Wat de AI Act nu concreet van je vraagt

Sinds 2 augustus gelden de transparantieverplichtingen uit de Europese AI Act. Concreet: als een klant met een chatbot praat, moet die weten dat er geen mens aan de andere kant zit. Als je een realistisch beeld of filmpje met AI maakt, moet dat zichtbaar zijn. Klinkt overzichtelijk.

Toch is dit niet het lastige deel. Het lastige deel is dat je moet weten waar AI vandaag al in je bedrijf draait — en de meeste KMO's hebben daar geen zicht op. Niet uit onwil, maar omdat AI de voorbije twee jaar stilletjes in bestaande software is gekropen. In je CRM, je boekhoudpakket, je klantendienst, je vertaaltool. Niemand heeft dat ooit als een beslissing genomen.

Hieronder wat er precies verandert, wat er níét moet, en hoe je in een halve dag in kaart brengt waar je staat.

Wat er sinds 2 augustus geldt

De regel heet artikel 50 van de AI Act en bevat vier verplichtingen. Ze gelden voor wie AI aanbiedt én voor wie AI gebruikt — dat tweede woord doet het meeste werk. Je hoeft geen AI te bouwen om eronder te vallen. Je moet ze alleen inzetten.

Chatbots moeten zich bekendmaken. Praat een klant rechtstreeks met een AI-systeem, dan moet dat duidelijk zijn bij het eerste contact. Niet in de algemene voorwaarden, maar in het gesprek zelf. Uitzondering: wanneer het voor een normaal oplettende gebruiker sowieso overduidelijk is.

Realistische AI-beelden, -video en -audio moeten gelabeld worden. Gaat het door voor echt, dan moet zichtbaar of hoorbaar zijn dat het kunstmatig is. Ook zonder dat je iemand wilde misleiden. Dit raakt marketing harder dan de meeste bedrijven verwachten: dat gegenereerde sfeerbeeld op je website of in je advertentie valt hieronder.

AI-tekst over onderwerpen van algemeen belang moet vermeld worden. Dit gaat over publicaties die het publiek informeren over maatschappelijke thema's, gezondheid, veiligheid, nieuws. Er is een belangrijke uitzondering: heeft een mens de tekst redactioneel nagekeken en neemt iemand er verantwoordelijkheid voor, dan vervalt de vermelding.

Emotieherkenning en biometrische categorisering moeten gemeld worden aan de mensen die eraan blootgesteld worden.

De boetes gaan tot 15 miljoen euro of 3% van de wereldwijde jaaromzet. Voor KMO's liggen de maxima lager, maar dat is geen reden om het te laten liggen.

Wat er níét moet

Er circuleert veel paniek die niet klopt, dus even de andere kant.

Je gewone commerciële teksten hoeven geen AI-label. De vermeldingsplicht voor tekst gaat over publicaties van algemeen belang, niet over je productpagina of je nieuwsbrief. Een AI-hulpje dat je e-mails helpt schrijven valt daar niet onder.

Een vertaling hoeft in principe niets. Kleine technische bewerkingen van beeld evenmin — bijschaven, kleurcorrectie, retouche. Duidelijk onrealistische content en satire zijn uitgezonderd.

Content die je vóór 2 augustus al gepubliceerd had, moet je niet met terugwerkende kracht gaan labelen.

En puur privégebruik valt buiten de regels. Dit gaat over wat je als bedrijf naar buiten brengt.

De verplichting die bijna niemand kent

Er is nog iets dat sinds augustus afdwingbaar is en veel minder aandacht krijgt: AI-geletterdheid. De AI Act verplicht organisaties die AI gebruiken om ervoor te zorgen dat hun medewerkers voldoende begrijpen wat ze in handen hebben.

Geen certificaat, geen opleidingstraject van drie dagen. Wel: weten wat de tool doet, wat de risico's zijn, en welke afspraken er gelden. Voor een bedrijf van vijftien mensen waar iedereen zijn eigen AI-tool gebruikt zonder dat er ooit iets is afgesproken, is dat vandaag niet in orde.

Het echte werk: weten waar AI al draait

Wie de vorige twee hoofdstukken leest, komt vanzelf bij dezelfde vraag uit: waar zit AI eigenlijk in ons bedrijf?

