet (wet 132/2025)
Italië heeft naast de AI Act een nationale kaderwet ingevoerd, wet nr. 132 van 23 september 2025, van kracht sinds 10 oktober 2025. Die dupliceert de Europese verordening niet, maar voegt principes en regels toe voor bepaalde domeinen. Voor bedrijven tellen vooral deze punten:
- Werk (art. 11): de werkgever moet werknemers informeren over het gebruik van AI in de gevallen en op de manier die al gelden voor geautomatiseerde besluitvormings- of monitoringsystemen.
- Vrije beroepen (art. 13): AI mag alleen ondersteunende en hulpactiviteiten uitvoeren, en de beroepsbeoefenaar moet de klant duidelijk en eenvoudig laten weten welke systemen hij gebruikt.
- Autoriteiten (art. 20): AgID en ACN zijn de nationale autoriteiten voor AI, terwijl Banca d’Italia, CONSOB en IVASS toezicht houden in hun eigen sectoren.
- Minderjarigen (art. 4): onder de 14 jaar is voor toegang tot AI-systemen toestemming nodig van wie het ouderlijk gezag uitoefent.
- Strafbare feiten (art. 26): een nieuwe strafverzwarende omstandigheid voor strafbare feiten die met AI worden gepleegd en een nieuw strafbaar feit voor de onrechtmatige verspreiding van gegenereerde of gemanipuleerde content (deepfakes).
De wet machtigt de regering om binnen twaalf maanden de besluiten vast te stellen die de Italiaanse rechtsorde aan de AI Act aanpassen, vooral wat betreft toezichtsbevoegdheden en sancties. De ministerraad heeft daar in 2026 aan gewerkt: controleer voordat je interne procedures inricht in de Gazzetta Ufficiale welke besluiten zijn gepubliceerd en vanaf wanneer ze gelden.
Wat je in je bedrijf doet: een praktische checklist
- Maak een inventaris van de AI-tools die je gebruikt, inclusief die in software die je al gebruikt (CRM, HR, boekhouding, klantenservice).
- Deel elk gebruik in naar risiconiveau en maak je rol duidelijk: gebruiksverantwoordelijke of aanbieder.
- Schrijf een intern beleid over welke tools gebruikt mogen worden, met welke gegevens en met welk menselijk toezicht.
- Organiseer training per rol en houd bij wat er is gedaan.
- Informeer werknemers wanneer AI invloed heeft op selectie, aansturing of monitoring, zoals de Italiaanse wet vraagt.
- Controleer de transparantie van chatbots en gegenereerde content die extern wordt gepubliceerd.
- Vraag leveranciers om documentatie, gebruiksinstructies en contractuele toezeggingen, vooral als de systemen vanaf 2027 onder hoog risico kunnen vallen.
Hetzelfde geldt voor software die AI gebruikt om documenten uit te lezen en duurzaamheidsgegevens voor te bereiden, zoals Envify: dat is gebruik met een lage impact, maar het is verstandig te weten welke gegevens worden verwerkt en wie de resultaten controleert. AI-governance duikt ook op in de ESG-vragenlijsten van klanten en banken (daarover lees je meer in ESG-vragenlijsten van banken), en goed beheer van ESG-gegevens vertrekt vanuit dezelfde principes: weten waar de informatie vandaan komt en wie haar controleert. Over het gebruik van AI in rapportage kun je ook AI en duurzaamheidsrapportage lezen.
Voor de meeste bedrijven, die AI gebruiken zonder het te ontwikkelen, gelden er al drie verplichtingen: verboden praktijken vermijden, wie AI gebruikt trainen en zorgen voor transparantie naar klanten en publiek. Hoog risico is uitgesteld tot 2027 en 2028, maar de inventaris en indeling van de tools doe je het best nu.
