EU AI-verordening naleving voor kmo's: verplichtingen, deadlines en wat u nu moet doen.

Ja. Bedrijven die AI-systemen inzetten die door anderen zijn gebouwd — bekend als "gebruikers" — hebben verplichtingen onder de EU AI-verordening. Deze omvatten maatregelen ter ondersteuning van AI-geletterdheid bij medewerkers (Article 4, van kracht vanaf 2 augustus 2026), gebruikers informeren wanneer ze met AI-systemen interacteren (Article 50, van kracht vanaf 2 augustus 2026) en voorbereiding op de Annex III hoog-risico gebruikersverplichtingen onder Article 26, die gelden vanaf 2 december 2027. De omvang van de verplichtingen hangt af van welke AI-tools u gebruikt en voor welk doel.

Hoog-risico AI-systemen zijn die welke zijn opgenomen in Annex III van de verordening. Ze omvatten AI gebruikt bij werving en HR-beslissingen (zoals cv-screening), beheer van kritieke infrastructuur, onderwijs en beroepsopleidingsbeoordelingen, toegang tot essentiële diensten (krediet, verzekering), rechtshandhaving en biometrische identificatie. De volledige nalevingsverplichtingen voor Annex III-systemen — inclusief conformiteitsbeoordeling, registratie in de EU-database en de Article 26 gebruikersverplichtingen — gelden vanaf 2 december 2027. Deze datum is gewijzigd van de oorspronkelijke 2 augustus 2026 door Regulation (EU) 2026/1744.

De verordening (Regulation (EU) 2024/1689) is in werking getreden op 1 augustus 2024. Belangrijke data: Article 5 verboden praktijken gelden vanaf 2 februari 2025 (en blijven van kracht). Verplichtingen voor aanbieders van AI-modellen voor algemeen gebruik gelden vanaf 2 augustus 2025. Article 4 (AI-geletterdheidmaatregelen) en Article 50 (transparantie) gelden vanaf 2 augustus 2026. Twee nieuwe Article 5-verboden toegevoegd door Regulation (EU) 2026/1744 gelden vanaf 2 december 2026. De volledige Annex III hoog-risico systeemverplichtingen (Hoofdstuk III) gelden vanaf 2 december 2027 — gewijzigd door Regulation (EU) 2026/1744 ten opzichte van de oorspronkelijke augustus 2026-datum. Annex I hoog-risico systemen voor gereglementeerde producten gelden vanaf 2 augustus 2028.

Article 4 (zoals gewijzigd door Regulation (EU) 2026/1744) vereist dat aanbieders en gebruikers maatregelen nemen ter ondersteuning van de ontwikkeling van voldoende AI-geletterdheidvaardigheden bij hun medewerkers en anderen die namens hen met AI werken. De verplichting is evenredig — het vereiste niveau van ondersteuning schaalt met de rol en het risiconiveau van de betrokken AI-systemen. Er is geen specifieke trainingscertificering, cursusduur of minimale kwalificatie vereist. Gedocumenteerde richtlijnen, trainingsregistraties en personeelsbijeenkomsten zijn praktische manieren om naleving aan te tonen. Deze verplichting geldt vanaf 2 augustus 2026.

Article 5 verbiedt bepaalde AI-toepassingen volledig. Oorspronkelijke verboden (van kracht 2 februari 2025) omvatten: AI die gedrag manipuleert via subliminale of misleidende technieken; exploitatie van kwetsbaarheden van specifieke groepen; realtime biometrische identificatie op afstand in openbare ruimten (met beperkte uitzonderingen voor rechtshandhaving); sociale scoring door overheidsinstanties; emotieherkenning op werkplekken of in onderwijsinstellingen (met beperkte uitzonderingen); en AI die beschermde kenmerken afleidt uit biometrische gegevens. Regulation (EU) 2026/1744 heeft twee nieuwe verboden toegevoegd die gelden vanaf 2 december 2026: Article 5(1)(ba) verbiedt AI die niet-consensuele intieme synthetische beelden van echte personen genereert, en Article 5(1)(bb) verbiedt AI die materiaal van seksueel misbruik van kinderen genereert. Deze beoordeling screent op bepaalde Article 5-risico's maar vormt geen uitputtende juridische goedkeuring voor elk verbod.

Article 50 vereist dat gebruikers aan gebruikers openbaar maken wanneer ze met een AI-systeem interacteren (Article 50(1)) — bijvoorbeeld via chatbots of virtuele assistenten — tenzij dit duidelijk is uit de context. Door AI gegenereerde of significant door AI gewijzigde afbeeldingen, audio en video moeten als zodanig worden gelabeld in een machineleesbaar formaat (Article 50(4)). Deze verplichtingen gelden vanaf 2 augustus 2026. Reeds bestaande systemen die voor die datum in gebruik waren, dienden snel naleving te bereiken. Er is een beperkte overgangsregeling voor bepaalde reeds bestaande synthetische-contentssystemen onder de gewijzigde verordening.