Regels
Wat de AI Act is, welke risicocategorieën en rollen de wet kent, en wat een organisatie die alleen AI-chatbots gebruikt nu al moet regelen.
De AI Act is de Europese AI-verordening, Verordening (EU) 2024/1689. Ze stelt regels aan wie AI-systemen maakt, verkoopt of gebruikt, en die regels worden strenger naarmate het risico voor mensen groter is. De wet geldt rechtstreeks in alle lidstaten, ook voor een organisatie die alleen een AI-chatbot gebruikt.
Je komt de wet onder drie namen tegen: AI Act, EU AI Act en AI-verordening. Het is dezelfde tekst. Dit artikel legt de opbouw uit: wat een AI-systeem is, welke rollen de wet kent, welke risicocategorieën er zijn en wat dat betekent voor een gewone organisatie. De artikelen die we noemen hebben wij op 13 oktober 2026 nagelopen in de tekst op de AI Act Service Desk van de Europese Commissie, met de wijzigingen van 2026 erin.
Een verordening hoeft niet eerst in Nederlandse wetgeving te worden omgezet. De regels gelden zoals ze in de Europese tekst staan. Nederland regelt zelf alleen wie toezicht houdt en hoe sancties worden opgelegd. Die uitvoeringswet is er nog niet.
De definitie staat in artikel 3. Een AI-systeem is een systeem op basis van een machine dat met een zekere mate van autonomie werkt en uit zijn invoer afleidt hoe het uitvoer maakt, zoals voorspellingen, inhoud, aanbevelingen of beslissingen. Een chatbot valt daaronder. Een rekenblad met vaste formules niet.
De wet maakt daarnaast onderscheid tussen een AI-systeem en een AI-model voor algemene doeleinden. Het model is de motor, bijvoorbeeld het taalmodel achter ChatGPT, Claude of Mistral Vibe (voorheen Le Chat). Het systeem is wat jij gebruikt: de chatbot met zijn venster, instellingen en koppelingen.
De EU AI Act geldt volgens artikel 2 voor aanbieders die AI in de EU op de markt brengen, waar ze ook gevestigd zijn, en voor gebruiksverantwoordelijken die in de EU gevestigd zijn. Ook importeurs, distributeurs en fabrikanten van producten met AI erin vallen eronder.
De meeste organisaties zijn gebruiksverantwoordelijke. Je bent het al als medewerkers een chatbot voor hun werk gebruiken.
Dat gebeurt sneller dan je denkt. Artikel 25 noemt drie gevallen waarin een gebruiker of andere partij als aanbieder van een hoog-risicosysteem wordt behandeld: je zet je eigen naam of merk op een bestaand hoog-risicosysteem, je wijzigt zo'n systeem ingrijpend, of je verandert het doel van een systeem zodat het hoog risico wordt. Dat laatste kan ook met een algemene chatbot. Wie zo'n chatbot inricht om sollicitanten te rangschikken, moet zich afvragen of hij daarmee de plichten van een aanbieder op zich neemt. Laat dat toetsen voordat je het bouwt.
Artikel 2 noemt een aantal uitzonderingen. De wet geldt niet voor AI die uitsluitend voor defensie of nationale veiligheid wordt gebruikt en niet voor systemen die alleen voor wetenschappelijk onderzoek zijn gemaakt. De plichten van een gebruiksverantwoordelijke gelden ook niet voor een persoon die AI puur privé gebruikt. Zakelijk gebruik op een privéaccount is geen privégebruik: de organisatie blijft verantwoordelijk.
De Commissie beschrijft op haar overzichtspagina over het regelgevend kader voor AI vier niveaus. De Autoriteit Persoonsgegevens (AP) wijst er op haar pagina over de AI-verordening op dat je zelf moet nagaan in welke categorie een systeem valt dat je ontwikkelt of gebruikt.
| Risicocategorie | Voorbeeld | Wat het vraagt |
|---|---|---|
| Verboden praktijk (artikel 5) | Emotieherkenning op de werkplek; mensen een sociale score geven die tot benadeling leidt | Niet aanbieden en niet gebruiken |
| Hoog risico (artikel 6, bijlage I en III) | Software die cv's selecteert; beoordelen of iemand recht heeft op een uitkering; kredietwaardigheid beoordelen | Aanbieder: risicobeheer, datakwaliteit, documentatie, logging, menselijk toezicht. Gebruiker: de plichten van artikel 26 |
| Transparantie (artikel 50) | Een chatbot op je website; een deepfake; AI-tekst over zaken van algemeen belang | Mensen laten weten dat ze met AI te maken hebben of dat inhoud kunstmatig is |
| Minimaal of geen risico | Spamfilter; AI in een computerspel | Geen specifieke eisen uit de AI Act; wel AI-geletterdheid en, bij persoonsgegevens, de AVG |
| Model voor algemene doeleinden (hoofdstuk V) | Het taalmodel achter een chatbot | Plichten voor de maker van het model, niet voor de gebruiker |
Artikel 5 verbiedt toepassingen die de wetgever onaanvaardbaar vindt. Het gaat onder meer om misleidende of manipulerende technieken die mensen schade toebrengen, het uitbuiten van kwetsbaarheid door leeftijd, beperking of sociale situatie, sociale scores, het voorspellen van strafbaar gedrag op basis van alleen een profiel, het ongericht verzamelen van gezichtsfoto's voor herkenningsdatabanken, emotieherkenning op het werk en in het onderwijs, en het indelen van mensen op gevoelige kenmerken aan de hand van biometrie. Sinds de zomer van 2026 staan er twee verboden bij, die op 2 december 2026 ingaan: AI die zonder toestemming intiem beeldmateriaal van herkenbare personen maakt, en AI die materiaal van seksueel kindermisbruik maakt.
