Een directeur van een installatiebedrijf met tachtig medewerkers krijgt een mail van een opleider: AI-geletterdheid is wettelijk verplicht, de organisatie moet aantoonbaar voldoen, en dat kan met een training van twee uur inclusief certificaat. Ze stuurt de mail door naar de privacyfunctionaris met één vraag: klopt dit?
Het eerste deel klopt. Het tweede deel niet, tenminste niet in de vorm die de mail suggereert. Artikel 4 van de AI Act geldt sinds 2 februari 2025 en vraagt organisaties om maatregelen te nemen voor een toereikend niveau van AI-geletterdheid bij de mensen die namens hen met AI-systemen werken. Er staat geen training in, geen certificaat en geen aantal uren.
Wat staat er in de wet?
Aanbieders en gebruiksverantwoordelijken nemen maatregelen om, zoveel als in hun vermogen ligt, te zorgen voor een toereikend niveau van AI-geletterdheid bij hun personeel en bij andere personen die namens hen AI-systemen gebruiken. Daarbij houden ze rekening met de technische kennis, ervaring en opleiding van die mensen, met de context waarin de systemen worden gebruikt, en met de personen op wie de systemen worden toegepast.
Dat is de hele bepaling. Ze is bewust open geformuleerd, omdat dezelfde tekst moet gelden voor een fabrikant van medische software en voor een installatiebedrijf met tachtig mensen. De Digital Omnibus van juli 2026 heeft er een inspanningsverplichting van gemaakt: maatregelen nemen die de ontwikkeling van AI-geletterdheid ondersteunen. De verplichting bleef, de vorm bleef vrij. Wat er wel en niet is veranderd staat in de tijdlijn van de AI Act na de Digital Omnibus.
Voor wie geldt het?
Voor wie AI-systemen maakt en voor wie ze onder eigen verantwoordelijkheid gebruikt. Die tweede groep is groter dan hij klinkt. Een ziekenhuis met een triagesysteem is gebruiksverantwoordelijke, en een kantoor waar mensen een chatbot gebruiken voor een offerte of een verslag is het ook. En "namens hen" strekt zich uit tot inhuurkrachten en leveranciers die met de systemen van de organisatie werken. Wat de AI Act verder van een werkgever vraagt, staat in de EU AI Act voor werkgevers.
Het installatiebedrijf valt er dus onder, met de dertig mensen die Copilot gebruiken voor mails en de vijf op kantoor die offertes met een chatbot voorbereiden. Niet omdat het bedrijf AI bouwt, maar omdat het AI gebruikt.
Wat is er niet verplicht?
De mail van de opleider mengt wat de wet vraagt met wat een opleider verkoopt. Uit elkaar gehaald:
| Wat vaak wordt gedacht | Wat er staat |
|---|---|
| Iedereen moet een cursus volgen | Maatregelen nemen, afgestemd op rol en context; een cursus is één mogelijke maatregel |
| Er hoort een certificaat bij | Geen certificaat en geen formele toets; eigen vastlegging volstaat |
| Er geldt een minimumaantal uren | Geen uurnorm |
| Eén training voor de hele organisatie is genoeg | Toereikend verschilt per rol; wat voor de een genoeg is, is voor de ander te weinig |
| Het gaat om kunnen programmeren | Het gaat om weten wat je gebruikt, wat het niet kan, en wanneer je een uitkomst niet overneemt |
De Europese Commissie bevestigt in haar vragen en antwoorden over artikel 4 dat een certificaat niet vereist is en dat een organisatie zelf vastlegt welke maatregelen ze heeft genomen. De pijler AI-geletterdheid in 2026 linkt naar die pagina en gaat dieper in op wat de Commissie er verder over zegt.
Wat betekent toereikend?
Genoeg om in je eigen rol AI met kennis van zaken te gebruiken. Voor de meeste mensen komt dat neer op drie dingen: welke tools de organisatie heeft toegestaan en waar je dat nakijkt, welke gegevens niet in een prompt horen, en dat een antwoord van een AI-tool een concept is dat je controleert. Wie AI inzet bij besluiten over mensen, bij werving of klantacceptatie bijvoorbeeld, moet meer weten: hoe het systeem tot een uitkomst komt en wanneer je ervan afwijkt. Wie tools beoordeelt of inkoopt, weer iets anders.
Dat verschil per rol is precies wat de organisatie vastlegt. Niet "wij hebben getraind", maar "deze groep moest dit weten, dit hebben we ervoor gedaan, en dit is er per tool besloten". Welke groepen er in een gewone organisatie zijn en wat elk nodig heeft, staat in moet iedere medewerker een AI-training volgen.
Wie ziet erop toe?
Sinds 2 augustus 2026 zijn de nationale toezichthouders bevoegd. Artikel 4 heeft in de verordening geen eigen boetebepaling; welke sanctie erop staat regelen de lidstaten zelf. In Nederland gebeurt dat in de Uitvoeringswet AI-verordening, en die ligt nog niet definitief vast. Wie precies toeziet op artikel 4 en met welke bevoegdheden, is dus nog open. Dat is geen reden om te wachten, wel een reden om in het eigen beleid geen zekerheden op te schrijven die er nog niet zijn.
De vraag "kun je het aantonen" komt in de praktijk zelden eerst van een toezichthouder. Hij komt van een klant in een aanbesteding, van de accountant, van de ondernemingsraad, of na een datalek waarbij een medewerker een dossier in een chatbot heeft geplakt. Wat je dan op tafel legt, en waarom een presentielijst daar niet genoeg voor is, staat in hoe toon je AI-geletterdheid aan.
Hoe ziet dat eruit bij het installatiebedrijf?
De privacyfunctionaris schrijft terug: verplicht ja, in deze vorm nee. Ze stelt iets anders voor. Een kwartier in het werkoverleg voor iedereen die Copilot gebruikt, met de drie basisregels. Een korte instructie voor de vijf offertemakers over wat er wel en niet uit klantdossiers in een prompt gaat. En een register met per tool het besluit, zodat mensen het kunnen nakijken als ze twijfelen.
Bij het opstellen van dat register blijkt uit een inventarisatie dat naast Copilot ook ChatGPT, Perplexity en een transcriptietool voor vergaderingen in gebruik zijn. Over de transcriptietool is nooit besloten. Dat is geen incident en geen bewijs dat de uitleg zinloos is. Het laat zien dat een training één moment is, en dat het besluit van de organisatie er ook moet zijn op het moment dat iemand een tool opent die er op de trainingsdag nog niet was.
