Een directeur van een installatiebedrijf met tachtig medewerkers krijgt een mail van een opleider: AI-geletterdheid is wettelijk verplicht, de organisatie moet aantoonbaar voldoen, en dat kan met een training van twee uur inclusief certificaat. Ze stuurt de mail door naar de privacyfunctionaris met één vraag: klopt dit?
Het eerste deel klopt. Het tweede deel niet, althans niet in de vorm die de mail suggereert. Artikel 4 van de AI-verordening geldt sinds 2 februari 2025 en vraagt organisaties om maatregelen te nemen voor een toereikend niveau van AI-geletterdheid bij de mensen die namens hen met AI-systemen werken. Een training, een certificaat of een aantal uren staat er niet in.
Wat staat er in de wet?
Aanbieders en gebruiksverantwoordelijken nemen maatregelen om, zoveel als in hun vermogen ligt, te zorgen voor een toereikend niveau van AI-geletterdheid bij hun personeel en bij andere personen die namens hen AI-systemen gebruiken. Daarbij houden ze rekening met de technische kennis, ervaring en opleiding van die mensen, met de context waarin de systemen worden gebruikt, en met de personen op wie de systemen worden toegepast.
Dat is de hele bepaling. Ze is bewust open geformuleerd, omdat dezelfde tekst moet gelden voor een fabrikant van medische software en voor een installatiebedrijf met tachtig mensen. De Digital Omnibus van juli 2026 heeft er een inspanningsverplichting van gemaakt: maatregelen nemen die de ontwikkeling van AI-geletterdheid ondersteunen. De verplichting bleef bestaan, de vorm bleef vrij. Wat er wel en niet is veranderd, staat in de tijdlijn van de AI-verordening na de Digital Omnibus.
Voor wie geldt het?
Voor wie AI-systemen maakt en voor wie ze onder eigen verantwoordelijkheid gebruikt. Die tweede groep is groter dan je zou denken. Een ziekenhuis met een triagesysteem is gebruiksverantwoordelijke, maar een kantoor waar mensen met een chatbot een offerte of verslag schrijven ook. En "namens hen" strekt zich uit tot inhuurkrachten en leveranciers die met de systemen van de organisatie werken. Wat de AI-verordening verder van een werkgever vraagt, lees je in ons artikel voor werkgevers over de AI-verordening.
Het installatiebedrijf valt er dus onder, met de dertig mensen die Copilot gebruiken voor mails en de vijf op kantoor die offertes met een chatbot voorbereiden. Niet omdat het bedrijf AI bouwt, maar omdat het AI gebruikt.
Wat is er niet verplicht?
De mail van de opleider haalt door elkaar wat de wet vraagt en wat een opleider verkoopt. Op een rij:
| Wat vaak wordt gedacht | Wat er staat |
|---|---|
| Iedereen moet een cursus volgen | Maatregelen nemen, afgestemd op rol en context; een cursus is één mogelijke maatregel |
| Er hoort een certificaat bij | Geen certificaat en geen formele toets; zelf vastleggen volstaat |
| Er geldt een minimumaantal uren | Geen uurnorm |
| Eén training voor de hele organisatie is genoeg | Wat toereikend is, verschilt per rol; wat voor de een genoeg is, is voor de ander te weinig |
| Het gaat om kunnen programmeren | Het gaat erom dat je weet wat je gebruikt, wat het niet kan en wanneer je een uitkomst niet zomaar overneemt |
De Europese Commissie bevestigt in haar vragen en antwoorden over artikel 4 dat een certificaat niet vereist is en dat een organisatie zelf vastlegt welke maatregelen ze heeft genomen. Ons artikel over AI-geletterdheid in 2026 linkt naar die pagina en gaat dieper in op wat de Commissie zegt.
Wat is toereikend?
Genoeg om in je eigen rol AI met kennis van zaken te gebruiken. Voor de meeste mensen komt dat neer op drie dingen: welke tools de organisatie heeft toegestaan en waar je dat nakijkt, welke gegevens niet in een prompt horen en dat een antwoord van een AI-tool een concept is dat je controleert. Wie AI inzet bij besluiten over mensen, bij werving of klantacceptatie bijvoorbeeld, moet meer weten: hoe het systeem tot een uitkomst komt en wanneer afwijken nodig is. Wie tools beoordeelt of inkoopt, heeft weer iets anders nodig.
Precies dat verschil per rol legt de organisatie vast. Niet "wij hebben getraind", maar "deze groep moest dit weten, dit hebben we ervoor gedaan en dit is er per tool besloten". Welke groepen een gewone organisatie heeft en wat elke groep nodig heeft, lees je in ons artikel over de vraag of iedere medewerker een AI-training moet volgen.
Wie ziet erop toe?
Sinds 2 augustus 2026 zijn de nationale toezichthouders bevoegd. De verordening koppelt geen eigen boete aan artikel 4; welke sanctie erop staat, regelen de lidstaten zelf. In Nederland gebeurt dat in de Uitvoeringswet AI-verordening, en die ligt nog niet definitief vast. Wie precies toeziet op artikel 4 en met welke bevoegdheden, staat dus nog open. Dat is geen reden om te wachten, wel een reden om in het eigen beleid geen zekerheden op te schrijven die er nog niet zijn.
De vraag "kun je het aantonen?" komt in de praktijk zelden het eerst van een toezichthouder. Ze komt van een klant in een aanbesteding, van de accountant, van de ondernemingsraad of na een datalek waarbij een medewerker een dossier in een chatbot heeft geplakt. Wat je dan op tafel legt, en waarom een presentielijst daar niet genoeg voor is, staat in ons artikel over hoe je AI-geletterdheid aantoont.
Hoe ziet dat eruit bij het installatiebedrijf?
De privacyfunctionaris schrijft terug: verplicht ja, in deze vorm nee. Ze stelt iets anders voor. Een kwartier in het werkoverleg voor iedereen die Copilot gebruikt, met de drie basisregels. Een korte instructie voor de vijf offertemakers over wat er wel en niet uit klantdossiers in een prompt mag. En een register met het besluit per tool, zodat mensen het kunnen nakijken als ze twijfelen.
Bij het opstellen van dat register blijkt uit een inventarisatie dat naast Copilot ook ChatGPT, Perplexity en een transcriptietool voor vergaderingen in gebruik zijn. Over de transcriptietool is nooit besloten. Dat is geen incident en ook geen bewijs dat de uitleg zinloos is. Het laat zien dat een training één moment is, en dat het besluit van de organisatie er ook moet zijn op het moment dat iemand een tool opent die er op de trainingsdag nog niet was.