Er zijn twee routes naar hoog risico. De eerste is AI als veiligheidsonderdeel van een product dat al onder Europese productregels valt, zoals machines of speelgoed (bijlage I). De tweede is een lijst van acht gebieden in bijlage III: biometrie, kritieke infrastructuur, onderwijs, werkgelegenheid en personeelsbeheer, essentiële diensten en uitkeringen, rechtshandhaving, migratie en grenscontrole, en rechtsbedeling en democratische processen.
Artikel 6 bevat een uitzondering. Een systeem uit bijlage III is geen hoog risico als het geen wezenlijk risico vormt, bijvoorbeeld omdat het alleen een smalle procedurele taak uitvoert of een voorbereidende taak doet. Die uitzondering vervalt zodra het systeem mensen profileert: dan is het altijd hoog risico. Wat dat in de praktijk van een personeelsafdeling betekent, staat in ons artikel over AI in HR.
Voor systemen die met mensen praten of inhoud maken, gelden de transparantieregels van artikel 50. Die regels en de overgangstermijnen staan uitgewerkt in ons artikel over de AI Act in het najaar van 2026. Voor de grootste groep, die de Commissie minimaal of geen risico noemt, stelt de AI Act geen specifieke eisen.
De wet is op 1 augustus 2024 in werking getreden en gaat in fasen gelden. De data staan in artikel 113. Een wijzigingsverordening, de digitale omnibus over AI, heeft een deel van die data in de zomer van 2026 verschoven. Volgens de Commissie is die wijziging op 27 juli 2026 in werking getreden.
Dit is de stand op 13 oktober 2026. De volledige tijdlijn en wat nog een voorstel is, lees je in het artikel over het najaar van 2026 dat hierboven is gelinkt.
Minder dan veel mensen denken, maar niet niets. Een chatbot voor samenvatten, schrijven en zoeken staat niet in bijlage III. Toch heb je als gebruiksverantwoordelijke plichten die vandaag gelden.
Gebruik je een hoog-risicosysteem, dan gelden vanaf 2 december 2027 de plichten van artikel 26.
Mensen over wie een besluit wordt genomen op basis van zo'n systeem, kunnen volgens artikel 86 om uitleg vragen over de rol van het systeem. Leg deze afspraken vast in je AI-beleid. Een opzet staat in ons artikel over AI-beleid opstellen.
Het AI-bureau van de Commissie houdt toezicht op de makers van modellen voor algemene doeleinden. Voor de rest wijzen de lidstaten toezichthouders aan. In Nederland is dat nog niet gebeurd. De AP schrijft in een bericht van 9 oktober 2026 dat zij de beoogde markttoezichthouder is, maar nog niet is aangewezen, en dat zij pas bevoegdheden heeft zodra de Nederlandse uitvoeringswet van kracht is. De regels zelf gelden wel al.
De maxima staan in artikel 99. Hoe boetes in Nederland worden opgelegd, regelt de uitvoeringswet.
Voor het mkb en startende ondernemingen geldt het laagste van de twee bedragen in plaats van het hoogste. Het zijn maxima, geen tarieven: de ernst, de duur en de omvang van de organisatie tellen mee.
De twee wetten kijken naar verschillende dingen. De AI Act regelt het systeem: wat het mag doen, hoe het gemaakt en gebruikt wordt. De AVG regelt de persoonsgegevens: of je ze mag verwerken, hoeveel, hoe lang en met welke waarborgen.
Artikel 2 van de AI Act zegt dat de verordening het Europese recht over de bescherming van persoonsgegevens onverlet laat. Een chatbot die buiten elke risicocategorie valt, kan dus nog steeds een probleem zijn onder de AVG, bijvoorbeeld als iemand er een dossier in plakt. Wat de AVG in gewone taal vraagt, staat in ons artikel over de AVG-wetgeving.
