Je organisatie gebruikt Microsoft Copilot voor het opstellen van offertes. Een collega laat een tool klantberichten samenvatten. En de HR-afdeling test software die sollicitanten beoordeelt. Herkenbaar? Dan is de EU AI Act geen ver-van-je-bed-show meer. Veel MKB-organisaties denken dat deze Europese wetgeving alleen voor grote techbedrijven geldt. Dat is een misverstand dat je duur kan komen te staan. De AI Act is van kracht en de eerste verplichtingen gelden al. Een doordachte aanpak op het gebied van adoptie en change management is daarbij onmisbaar. Wij leggen je uit wat dit voor jouw organisatie van 100 tot 500 medewerkers betekent en wat je nú moet regelen.
Wat is de EU AI Act en waarom raakt het jou?
De EU AI Act is de eerste brede Europese wet die het gebruik van kunstmatige intelligentie reguleert. De wet werkt met een risicoklassesysteem. Hoe hoger het risico van een AI-toepassing, hoe strenger de eisen. Dat klinkt abstract, maar het is heel concreet. Als jouw organisatie AI-systemen gebruikt, inkoopt of inzet bij klanten of medewerkers, val je onder de reikwijdte van deze wet.
Je hoeft geen AI-ontwikkelaar te zijn om verplichtingen te hebben. Organisaties die AI-systemen inzetten in hun bedrijfsprocessen worden in de AI Act aangeduid als “gebruikers” of “deployers”. Ook als gebruiker heb je verantwoordelijkheden. Denk aan transparantie richting medewerkers, het bijhouden van documentatie en het toetsen of een systeem geschikt is voor jouw specifieke gebruik.
Een logistiek bedrijf met 250 medewerkers dat routeplanningssoftware met AI-componenten gebruikt, valt hier al onder. Niet omdat ze AI bouwen, maar omdat ze het inzetten in een operationeel proces.
Welke AI-toepassingen vallen onder hoog risico?
De AI Act verdeelt toepassingen in vier categorieën: onaanvaardbaar risico, hoog risico, beperkt risico en minimaal risico. De categorie bepaalt welke verplichtingen voor jou gelden. Onaanvaardbare toepassingen zijn verboden. Hoog-risicotoepassingen vragen om de meeste aandacht.
Hoog-risicotoepassingen zijn systemen die beslissingen nemen die mensen direct raken. Denk aan software voor personeelswerving en selectie, systemen die toegang tot diensten bepalen, of tools die medewerkers beoordelen op basis van gedrag of prestaties. Ook AI in kritieke infrastructuur valt hieronder. Voor een productiebedrijf dat AI inzet bij kwaliteitscontrole of veiligheidsmonitoring op de werkvloer, is dit direct relevant.
Veel gebruikte kantoortoepassingen, zoals samenvattingstools of tekstassistenten gebaseerd op grote taalmodellen, vallen doorgaans in de categorie beperkt risico. Daar gelden lichtere verplichtingen, maar ook die mag je niet negeren. Transparantie richting de gebruiker is daarbij de kern.
Wat moet je nu al geregeld hebben?
De AI Act is gefaseerd ingevoerd. Het verbod op onaanvaardbare toepassingen geldt al. De verplichtingen voor hoog-risicosystemen volgen in 2025 en 2026. Maar wachten tot de deadline is geen strategie. Compliance begint met inzicht: weet je welke AI-systemen jouw organisatie gebruikt?
De eerste stap is een inventarisatie. Maak een lijst van alle tools, softwarepakketten en diensten die AI-componenten bevatten. Dat is breder dan je denkt. Microsoft 365 Copilot, CRM-systemen met voorspellende functies, planningstools met slimme suggesties: het zijn allemaal AI-toepassingen in de zin van de wet.
De tweede stap is classificatie. Bepaal per tool welke risicocategorie van toepassing is. Dat vraagt om kennis van de wet én van jouw eigen bedrijfsprocessen. Wij zien bij organisaties van deze omvang regelmatig dat die twee werelden niet op elkaar zijn afgestemd. De IT-afdeling weet niet precies wat HR gebruikt, en HR weet niet wat de wet vraagt.
De derde stap is documentatie. Hoog-risicosystemen vereisen aantoonbare maatregelen: risicobeoordelingen, gebruikersinstructies en logs van hoe het systeem wordt ingezet. Dat is geen eenmalig project maar een doorlopend proces.
Hoe zorg je voor adoptie en bewustwording in jouw organisatie?
Compliance is geen IT-feestje. De AI Act raakt HR, operations, inkoop en management. Medewerkers die dagelijks met AI-tools werken, moeten weten wat ze wel en niet mogen. Ze moeten begrijpen wanneer een beslissing door een mens moet worden genomen en wanneer een AI-advies slechts een hulpmiddel is.
