Regels
Wat de Europese regel over AI-geletterdheid van werkgevers vraagt, wat er in de zomer van 2026 aan is veranderd en hoe je laat zien wat je hebt gedaan.
Ja. Artikel 4 van de AI-verordening verplicht aanbieders en gebruiksverantwoordelijken van AI-systemen om maatregelen te nemen die de ontwikkeling van AI-geletterdheid ondersteunen bij hun personeel en bij anderen die namens hen met AI werken. De regel geldt sinds 2 februari 2025. Een cursus, een examen of een vast kennisniveau schrijft de wet niet voor.
De AI-verordening is Verordening (EU) 2024/1689, in de wandeling de AI Act. Artikel 4 staat in hoofdstuk I. Volgens artikel 113 zijn de hoofdstukken I en II van toepassing met ingang van 2 februari 2025, ruim voor de rest van de verordening.
De verordening geeft een definitie in artikel 3, punt 56. Kort samengevat: de vaardigheden, kennis en het begrip waarmee aanbieders, gebruiksverantwoordelijken en betrokken personen AI-systemen geïnformeerd kunnen inzetten, en zich bewuster worden van de kansen, de risico's en de mogelijke schade. Het gaat dus om meer dan knoppenkennis. Iemand moet kunnen inschatten wanneer een uitkomst niet klopt en wat de gevolgen zijn voor de mensen over wie het gaat.
De oorspronkelijke tekst vroeg om maatregelen om "zoveel als mogelijk" te zorgen voor een "toereikend niveau" van AI-geletterdheid. Die formulering is vervangen door de digitale omnibus inzake AI, Verordening (EU) 2026/1744 van 8 juli 2026. Ze is op 24 juli 2026 bekendgemaakt en trad op de derde dag daarna in werking, dus op 27 juli 2026.
Artikel 4 heeft nu drie leden.
De toelichting bij de wijziging zegt dat strenge verplichtingen die een toereikend niveau waarborgen niet voor alle soorten organisaties geschikt bleken, en dat ze extra regeldruk opleverden, vooral voor kleinere ondernemingen.
De plicht is gebleven. Het woord "toereikend" is verdwenen, en daarmee de vraag of elke medewerker een bepaald peil haalt. Wat overblijft is een plicht om iets te doen dat past bij je mensen en je gebruik. Niets doen is dus nog steeds geen optie. De andere wijzigingen uit de omnibus, zoals latere data voor systemen met een hoog risico, staan in De AI Act in het najaar van 2026.
Lees oudere uitleg met die wijziging in het achterhoofd. Veel artikelen en trainingsaanbiedingen van voor de zomer van 2026 citeren nog de oude tekst.
Voor aanbieders en gebruiksverantwoordelijken van AI-systemen. Een aanbieder ontwikkelt een AI-systeem of brengt het op de markt. De meeste werkgevers vallen in de tweede groep.
Volgens artikel 3, punt 4, is dat een natuurlijke of rechtspersoon, overheidsinstantie of ander orgaan die een AI-systeem onder eigen verantwoordelijkheid gebruikt, behalve bij een persoonlijke niet-beroepsmatige activiteit. Laat je medewerkers voor hun werk een chatbot gebruiken, dan gebruikt je organisatie een AI-systeem. De omvang van je organisatie maakt daarbij niet uit: de regel kent geen ondergrens.
De Q&A van de Europese Commissie over AI-geletterdheid legt uit dat het gaat om mensen die geen werknemer zijn maar wel onder de organisatie vallen, zoals een opdrachtnemer of een dienstverlener. Werkt een zzp'er of een uitzendkracht bij jou met dezelfde AI-tools, dan neem je die mee.
Daarvoor geldt daarnaast een eigen regel. Artikel 26, lid 2, vraagt dat gebruiksverantwoordelijken van AI-systemen met een hoog risico het menselijk toezicht opdragen aan mensen met de nodige bekwaamheid, opleiding en autoriteit. De Commissie benadrukt in haar Q&A dat die plicht ongewijzigd blijft. Een documentzoekfunctie of een chatbot voor het schrijven van teksten valt niet vanzelf in die categorie. AI die meebeslist over sollicitanten, medewerkers of kredieten kan er wel onder vallen. Dat vraagt een eigen beoordeling.
De wet zegt niet welke maatregelen je neemt. De Commissie en de Autoriteit Persoonsgegevens (AP) hebben wel uitgewerkt hoe je het kunt aanpakken.
De Q&A van de Commissie is na de omnibus bijgewerkt. Ze noemt vier punten die een organisatie minimaal zou moeten overwegen.
De Commissie schrijft verder dat artikel 4 geen plicht bevat om de kennis van medewerkers te meten, en dat een getuigschrift niet nodig is. Organisaties kunnen een intern overzicht bijhouden van trainingen en andere initiatieven.