PrivaSearch maakt documenten doorzoekbaar nadat persoonsgegevens zijn vervangen door pseudoniemen en een collega dat heeft gecontroleerd. Het zoekt en citeert. Het beoordeelt geen mensen en neemt geen beslissingen. Op de pagina over de AVG en de AI Act staat dat dit een classificatie buiten de hoog-risicocategorieën ondersteunt, afhankelijk van het beoogde gebruik en de werkwijze. De classificatie van jouw gebruik maak je zelf.
Een paar onderdelen sluiten aan op wat de wet van een gebruiker vraagt. De menselijke review is verplicht en niet over te slaan. Elk antwoord verwijst naar document en pagina, zodat je de bron kunt controleren. Handelingen worden gelogd. En medewerkers volgen een korte training over AI-geletterdheid met periodieke herhaling; zonder geldige training opent de werkruimte niet. Hoe de stappen op elkaar volgen, staat op de pagina Hoe PrivaSearch werkt.
Je kunt een AI-assistent koppelen: Claude, ChatGPT Business en Mistral Vibe. Wat zo'n assistent wel en niet te zien krijgt, staat op de pagina over AI-chatbots en de AVG. Gepseudonimiseerde gegevens blijven voor jouw organisatie persoonsgegevens, dus de AVG blijft gelden.
Je omgeving maakt daarnaast een AI-beleid en een DPIA-startdocument op basis van je eigen inrichting. Het zijn startdocumenten en geen juridisch advies. Wil je zien hoe dit werkt, vraag dan een demo aan.
De AI Act is een Europese verordening met regels voor het maken, verkopen en gebruiken van AI-systemen. De regels worden strenger naarmate het risico voor mensen groter is. Een klein aantal toepassingen is verboden, een beperkte groep is hoog risico en moet aan strenge eisen voldoen, en voor chatbots en gemaakte inhoud gelden transparantieregels. De wet geldt rechtstreeks in alle lidstaten van de EU.
Ja. AI Act, EU AI Act en AI-verordening zijn drie namen voor dezelfde wet: Verordening (EU) 2024/1689. De Nederlandse overheid en de Autoriteit Persoonsgegevens spreken meestal van de AI-verordening, in het dagelijks gebruik hoor je vaker AI Act. In de zomer van 2026 is de tekst op onderdelen gewijzigd door de digitale omnibus over AI. Lees dus altijd de geconsolideerde versie.
Ja. Wie een AI-systeem onder eigen verantwoordelijkheid voor het werk gebruikt, is gebruiksverantwoordelijke. Je moet dan uit de buurt blijven van de verboden praktijken en maatregelen nemen om de AI-geletterdheid van je mensen te ondersteunen. De zware eisen voor hoog-risicosystemen gelden alleen als je de chatbot inzet voor een doel uit bijlage III, zoals het selecteren van sollicitanten.
Als het een veiligheidsonderdeel is van een product dat onder Europese productregels valt, of als het wordt ingezet in een van de acht gebieden van bijlage III, zoals personeelsbeheer, onderwijs, essentiële diensten of rechtshandhaving. Er is een uitzondering voor systemen die geen wezenlijk risico vormen, maar die geldt niet als het systeem mensen profileert. Het doel van het gebruik bepaalt de indeling.
Artikel 99 noemt drie maxima. Voor verboden praktijken is dat 35 miljoen euro of 7 procent van de wereldwijde jaaromzet, voor de meeste andere plichten 15 miljoen euro of 3 procent, en voor onjuiste informatie aan toezichthouders 7,5 miljoen euro of 1 procent. Voor het mkb geldt het laagste van de twee bedragen. Hoe boetes in Nederland worden opgelegd, regelt een uitvoeringswet die er nog niet is.
Nee. De AI Act regelt het AI-systeem, de AVG regelt de persoonsgegevens die erin gaan en eruit komen. Beide gelden naast elkaar. Een toepassing die onder de AI Act nauwelijks eisen kent, kan onder de AVG nog steeds een verwerkersovereenkomst, een regel in je register en een DPIA vragen. Kijk bij elke AI-toepassing dus naar beide wetten.
De tijdlijn van de AI Act na de digitale omnibus: wat al geldt, wat is verschoven naar 2027 en 2028, en wat je als gebruiker van AI-chatbots nu regelt.
Wat een deepfake is, welke regels er nu gelden, welk verbod eraan komt en wat je als organisatie doet tegen fraude met een nagemaakte stem of video.
Wat het Algoritmeregister en het IAMA zijn, wat verplicht is en wat niet, en wat een gemeente regelt als medewerkers AI-chatbots gebruiken.
We laten het zien met fictieve dossiers uit jouw branche: upload, herkenning, review, zoeken en de koppeling met je AI-assistent. Daarna weet je precies wat je team veilig kan gebruiken.
Plan een demo →