Wat is AI-compliance?
AI-compliance is het geheel van keuzes, maatregelen en vastleggingen waarmee je laat zien dat je AI-gebruik voldoet aan de EU AI Act (Verordening (EU) 2024/1689). Het gaat niet om één formulier of één certificaat, maar om een doorlopend proces: je weet welke AI je inzet, je kent de risico's, en je hebt geregeld wat de wet vraagt.
Belangrijk om te onthouden: de wet werkt risicogebaseerd. Hoe groter het risico van een toepassing, hoe meer er van je wordt verwacht. Voor de meeste MKB-bedrijven, die AI vooral gebruiken in plaats van ontwikkelen, blijft het pakket overzichtelijk — mits je het gestructureerd aanpakt.
De vijf stappen naar compliance
In de praktijk komt AI-compliance neer op vijf samenhangende stappen. Je doorloopt ze niet eenmalig, maar houdt ze levend naarmate je organisatie nieuwe tools in gebruik neemt.
| Stap | Wat je doet | Waarom |
|---|---|---|
| 1. Registreren | Breng al je AI-gebruik in kaart in een AI-register | Je kunt alleen sturen op wat je in beeld hebt |
| 2. Classificeren | Bepaal per systeem de risicocategorie | De categorie bepaalt welke eisen gelden |
| 3. Documenteren | Leg beleid, beoordelingen en procedures vast | Compliance moet aantoonbaar zijn |
| 4. Trainen | Zorg voor AI-geletterdheid bij je mensen | Verplicht sinds 2 februari 2025 (Art. 4) |
| 5. Monitoren | Houd register en risico's actueel | AI en de wet veranderen continu |
Stap 1 — Registreren
Maak een overzicht van elke AI-toepassing die je gebruikt of aanbiedt: de chatbot op je site, het wervingshulpmiddel, de AI-functies in je boekhoudsoftware. Zonder dit overzicht kun je de rest niet onderbouwen. Een goed startpunt is de gratis risicoscan, die je gericht door je gebruik heen loopt.
Stap 2 — Classificeren
De AI Act kent vier categorieën: verboden (Art. 5), hoog risico (Bijlage III of I), beperkt risico (Art. 50, transparantieplichten) en minimaal risico. De categorie bepaalt je verplichtingen. Werving en selectie vallen bijvoorbeeld onder Bijlage III en dus onder hoog risico; een gewone chatbot valt onder beperkt risico.
Stap 3 — Documenteren
Per categorie horen documenten: een AI-beleid, een risicobeoordeling per systeem, een transparantieverklaring, een procedure voor menselijk toezicht en — bij hoog risico — soms een grondrechteneffectbeoordeling (FRIA, Art. 27). Vastleggen is geen bureaucratie om de bureaucratie: het ís je bewijs.
Stap 4 — Trainen
AI-geletterdheid (Art. 4) geldt al sinds 2 februari 2025. Je personeel moet AI-systemen begrijpen, risico's herkennen en weten wanneer ze moeten ingrijpen. Lees meer over de aanpak van AI-geletterdheid.
Stap 5 — Monitoren
Compliance is geen eindstation. Nieuwe tools, nieuwe leveranciers en wetswijzigingen (zoals de aangekondigde Digital Omnibus) vragen dat je je register en beoordelingen periodiek herziet.
Wie houdt toezicht?
In Nederland wordt het toezicht op de AI Act gecoördineerd door de Autoriteit Persoonsgegevens (AP) en de Rijksinspectie Digitale Infrastructuur (RDI). Daarnaast houden sectorale toezichthouders toezicht binnen hun domein, zoals DNB en AFM in de financiële sector en de IGJ in de zorg. Voor het MKB betekent dit vooral: zorg dat je je zaken op orde hebt en kunt onderbouwen, ongeacht welke toezichthouder aanklopt. Boetes lopen bij zware overtredingen op tot € 35 miljoen of 7% van de wereldwijde jaaromzet (Art. 99), waarbij voor het MKB telkens het laagste van bedrag of percentage geldt.
Waarom aantoonbaarheid centraal staat
Bij een controle telt niet wat je dacht te doen, maar wat je kunt laten zien. Toezichthouders en klanten willen documentatie: welke systemen, welke classificatie, welke maatregelen, welke training. Aantoonbaarheid is daarom de rode draad door alle stappen. Wie alles in losse mailtjes en spreadsheets verspreidt, heeft die onderbouwing op het beslissende moment niet paraat.
Wat dit voor het MKB betekent
Je hoeft geen juridische afdeling te hebben om compliant te zijn. Wel moet je het gestructureerd en consistent aanpakken. Begin klein — met overzicht en de verplichtingen die nú al gelden — en bouw van daaruit verder. Het UMW-platform helpt je van risicoscan tot doorlopend dashboard, en in de kennisbank verdiepen we elk onderdeel.