Bij de meeste KMO's is het antwoord "geen idee", en dat is een eerlijker antwoord dan "nergens". Wat we in de praktijk tegenkomen:

• Een chatfunctie op de website die met een AI-model werkt, geleverd door de webbouwer
• Een klantendienstpakket waar vorig jaar een AI-antwoordsuggestie in is bijgekomen
• Marketingbeelden die door een extern bureau gegenereerd zijn
• Medewerkers die op eigen initiatief ChatGPT gebruiken voor offertes en e-mails, zonder afspraken en soms met klantgegevens erin
• Een boekhoud- of HR-pakket waar "AI" in een release notes stond die niemand gelezen heeft

Dat laatste is de categorie die het vaakst wordt onderschat. Je hebt geen AI ingevoerd — je leverancier heeft het erbij gezet.

Deze inventaris noemen juristen shadow AI. Het is de eerste stap, en het is een stap die niets kost behalve tijd.

Een halve dag werk

Concreet, en je hebt er niemand voor nodig:

1. Lijst je software op. Alles waar bedrijfsgegevens in gaan. Ga per pakket na of er AI-functionaliteit in zit — meestal staat het in de release notes of op de prijspagina.
2. Vraag het je mensen. Niet als controle, wel als inventaris: welke AI-tools gebruik je, waarvoor, en gaan er klantgegevens in? Zeg er expliciet bij dat er geen sancties op staan, anders krijg je geen eerlijk antwoord.
3. Kijk naar wat naar buiten gaat. Website, socials, advertenties, nieuwsbrief. Zit er gegenereerd beeld tussen? Draait er een chatbot?
4. Vraag het je leveranciers. Webbouwer, marketingbureau, softwarepartners. Zij weten het beter dan jij.
5. Zet er afspraken op. Eén blad volstaat: welke tools mogen, welke gegevens er niet in mogen, en wie het nakijkt voor het naar buiten gaat.

Punt vijf is meteen je begin van AI-geletterdheid. Twee vliegen.

Wat er nog aankomt

De zwaarste stukken van de AI Act zijn uitgesteld, niet afgevoerd. Voor je agenda:

2 december 2026 — bestaande generatieve systemen moeten hun output machineleesbaar gemarkeerd hebben. Vanaf dezelfde datum geldt ook een nieuw verbod op niet-consensuele intieme AI-beelden.

2 augustus 2027 — de nationale testomgevingen (sandboxes) moeten operationeel zijn.

2 december 2027 — de regels voor hoogrisico-AI uit bijlage III. Dit is de belangrijke voor gewone bedrijven: hieronder valt onder meer AI bij aanwerving en selectie, en bij kredietbeoordeling. Gebruik je software die kandidaten screent of rangschikt, dan zit je hier straks in.

2 augustus 2028 — hoogrisico-AI die in gereguleerde producten is ingebouwd, zoals medische toestellen en machines.

Eén Belgische kanttekening: er is nog altijd geen officiële toezichthouder aangeduid. Verwacht wordt dat het BIPT die rol krijgt. Dat het toezicht nog niet rond is, verandert niets aan de verplichtingen zelf.

Wat wij zelf doen

Wij bouwen automatiseringen voor KMO's, dus deze regels gelden evengoed voor ons. Bij ons betekent dat: elke automatisering die met klanten of hun klanten communiceert maakt duidelijk dat er AI in zit, en er kijkt altijd een mens naar de output voor die naar buiten gaat. Dat laatste deden we al voor het moest.

Bij elke doorlichting die we uitvoeren, brengen we onder meer in kaart wie in het bedrijf vandaag al AI gebruikt, waarvoor, en met welke afspraken — en waar de bedrijfsgegevens terechtkomen. Dat is geen juridisch advies, maar het is wel het overzicht dat je nodig hebt voor je een jurist iets zinnigs kan vragen.

En dat is meteen de eerlijke afsluiter: wij zijn geen advocaten. Wat hierboven staat is een praktische samenvatting, geen juridisch advies. Voor de vraag of jouw specifieke geval onder een verplichting valt, spreek je best iemand die daarvoor opgeleid is.

Maar de inventaris — weten wat er draait — die kan je vandaag zelf beginnen. En zonder die inventaris kan niemand je verder helpen.

Bij elke doorlichting die we uitvoeren, brengen we onder meer in kaart wie in het bedrijf vandaag al AI gebruikt, waarvoor, en met welke afspraken — en waar de bedrijfsgegevens terechtkomen.

‍