Dat vraagt om meer dan een memo. Het vraagt om gestructureerde adoptie en change management. Medewerkers moeten de regels niet alleen kennen, maar ook snappen waarom ze er zijn. Een inkoopmanager die begrijpt dat een AI-tool voor leveranciersselectie onder hoog risico valt, zal anders omgaan met de uitkomsten van dat systeem. Bewustwording is de basis van verantwoord gebruik.
SPS ondersteunt organisaties bij dit proces via een aanpak waarbij techniek en menselijke regie hand in hand gaan. Niet alleen de systemen worden ingericht, maar ook de mensen die ermee werken worden meegenomen. Dat is geen bijzaak: het is de voorwaarde voor duurzame compliance.
Wat betekent dit voor jouw inkoopstrategie?
De AI Act legt ook verantwoordelijkheid bij de inkoop van AI-systemen. Als deployer ben jij verantwoordelijk voor het gebruik, ook als een leverancier de software heeft gebouwd. Dat betekent dat je bij de aanschaf van nieuwe software moet vragen: bevat dit product AI-componenten? Zo ja, in welke risicocategorie valt het? En welke documentatie levert de leverancier?
Leveranciers van hoog-risicosystemen zijn verplicht om specifieke informatie te verstrekken, zoals technische documentatie en instructies voor correct gebruik. Maar jij moet er als gebruiker actief naar vragen en controleren of het klopt. Voor organisaties met 150 tot 400 medewerkers die werken met meerdere softwareleveranciers is dit een aanzienlijke toevoeging aan het leveranciersmanagement.
Hier ligt een directe link naar Managed IT-Regie. SPS voert namens jouw organisatie de regie over de gehele IT-keten, inclusief leveranciers. Dat betekent dat vragen over AI-compliance onderdeel kunnen zijn van het leveranciersbeheer. Geen vingerwijzen, geen blinde vlekken. Jij houdt grip, wij zorgen dat het klopt.
Hoe past de AI Act in een bredere compliance-aanpak?
De AI Act staat niet op zichzelf. Voor veel MKB-organisaties speelt ook NIS2 een rol, de Europese richtlijn voor cybersecurity. Beide wetten vragen om documentatie, risicobeheersing en aantoonbare maatregelen. De overlap is groot. Een organisatie die al bezig is met NIS2-compliance heeft een goede basis om de AI Act op te bouwen.
Toch zijn er belangrijke verschillen. NIS2 richt zich op de beveiliging van systemen en netwerken. De AI Act richt zich op de werking en het gebruik van AI-systemen en de impact op mensen. Beide vragen om beleid, maar de invulling verschilt. Behandel ze niet als één project, maar stem ze wel op elkaar af.
SPS ondersteunt organisaties bij NIS2-gereedheid via Managed Continuity. De aanpak die daarvoor is ingericht, met doorlopend toezicht, gedocumenteerde processen en gestructureerde rapportage via Gensys, legt tegelijk een fundament voor AI-compliance. Dat is efficiënt en slim. Je bouwt één keer een robuuste basis en past die toe op meerdere compliance-vraagstukken.
De EU AI Act vraagt om actie, niet om afwachten. Jij bepaalt welke AI-tools jouw organisatie gebruikt, maar de wet bepaalt hoe je dat verantwoord doet. Wij helpen je bij de inventarisatie, de classificatie en het inrichten van de juiste processen. Van technische documentatie tot bewustwording bij medewerkers. Ontdek hoe SPS jouw organisatie begeleidt via Managed Services
Veelgestelde vragen over de EU AI Act voor het MKB
Geldt de EU AI Act ook voor mijn organisatie als ik geen AI ontwikkel?
Ja. De AI Act maakt onderscheid tussen ontwikkelaars en gebruikers van AI-systemen. Als jouw organisatie AI-tools inzet in bedrijfsprocessen, ben je een deployer en heb je verplichtingen. Dat geldt voor het overgrote deel van het MKB dat werkt met moderne software. De omvang van de verplichtingen hangt af van de risicocategorie van de tools die je gebruikt.
Wanneer moet mijn organisatie volledig compliant zijn?
De AI Act wordt gefaseerd ingevoerd. Het verbod op verboden toepassingen geldt al. Verplichtingen voor hoog-risicosystemen gaan in 2025 en 2026 in. Regels voor algemene AI-systemen, zoals grote taalmodellen, volgen in de loop van 2025. Wachten is geen optie: een inventarisatie en classificatie van jouw AI-gebruik moet nu al plaatsvinden.
Wat zijn de gevolgen als mijn organisatie niet compliant is?
De boetes voor overtreding van de AI Act zijn aanzienlijk. Afhankelijk van de overtreding lopen ze op tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet. Voor MKB-organisaties zijn deze bedragen relatief, maar ook kleinere boetes en reputatieschade kunnen hard aankomen. Compliance is geen kostenpost maar een investering in continuïteit.
perts
