Een ondernemer hoort "AI Act" en denkt: weer een wet erbij. De vraag die er echt toe doet, is simpeler: wat moet ik nu regelen, en wat pas later? Het antwoord begint hiermee: de AI-verordening (de Nederlandse naam voor de AI Act) en de AVG regelen twee verschillende dingen en gelden naast elkaar.
#AVG en AI-verordening: twee wetten, twee vragen
De AVG stelt een vraag over gegevens: verwerk je persoonsgegevens rechtmatig, met een grondslag, doelbinding en dataminimalisatie? Die wet geldt zodra er persoonsgegevens in het spel zijn, ook in een AI-tool.
De AI-verordening stelt een vraag over het systeem: hoe risicovol is dit AI-systeem, en welke waarborgen horen daarbij? Die wet kijkt naar het systeem zelf, ongeacht of er persoonsgegevens in zitten.
Gebruik je AI met persoonsgegevens, dan moet je aan beide voldoen. De AVG zegt wat er met de gegevens mag, de AI-verordening zegt hoe veilig en transparant het systeem moet zijn.
#De AI-verordening werkt met risiconiveaus
De AI-verordening deelt AI-systemen in naar risico:
- Verboden. Een korte lijst praktijken die niet mogen, zoals social scoring door overheden. Verboden sinds 2 februari 2025.
- Hoog risico. AI die wordt ingezet voor zaken met grote gevolgen voor mensen, bijvoorbeeld werving en selectie, beoordeling of toegang tot voorzieningen. Hiervoor gelden de zwaarste verplichtingen.
- Beperkt risico. Hier geldt vooral een transparantieplicht, zoals duidelijk maken dat iemand met AI praat of dat tekst of beeld door AI is gemaakt.
- Minimaal risico. De meeste alledaagse toepassingen, met weinig extra verplichtingen.
Belangrijk voor de meeste organisaties: een algemene chatbot die je gebruikt om teksten te schrijven of samen te vatten, valt doorgaans niet onder hoog risico. Het wordt anders zodra je AI inzet voor beslissingen met grote gevolgen voor mensen.
#De tijdlijn: wat geldt wanneer
De AI-verordening is op 1 augustus 2024 in werking getreden en wordt stapsgewijs ingevoerd. De deadline voor AI met een hoog risico was oorspronkelijk 2 augustus 2026; de Digital Omnibus verschoof hem in juli 2026 naar 2 december 2027.
Wat er precies veranderde en wat gewoon doorgaat, lees je in de tijdlijn van de AI-verordening na de Digital Omnibus.
#Wat de meeste organisaties nu al moeten regelen
Twee dingen gelden ongeacht of je AI met een hoog risico gebruikt.
1. AI-geletterdheid (sinds 2 februari 2025). Organisaties moeten ervoor zorgen dat medewerkers die met AI-systemen werken genoeg kennis en vaardigheden hebben om die verantwoord te gebruiken. Dat hoeft geen formeel diploma te zijn, maar je moet het kunnen aantonen. In de praktijk betekent dit: uitleg over waarvoor je AI wel en niet mag gebruiken, en over welke gegevens niet in een prompt horen. Onze gids over wat je wel en niet met AI mag delen kan daar deel van uitmaken.
2. Een AVG-basis voor persoonsgegevens in AI. Gebruik je AI met persoonsgegevens, dan heb je een grondslag, doelbinding en dataminimalisatie nodig, en vaak een verwerkersovereenkomst met de leverancier. De AI-verordening verandert daar niets aan; het stond al in de AVG.
Zet je een AI-systeem met een hoog risico in, dan komen er vanaf 2 december 2027 extra plichten bij voor de gebruiksverantwoordelijke (de organisatie die het systeem inzet), waaronder:
- Menselijk toezicht op de werking van het systeem.
- Werknemers informeren. Een werkgever moet werknemersvertegenwoordigers en de betrokken werknemers informeren voordat een AI-systeem met een hoog risico op het werk wordt ingezet.
- Een DPIA, en in bepaalde gevallen ook een beoordeling van de gevolgen voor grondrechten (FRIA), als aanvulling op de DPIA.
- Transparantie tegenover de mensen op wie het systeem van invloed is.
#Vijf dingen die je praktisch regelt
Voor de meeste mkb-bedrijven komt het neer op:
- AI-register. Houd bij welke AI-tools in gebruik zijn en waarvoor. BeeSensible ziet welke tools in gebruik zijn en legt per tool je besluit vast in het AI-register.
- Kort AI-beleid. Enkele pagina's met de regels voor medewerkers volstaan vaak. Hoe je zo'n beleid daarna laat werken, lees je in ons artikel over een AI-beleid handhaven.
- Verwerkersovereenkomst. Regel met elke AI-leverancier wat met persoonsgegevens mag gebeuren.
- DPIA waar nodig. Zeker bij gevoelige verwerkingen of monitoring.
- AI-geletterdheid. Zorg dat mensen weten wat ze wel en niet mogen delen.
Een AI-register dat je handmatig bijhoudt, is verouderd zodra er een nieuwe tool opduikt die niemand heeft geregistreerd. De catalogus van BeeSensible vangt dat op: meer dan 1.000 AI-tools, elk beoordeeld op risico, en doorlopend aangevuld met tools die in organisaties opduiken.
#Waar het risico in de praktijk ontstaat
De AI-verordening en de AVG vragen om beheersing die je kunt laten zien, maar de meeste risico's ontstaan gewoon tijdens het werk: een medewerker plakt klant- of patiëntgegevens in een prompt. Een verbod werkt vaak averechts en leidt tot shadow AI.
BeeSensible werkt aan de voorkant. Gevoelige gegevens krijgen een markering terwijl iemand typt in AI-tools in de browser, zodat ze nog gemaskeerd of verwijderd kunnen worden voordat de prompt de deur uit gaat. Dat ondersteunt dataminimalisatie onder de AVG en maakt AI-geletterdheid concreet op het moment dat het telt. Het scherm Onderbouwing in het dashboard bundelt de cijfers per periode, met per wetsbepaling uitleg over wat BeeSensible bijdraagt en wat erbuiten valt. BeeSensible draait op ISO 27001-gecertificeerde EU-infrastructuur.
Begin niet bij de wettekst maar bij je eigen lijst: welke AI-tools zijn in gebruik, wie werkt ermee en welke gegevens gaan erin. De andere plichten volgen daaruit.
Verder lezen: de onderwerppagina AVG en AI op het werk en onze praktische uitrolgids voor AI-tools onder de AVG.
