Een ondernemer hoort "AI Act" en denkt: weer een wet erbij. De vraag die er echt toe doet is simpeler: wat moet ik nu regelen, en wat pas later? Het antwoord begint bij het besef dat de AI Act en de AVG twee verschillende dingen reguleren, en naast elkaar gelden.
#AVG en AI Act: twee wetten, twee vragen
De AVG stelt een vraag over gegevens: verwerk je persoonsgegevens rechtmatig, met een grondslag, doelbinding en dataminimalisatie? Die wet geldt zodra er persoonsgegevens in het spel zijn, ook in een AI-tool.
De AI Act stelt een vraag over het systeem: hoe risicovol is dit AI-systeem, en welke waarborgen horen daarbij? Die wet kijkt naar het systeem zelf, ongeacht of er persoonsgegevens in zitten.
Gebruik je AI met persoonsgegevens, dan moet je aan beide voldoen. De AVG zegt wat er met de gegevens mag, de AI Act zegt hoe veilig en transparant het systeem moet zijn.
#De AI Act werkt met risiconiveaus
De AI Act deelt AI-systemen in naar risico:
- Verboden. Een korte lijst praktijken die niet mag, zoals social scoring door overheden. Verboden sinds 2 februari 2025.
- Hoog risico. AI die wordt ingezet voor zaken met grote gevolgen voor mensen, bijvoorbeeld werving en selectie, beoordeling, of toegang tot voorzieningen. Hiervoor gelden de zwaarste verplichtingen.
- Beperkt risico. Hier geldt vooral een transparantieplicht, zoals duidelijk maken dat iemand met AI praat of dat content door AI is gemaakt.
- Minimaal risico. De meeste alledaagse toepassingen, met weinig extra verplichtingen.
Belangrijk voor de meeste organisaties: een algemene chatbot die je gebruikt om teksten te schrijven of samen te vatten, valt doorgaans niet onder hoog risico. Het wordt anders zodra je AI inzet voor beslissingen met grote gevolgen voor mensen.
#De tijdlijn: wat geldt wanneer
De AI Act is op 1 augustus 2024 in werking getreden en wordt stapsgewijs ingevoerd. De deadline voor hoog-risico AI was oorspronkelijk 2 augustus 2026; de Digital Omnibus verschoof hem in juli 2026 naar 2 december 2027.
Wat er precies veranderde en wat gewoon doorgaat, lees je in de tijdlijn van de AI Act na de Digital Omnibus.
#Wat de meeste organisaties nu al moeten regelen
Twee dingen gelden ongeacht of je hoog-risico AI gebruikt.
1. AI-geletterdheid (sinds 2 februari 2025). Organisaties moeten ervoor zorgen dat medewerkers die met AI-systemen werken genoeg kennis en vaardigheden hebben om die verantwoord te gebruiken. Dat hoeft geen formeel diploma te zijn, maar je moet het kunnen aantonen. In de praktijk betekent dit: uitleg over wat AI wel en niet mag, en over welke gegevens niet in een prompt horen. Onze gids over wat je wel en niet met AI mag delen is hier een bruikbaar onderdeel van.
2. Een AVG-basis voor persoonsgegevens in AI. Gebruik je AI met persoonsgegevens, dan heb je een grondslag, doelbinding en dataminimalisatie nodig, en vaak een verwerkersovereenkomst met de leverancier. Dit verandert niet door de AI Act, het stond al in de AVG.
#Wat erbij komt bij hoog-risico AI
Zet je een hoog-risico AI-systeem in, dan komen er vanaf 2 december 2027 extra plichten bij voor de gebruiker, waaronder:
- Menselijk toezicht op de werking van het systeem.
- Werknemers informeren. Een werkgever moet werknemersvertegenwoordigers en de betrokken werknemers vooraf informeren voordat een hoog-risico AI-systeem op de werkvloer wordt ingezet.
- Een DPIA, en in bepaalde gevallen een aanvullende beoordeling van de gevolgen voor grondrechten (FRIA), als aanvulling op de DPIA.
- Transparantie richting mensen die door het systeem worden geraakt.
#Praktisch: de korte lijst
Voor de meeste mkb-bedrijven komt het neer op:
- AI-register. Houd bij welke AI-tools in gebruik zijn en waarvoor. De AI Tools-module doet dat werk doorlopend.
- Kort AI-beleid. Enkele pagina's met de regels voor medewerkers volstaan vaak. Zie een AI-beleid handhaven.
- Verwerkersovereenkomst. Regel met elke AI-leverancier wat met persoonsgegevens mag gebeuren.
- DPIA waar nodig. Zeker bij gevoelige verwerkingen of monitoring.
- AI-geletterdheid. Zorg dat mensen weten wat ze wel en niet mogen delen.
Een AI-register dat je handmatig bijhoudt, is verouderd zodra er een nieuwe tool opduikt die niemand heeft gelogd. De catalogus van BeeSensible dekt die stap: 865 AI-tools, elk beoordeeld op risico, met nieuwe tools die worden toegevoegd en beoordeeld zodra ze verschijnen.
#Wat je nu praktisch regelt
De AI Act en de AVG vragen om aantoonbare beheersing, maar de meeste risico's ontstaan gewoon op de werkvloer: een medewerker plakt klant- of patiëntgegevens in een prompt. Een verbod werkt vaak averechts en leidt tot shadow AI.
BeeSensible werkt aan de voorkant. Gevoelige gegevens krijgen een markering terwijl iemand typt in AI-tools in de browser, zodat ze nog verwijderd, vervangen of gemaskeerd kunnen worden voordat de prompt de deur uit gaat. Dat ondersteunt dataminimalisatie onder de AVG en maakt AI-geletterdheid concreet op het moment dat het telt. De verantwoording in het dashboard vertaalt diezelfde waarnemingen naar onderbouwing per kader en per maatregel. BeeSensible draait op ISO 27001-gecertificeerde EU-infrastructuur.
Begin niet bij de wettekst maar bij je eigen lijst: welke AI-tools zijn in gebruik, wie werkt ermee en welke gegevens gaan erin. De rest van de plichten hangt daaraan.
Verder lezen: AVG en AI op het werk en AVG en AI-tools op de werkvloer.
