AI Act compliance check

Wat je uitkomst betekent

De AI Act compliance check zegt in tien vragen in welke risicoklasse de AI in je bedrijf valt, welke plichten daarbij horen en vanaf welke dag ze gelden. De AI Act, officieel de AI-verordening (Verordening (EU) 2024/1689), deelt AI in vier klassen in: verboden, hoog risico, transparantie en minimaal risico. Je bedrijf valt in de zwaarste klasse die een van je toepassingen haalt. De lichtere plichten blijven daarnaast gewoon gelden.

De wet geldt niet alleen voor wie AI bouwt. Ook wie AI gebruikt in zijn bedrijf, in de wet de gebruiksverantwoordelijke, heeft plichten: een bureau dat ChatGPT inzet voor offertes, een webshop met een chatbot, een werkgever die cv's laat sorteren. Er is geen uitzondering voor kleine bedrijven, wel een lagere boete. Alleen puur persoonlijk gebruik buiten je beroep valt erbuiten.

De check volgt de tekst zoals de AI Omnibus (Verordening (EU) 2026/1744) die op 27 juli 2026 wijzigde. Wat die omnibus verschoof en wat bleef, lees je in het nieuws over het uitstel voor hoog risico.

Zo bepaalt de check je klasse, stap voor stap

1. Gebruik je AI voor je werk? Dan geldt AI-geletterdheid (artikel 4), sinds 2 februari 2025. Dat is de bodem: elke uitkomst behalve "Geen AI" draagt die plicht.
2. Doe je iets wat artikel 5 verbiedt? De check vraagt naar de verboden praktijk die een kmo het snelst raakt: emoties afleiden van werknemers of cursisten, uit camera, stem of tekst. Ja betekent verboden, wat je verder ook antwoordt.
3. Beslist of adviseert AI over mensen in een domein van bijlage III? Werving, beslissingen over personeel, kredietwaardigheid, de prijs van een levens- of ziekteverzekering en onderwijs. Ja betekent hoog risico, met plichten vanaf 2 december 2027.
4. Praat je AI met mensen, of maakt ze content die echt lijkt? Een chatbot, een AI-stem, een beeld of video die echt oogt, of AI-tekst over zaken van publiek belang zonder menselijke redactie. Ja betekent transparantie (artikel 50), sinds 2 augustus 2026.
5. Verkoop je de AI zelf, of zet je ze onder je eigen naam op de markt? Dan ben je aanbieder. Je bouwt de melding en de markering zelf in, en bij hoog risico komen er documentatie, een conformiteitsbeoordeling en een CE-markering bij.

Een rekenvoorbeeld. Een webshop met twaalf werknemers en 3 miljoen euro omzet schrijft productteksten met ChatGPT en heeft een chatbot op de site. Uitkomst: transparantie, met twee plichten die nu gelden: AI-geletterdheid en de melding in de chat. Een overtreding van artikel 50 kost hoogstens 15 miljoen euro of 3 procent van de wereldwijde jaaromzet. Een groot bedrijf riskeert het hoogste van de twee, een kmo het laagste. 3 procent van 3 miljoen is 90.000 euro, dus voor deze webshop ligt het plafond op 90.000 euro. Vul je omzet in de check in en hij rekent dat voor je uit.

Voor een kmo geldt telkens het laagste van het bedrag en het percentage. Een kleine midcap, een bedrijf net boven de kmo-grens, krijgt sinds de omnibus hetzelfde voordeel, behalve bij een verboden praktijk. Wie een toezichthouder foute of onvolledige informatie geeft, riskeert los daarvan tot 7,5 miljoen euro of 1 procent.

AI Act verplichtingen voor een werkgever

Als werkgever raakt de AI Act je op drie plekken. De eerste is AI-geletterdheid voor iedereen die met AI werkt. De tweede is het verbod op emotieherkenning op de werkvloer en in opleidingen, behalve om medische of veiligheidsredenen. De derde komt met hoog risico: zet je vanaf 2 december 2027 een systeem uit bijlage III in, bijvoorbeeld om sollicitanten te filteren of prestaties te beoordelen, dan informeer je vooraf de werknemersvertegenwoordigers en de werknemers die het raakt (artikel 26). Je laat een opgeleide collega toezien, volgt de instructies van de leverancier, bewaart de logs minstens zes maanden en vertelt sollicitanten dat AI meebeslist.

Een tool die alleen afspraken plant of een vacaturetekst herschrijft, is geen hoog risico: bijlage III gaat over beslissingen over mensen. Waar AI in HR wel tijd wint zonder die grens te raken, lees je in AI voor HR.

Is AI-geletterdheid verplicht?