De AP heeft een pagina over AI-geletterdheid en twee handreikingen: Aan de slag met AI-geletterdheid van 30 januari 2025 en Verder bouwen aan AI-geletterdheid van 23 oktober 2025. De eerste beschrijft vier stappen: identificeren, doel bepalen, uitvoeren en evalueren. De tweede werkt een meerjarig actieplan uit met praktijkvoorbeelden.
De AP schrijft dat de benodigde kennis per situatie verschilt en afhangt van de context en de risico's, en dat de wet niet zegt welke maatregelen precies nodig zijn. Ze adviseert om van AI-geletterdheid een prioriteit te maken en het strategisch aan te pakken. Houd er rekening mee dat deze stukken uit 2025 dateren, van voor de wijziging van artikel 4. De aanpak in stappen blijft bruikbaar. De formulering van de plicht lees je in de actuele wettekst.
Niet iedereen heeft dezelfde kennis nodig. De tabel hieronder is een voorbeeld van een indeling per rol, niet iets wat de wet voorschrijft. Pas haar aan op je eigen tools en risico's.
| Rol in de organisatie | Wat iemand moet weten | Hoe je het vastlegt |
|---|---|---|
| Directie of bestuur | Welke AI de organisatie gebruikt, welke risico's dat geeft en wat de regels vragen | Besluit over het AI-beleid en een jaarlijkse bespreking in de notulen |
| Leidinggevenden | Welk gebruik in hun team is toegestaan en hoe ze een fout of incident afhandelen | Deelname aan de basistraining en een aanvullende instructie |
| Medewerkers die een chatbot gebruiken | Wat er met invoer gebeurt, welke gegevens er niet in mogen en hoe je een antwoord controleert | Datum van de training per persoon, met de versie van het materiaal |
| Medewerkers die met dossiers werken | Hoe je vragen stelt zonder namen, wat pseudonimisering wel en niet doet en wanneer je de bron naleest | Training voor de specifieke tool en de datum van herhaling |
| IT en applicatiebeheer | Instellingen, toegangsrechten, logging en de afspraken met leveranciers | Beheerdocumentatie en wijzigingen in de configuratie |
| Privacyverantwoordelijke of FG | De koppeling met de AVG: register, DPIA en datalekken | Adviezen en de beoordelingen zelf |
| Inhuur en opdrachtnemers | Dezelfde regels als de medewerkers met wie ze werken | Afspraak in de opdracht en deelname aan de training |
Hier is voorzichtigheid op zijn plaats. Dit is de stand op 13 oktober 2026.
Volgens de Q&A van de Commissie ligt het toezicht op artikel 4 bij de nationale markttoezichtautoriteiten en niet bij het Europese AI-bureau. De regels voor toezicht en handhaving zijn van toepassing vanaf begin augustus 2026. De Commissie noemt in haar Q&A op de ene plaats 2 augustus en op de andere 3 augustus 2026. Artikel 113 van de verordening noemt 2 augustus 2026 als algemene datum van toepassing.
Artikel 99 draagt de lidstaten op om voorschriften voor sancties en andere handhavingsmaatregelen vast te stellen, waaronder waarschuwingen en niet-geldelijke maatregelen. Ze moeten doeltreffend, evenredig en afschrikkend zijn. Wat een overtreding van artikel 4 in de praktijk kost, hangt dus af van nationaal recht. De Commissie schrijft dat handhaving evenredig moet zijn, en dat een sanctie waarschijnlijker is als er een incident is geweest dat terug te voeren is op gebrekkige training of begeleiding. Ze wijst er ook op dat iemand die schade lijdt, via het nationale recht een vordering kan instellen.
Op haar pagina over de AI-verordening schrijft de AP dat het kabinet werkt aan een voorstel voor het toezicht, dat er naar verwachting meerdere toezichthouders komen en dat nog niet vastligt in welke mate de AP zelf toezicht gaat houden. De taakverdeling komt in Nederlandse wetgeving te staan. Op de pagina's van de AP is op 13 oktober 2026 niet te lezen dat die wet al geldt. Ga er daarom niet van uit dat er niets kan gebeuren, en ook niet dat er morgen een boete volgt. De plicht zelf geldt al sinds februari 2025. Volg de berichtgeving van de AP en de Rijksoverheid voor de actuele stand.
Er is geen voorgeschreven vorm. Een intern overzicht volstaat volgens de Commissie. Zorg dat het antwoord geeft op de vragen die een toezichthouder, een klant of een accountant kan stellen.
Een eenmalige presentatie zonder aanwezigheidslijst is achteraf niet te tonen. Een handtekening onder "ik heb het beleid gelezen" zegt weinig over begrip. En een training die losstaat van de tools die mensen werkelijk gebruiken, mist het punt waar de wet om vraagt: rekening houden met de context van het gebruik.
AI-geletterdheid gaat over AI, niet alleen over privacy. In de praktijk overlappen de onderwerpen sterk. Een medewerker die begrijpt wat er met zijn invoer gebeurt, zet minder snel een klantdossier in een chatbot. Welke gegevens daar wel en niet in horen, staat in de regels per soort gegeven.
