AI Act: geldt die voor mij als ik ChatGPT gebruik?

Als je ChatGPT of Copilot gebruikt om teksten te schrijven of mail te beantwoorden, val je onder de lichtste categorie van de AI-verordening. Je hoeft dan geen certificering, geen audit en geen risicodossier. Wat wel geldt sinds 2 februari 2025 is AI-geletterdheid: je moet zorgen dat mensen die met AI werken snappen wat ze doen. En sinds 2 augustus 2026 gelden transparantieverplichtingen, zoals duidelijk maken dat een bezoeker met een chatbot praat.

In het kort

• Normaal zakelijk gebruik van AI voor teksten en mail valt onder de lichtste categorie: geen certificering en geen audit.
• Sinds 2 februari 2025 geldt wel AI-geletterdheid: mensen die ermee werken moeten begrijpen wat ze gebruiken.
• Sinds 2 augustus 2026 gelden transparantieregels, bijvoorbeeld dat een bezoeker weet dat hij met een chatbot praat.
• Let extra op bij AI in werving en selectie, bij beslissingen over mensen, en als je AI in een product levert.

Uit onderzoek van de Kamer van Koophandel onder ruim zeshonderd ondernemers bleek dat de helft de AI-verordening niet kent en dat veertig procent niet weet of de wet op hun bedrijf van toepassing is. Ondertussen gebruikt dertig procent van de ondernemers ChatGPT of Copilot, in de zakelijke dienstverlening zelfs bijna de helft. Dat gat tussen gebruik en kennis is precies waarom er zoveel angstverkoop over dit onderwerp rondgaat.

Hoe de wet is opgebouwd

De AI-verordening werkt met risicocategorieën. Wat er van je gevraagd wordt hangt af van waar jouw toepassing in valt, niet van hoe groot je bedrijf is.

• Onaanvaardbaar risico. Verboden. Denk aan sociale scoring door overheden en aan systemen die kwetsbaarheden van mensen uitbuiten. Dit verbod geldt sinds 2 februari 2025. Voor gewone bedrijven speelt dit vrijwel nooit.

• Hoog risico. Hier gelden zware eisen: risicobeheer, documentatie, menselijk toezicht, logging. Het gaat om AI in bijvoorbeeld werving en selectie, kredietbeoordeling, onderwijs en kritieke infrastructuur, en om AI als veiligheidscomponent in producten. De verplichtingen hiervoor zijn uitgesteld, naar 2 december 2027 voor de ene categorie en 2 augustus 2028 voor de andere. Let op: over de exacte formalisering van dat uitstel was in 2026 nog het laatste woord niet gezegd, dus check dat als je hierin zit.

• Beperkt risico. Transparantie is de kern. Praat een klant met een chatbot, dan moet dat duidelijk zijn. Publiceer je AI-gegenereerde content, dan gelden er labelverplichtingen. Deze verplichtingen zijn van kracht sinds 2 augustus 2026.

• Minimaal risico. Geen specifieke verplichtingen. Hier valt het overgrote deel van het normale zakelijke gebruik onder: teksten schrijven, samenvatten, vertalen, code genereren, mail voorbereiden.

Wat dit voor een normaal MKB-bedrijf betekent

Twee dingen, en meer meestal niet.

AI-geletterdheid. Sinds 2 februari 2025 moeten organisaties zorgen dat medewerkers die met AI werken voldoende begrip hebben van wat ze gebruiken. Er is geen voorgeschreven cursus en geen examen. Wat er wel van je verwacht wordt is dat mensen weten dat een taalmodel dingen kan verzinnen, dat ze weten welke gegevens ze er wel en niet in mogen zetten, en dat ze weten dat ze zelf verantwoordelijk blijven voor wat ze eruit halen.

Praktisch: schrijf een pagina met huisregels, bespreek die één keer met je mensen, en leg vast dat je dat hebt gedaan. Dat is voor de meeste bedrijven voldoende en het is bovendien gewoon verstandig.

Transparantie. Zet je een chatbot op je website, dan moet de bezoeker weten dat hij niet met een mens praat. Gebruik je AI om klantcommunicatie te genereren, wees daar dan open over waar dat relevant is. Dit is de verplichting die sinds augustus 2026 geldt.

Wanneer je wel oplet

Er zijn situaties waarin je sneller in de zwaardere categorie valt dan je denkt.

Gebruik je AI om sollicitanten te beoordelen of te rangschikken, dan zit je in het hoog-risicogebied. Ook als het een klein hulpmiddeltje is dat cv's sorteert.

Bouw je AI in een product dat je aan anderen levert, dan ben je aanbieder en niet alleen gebruiker. De verplichtingen liggen dan zwaarder.

Gebruik je AI om beslissingen te nemen over mensen, bijvoorbeeld over toegang, over krediet of over een beoordeling, dan is het verstandig om je te laten adviseren voordat je live gaat.

Het punt dat vaker misgaat dan de wet

In de praktijk lopen bedrijven zelden tegen de AI-verordening aan. Waar ze wel tegenaan lopen is iets anders: welke gegevens gaan er in dat model.

Als iemand een klantcontract, een prijslijst of een personeelsdossier in een publieke chatbot plakt, is de vraag niet of dat onder de AI-verordening valt maar of het onder de privacywetgeving valt en of je het contractueel wel mag. Dat is een concreter probleem, en het is er nu al.

Daar schreef ik een apart artikel over, want het is de vraag die ik het vaakst krijg.

Waar dit bij mij op tafel komt

Als ik AI in een bedrijfsapplicatie bouw, is de eerste vraag altijd waar de gegevens heen gaan en wat er gelogd wordt. Dat is deels een privacyvraag en deels een AI-verordeningsvraag, maar het is vooral een ontwerpvraag.

In de meeste projecten komt het neer op drie keuzes. Welk deel van het werk laat je door een model doen en welk deel niet. Welke gegevens stuur je mee en welke laat je weg. En wie controleert het resultaat voordat het naar buiten gaat.

Als die drie keuzes bewust zijn gemaakt en ergens staan opgeschreven, ben je in de praktijk klaar. Niet omdat een wet dat vraagt, maar omdat je dan weet wat je hebt gebouwd.

Wil je AI inzetten in je bedrijf en weten wat er in jouw geval speelt? Plan gerust een vrijblijvend gesprek.