AI-geletterdheid?

De EU AI-Act rolt in fases uit. Sinds februari 2025 moeten uw medewerkers aantoonbaar AI-geletterd zijn. Vanaf 2 augustus 2026 begint de actieve handhaving door Nederlandse toezichthouders. Geen reden voor paniek, wel voor actie. In dit artikel leest u wat de wet inhoudt, welke stappen er nodig zijn en wat er wacht bij niet-naleving.

De AI-Act stelt regels aan de ontwikkeling, het op de markt brengen en het gebruik van AI-systemen. De wet werkt risicogericht: hoe groter het risico voor mensen en grondrechten, hoe strenger de eisen. Er zijn vier categorieën:

• Onaanvaardbaar risico: verboden. Denk aan social scoring en manipulatieve AI
• Hoog risico: zware eisen. Denk aan AI in werving, kredietbeoordeling of medische diagnose
• Beperkt risico: transparantieplicht. Chatbots en AI-gegenereerde content moeten herkenbaar zijn
• Minimaal risico: geen aanvullende verplichtingen. Spamfilters, aanbevelingssystemen

Voor het gros van het Nederlandse MKB gaat het niet om hoog-risico systemen. Wel gebruikt vrijwel iedereen AI: Microsoft Copilot, ChatGPT, of AI-functies die verstopt zitten in bestaande software zoals uw CRM of boekhouding. Daarmee valt uw organisatie onder de wet.

Sinds 2 februari 2025 zijn twee bepalingen van kracht:

• Artikel 4 (AI-geletterdheid): elke organisatie die AI gebruikt of aanbiedt moet zorgen dat haar mensen voldoende AI-geletterd zijn, passend bij hun rol. Er is geen verplichte cursus of certificaat, wel een aantoonbare inspanning (waarbij een certificaat of factuur dus wel degelijk handig is). Simpelweg doorverwijzen naar de handleiding van een tool is doorgaans niet voldoende. Ook ingehuurde krachten en externe dienstverleners vallen onder uw verantwoordelijkheid. 
  
  
• Artikel 5 (verboden praktijken): acht specifieke AI-toepassingen mogen sinds die datum nergens in de EU meer worden gebruikt.

De boetes onder de AI-Act staan in Artikel 99 en komen bovenop eventuele AVG-boetes:

• Tot € 35 miljoen of 7% van de wereldwijde jaaromzet bij overtreding van het verbod op onaanvaardbare AI (Artikel 5).
• Tot € 15 miljoen of 3% bij overtreding van andere verplichtingen, waaronder hoog-risico eisen. 
• Tot € 7,5 miljoen of 1% voor het verstrekken van onjuiste informatie aan toezichthouders. 

Voor MKB en startups geldt het laagste van beide bedragen. Concreet: een bedrijf met € 3 miljoen omzet kan bij een ernstige hoog-risico overtreding een boete van € 90.000 krijgen. 

Hoe zo'n handhavingstraject er in de praktijk uitziet, laat het Odido-datalek van begin 2026 zien. Bij deze cyberaanval kwamen persoonsgegevens van miljoenen (oud-)klanten op straat te liggen. De AP doet onderzoek naar overtreding van de AVG: gegevens die langer zijn bewaard dan de wet toestaat en de vraag of persoonsgegevens voldoende waren beveiligd. 

De les voor ondernemers: bij een incident kijkt de toezichthouder terug naar wat u aantoonbaar had geregeld. Het kernprincipe is accountability. Wie niets gedocumenteerd heeft, staat zwak. Dat werkt onder de AI-Act net zo. Belangrijk om te weten: de AP en RDI hebben aangegeven proactief te willen zijn: eerst dialoog, redelijke termijnen om te verbeteren, pas dan sancties. In 2026 richt de AP zich prioritair op hoog-risico toepassingen in HR, financiën en zorg.

De Autoriteit Persoonsgegevens hanteert vier stappen om aan Artikel 4 te voldoen. Deze zijn grotendeels intern en gratis te doorlopen. 

1. Inventariseer. Breng in kaart welke AI-tools uw medewerkers gebruiken. Vergeet de AI niet die verstopt zit in bestaande software: CRM, boekhouding, HR-tools, Copilot in Microsoft 365, marketing automation.
2. Stel doelen per rol. Een marketeer heeft andere kennis nodig dan een HR-collega of een directielid. Verdeel uw mensen in een paar groepen met elk een eigen leerdoel.
3. Voer uit. Zorg voor training, richtlijnen en een intern AI-beleid. Leg vast wat wel en niet mag rondom dataveiligheid, gebruik van bedrijfsgegevens en menselijk toezicht op AI-uitkomsten.
4. Evalueer. Herhaal periodiek. AI verandert snel. Documenteer aanwezigheid, beleidsstukken en updates. Zonder dossier kunt u bij een controle of incident niet aantonen dat u aan de plicht heeft voldaan.

Voor scholing van personeel kunnen mkb-ondernemingen gebruikmaken van de SLIM-regeling. De regeling is per 1 januari 2025 verlengd en loopt door tot en met 2029. Het subsidiepercentage voor individuele mkb-aanvragen is 60% van de subsidiabele kosten, met een minimum van € 5.000. Individuele mkb-aanvragen kennen twee tijdvakken per jaar. Op de website van Uitvoering van Beleid (SZW) vindt u de actuele tijdvakken en voorwaarden.

De EU AI-Act is er om verantwoord gebruik van AI in Europa te borgen. Voor de meeste MKB-organisaties betekent dat geen ingewikkelde compliance-operatie, maar wel bewust bezig zijn met wat u gebruikt en wat uw mensen ervan begrijpen. Goede dingen goed blijven doen.

Vragen over uw AI-gebruik, uw AI-beleid of een praktisch trainingstraject voor uw team? Wij denken graag mee. Neem contact op via info@agerion.nl of 0186 20 10 10.