Ja. Sinds 2 februari 2025 moet een bedrijf dat AI inzet, maatregelen nemen zodat wie ermee werkt genoeg weet om dat verstandig te doen. De AI Omnibus hield die plicht, maar de tekst zegt nu uitdrukkelijk dat je geen bepaald niveau per persoon moet garanderen. Een certificaat, een examen of een vaste opleiding vraagt de Europese Commissie niet, en ze verplicht je ook niet de kennis van je mensen te meten. Toezicht en sancties gelden sinds 2 augustus 2026, via de nationale toezichthouder, en een sanctie moet in verhouding staan tot het geval. Artikel 99 koppelt er geen eigen boetebedrag aan: dat legt elke lidstaat vast. Op de lijst van de Commissie, bijgewerkt op 7 september 2026, stond voor België nog geen markttoezichthouder.

Voor een kmo volstaat in de praktijk vaak een pagina afspraken plus een uur uitleg: welke tools je gebruikt, welke gegevens er nooit in gaan, wie de uitkomst nakijkt. Een kort register van wie welke uitleg kreeg, maakt het aantoonbaar. Hoe je die afspraken opschrijft, staat in AI-beleid en de AI Act. Of zo'n beleid op papier moet, lees je in AI-beleid verplicht?, en een ingevuld voorbeeld vind je in het AI beleid template.

Je wisselt van kolom sneller dan je denkt. Zet je je eigen naam op een hoog-risicosysteem, wijzig je het wezenlijk, of verander je het doel van een systeem zodat het onder bijlage III valt, dan word je volgens artikel 25 zelf aanbieder. Dat geldt ook voor een algemene tool zoals ChatGPT die je voor zo'n doel inzet.

Vier bedrijven door de check

Een zelfstandige boekhouder schrijft mails met ChatGPT en werkt met een eigen GPT vol fiscale notities. Uitkomst: minimaal, met een plicht: AI-geletterdheid, die al geldt. Tijd: een uur om drie afspraken op te schrijven. De valkuil zit ernaast: klantgegevens in een gratis account is een vraag voor de AVG, niet voor de AI Act, maar het hoort in dezelfde afspraken. Welk abonnement je gegevens buiten de training houdt, vergelijk je in ChatGPT of Copilot en ChatGPT prijs.

Een webshop zet een chatbot op de site en maakt sfeerbeelden met AI. Uitkomst: transparantie. De bot zegt in zijn eerste bericht dat hij AI is. Maak je met AI beelden van mensen, plekken of gebeurtenissen die echt lijken, dan vermeld je dat erbij. Kost: een zin in de chat en een label, geen geld. Hoe je de chatbot zelf naloopt, staat in de transparantieplicht voor chatbots.

Een dienstbedrijf met tien man gebruikt een HR-pakket dat sollicitanten een score geeft. Uitkomst: hoog risico, met de zware plichten vanaf 2 december 2027. Nu geldt alleen AI-geletterdheid. Tegen december 2027: de instructies van de leverancier volgen, een opgeleide collega die de scores nakijkt en kan overrulen, de logs zes maanden bewaren, werknemers en sollicitanten informeren. Kies je dit jaar een nieuw pakket, vraag de leverancier dan nu hoe hij zich voorbereidt. Let op de nuance van artikel 6, lid 3: een tool die alleen een smalle procedurele taak doet, zoals cv's op datum van binnenkomst sorteren, valt buiten hoog risico. Maakt ze een profiel van kandidaten, dan niet. De check ziet dat verschil niet en kiest de voorzichtige kant.

Een softwarebedrijf verkoopt een chatbot aan klanten in de EU. Uitkomst: transparantie, als aanbieder. Je bouwt de melding in en zorgt dat beeld, audio of tekst van je product machineleesbaar als AI gemarkeerd is. Bestond je product al voor 2 augustus 2026, dan heb je voor die markering tijd tot 2 december 2026; meer daarover in AI-content markeren. Verkoop je dezelfde bot later aan een recruiter om sollicitanten te screenen, dan verkoop je een hoog-risicosysteem.

Wat de check niet ziet

• De uitzonderingen van artikel 6, lid 3, die een systeem uit bijlage III toch buiten hoog risico houden, zoals een voorbereidende of puur procedurele taak. Bij profilering geldt de uitzondering nooit.
• Domeinen die een kmo zelden raakt: biometrie, kritieke infrastructuur, uitkeringen van de overheid, politie, migratie en justitie.
• De plichten van wie zelf een algemeen AI-model maakt. Die gelden sinds 2 augustus 2025 voor de makers van modellen zoals GPT, Claude en Gemini, niet voor wie ze gebruikt.
• De AVG. Klantgegevens in een AI-tool vragen een rechtsgrond, een verwerkersovereenkomst en een vermelding in je privacyverklaring, los van de AI Act.
• Wie zelf software verkoopt, krijgt ook met nieuwe regels voor productaansprakelijkheid van software te maken.

De check geeft je klasse en je plichten, geen advies op maat. Voor een product dat je in de EU op de markt brengt of een HR-systeem dat over mensen beslist, laat je de uitkomst nakijken door een jurist.