PrivaSearch pseudonimiseert persoonsgegevens in documenten, laat een collega het resultaat goedkeuren en maakt de vrijgegeven tekst daarna doorzoekbaar, ook voor een gekoppelde AI-assistent. Die koppeling werkt met Claude, ChatGPT Business en Mistral Vibe. Wie met zo'n omgeving werkt, moet weten wat hij voor zich heeft. Daarom zit er een training in het product.
Op de pagina over de werking staat het zo: medewerkers volgen een korte AI-geletterdheidstraining, in lijn met artikel 4 van de AI Act, met periodieke herneming. Zonder geldige training opent de werkruimte niet en weigert ook de MCP-koppeling. De training is dus een voorwaarde voor toegang en geen los onderdeel dat je kunt overslaan.
Op de pagina over de AVG en de AI Act noemen we dat een ingebouwde training met periodieke herneming, in plaats van een verbod dat medewerkers omzeilen. Daar staat ook dat handelingen in de omgeving worden gelogd en dat je een startdocument voor een AI-beleid meekrijgt. Dat is een startdocument en geen juridisch advies.
De grens is even duidelijk. De training gaat over het werken met PrivaSearch en een gekoppelde assistent. Ze dekt niet al het AI-gebruik in je organisatie, en ze neemt de plicht uit artikel 4 niet van je over. Welke maatregelen bij jouw mensen en jouw tools passen, bepaal je zelf. Wat een gekoppelde assistent wel en niet te zien krijgt, lees je op de pagina over AI-chatbots en de AVG.
Wil je zien hoe de training en de toegang samenhangen, vraag dan een demo aan.
Sinds 2 februari 2025. Op die datum werd artikel 4 van de Europese AI-verordening van toepassing. Sinds 27 juli 2026 geldt een aangepaste tekst: organisaties nemen maatregelen om de ontwikkeling van AI-geletterdheid te ondersteunen en hoeven geen bepaald niveau per persoon te waarborgen. Het toezicht door nationale autoriteiten is volgens de Europese Commissie van toepassing vanaf begin augustus 2026.
Ja. Artikel 4 maakt geen onderscheid naar omvang. Elke organisatie die een AI-systeem onder eigen verantwoordelijkheid gebruikt voor haar werk, valt eronder, ook een kantoor met vijf mensen die een chatbot gebruiken. Wel mag je de maatregelen afstemmen op je situatie. De Commissie en de lidstaten moeten juist kleine en middelgrote ondernemingen ondersteunen, onder meer met praktische voorbeelden.
Nee. De wet schrijft geen cursus, examen of diploma voor. De Europese Commissie schrijft in haar vragen en antwoorden dat een getuigschrift niet nodig is en dat organisaties een intern overzicht van trainingen en andere initiatieven kunnen bijhouden. Een cursus kan een goede maatregel zijn, maar een werkinstructie, een teamoverleg of een training in de tool zelf kan dat ook zijn.
Dat hangt af van nationaal recht. De AI-verordening draagt lidstaten op om sancties en andere handhavingsmaatregelen vast te stellen. In Nederland was de verdeling van het toezicht in oktober 2026 volgens de Autoriteit Persoonsgegevens nog niet vastgelegd. De Europese Commissie schrijft dat handhaving evenredig moet zijn en dat een sanctie waarschijnlijker is na een incident door gebrekkige training. Vraag een jurist voor je eigen situatie.
De wet schrijft geen registratie voor, maar zonder overzicht kun je niet laten zien wat je hebt gedaan. De Europese Commissie noemt een intern overzicht van trainingen en andere initiatieven als passende vorm. Leg per persoon vast welke training hij volgde en wanneer, en bewaar het materiaal. Houd het overzicht zo klein als nodig is: het zijn gegevens over je medewerkers.
Een AI-beleid zijn de afspraken: welke tools, welke gegevens, wie beslist. AI-geletterdheid is de kennis en vaardigheid om met AI te werken en de risico's te zien. Het een werkt niet zonder het ander. Regels die niemand begrijpt, worden niet nageleefd, en kennis zonder regels geeft geen houvast. In de praktijk beschrijf je de training in het beleid.
De tijdlijn van de AI Act na de digitale omnibus: wat al geldt, wat is verschoven naar 2027 en 2028, en wat je als gebruiker van AI-chatbots nu regelt.
Wat een deepfake is, welke regels er nu gelden, welk verbod eraan komt en wat je als organisatie doet tegen fraude met een nagemaakte stem of video.
Wat het Algoritmeregister en het IAMA zijn, wat verplicht is en wat niet, en wat een gemeente regelt als medewerkers AI-chatbots gebruiken.
We laten het zien met fictieve dossiers uit jouw branche: upload, herkenning, review, zoeken en de koppeling met je AI-assistent. Daarna weet je precies wat je team veilig kan gebruiken.
Plan een demo →