Van hype naar verplichting: AI-regels raken ook het MKB

Kunstmatige intelligentie (AI) is niet meer weg te denken uit ondernemingen. Webshops gebruiken chatbots, telefoons ontgrendelen via gezichtsherkenning en algoritmes spelen een steeds grotere rol. AI levert snelheid en efficiëntie op. Maar sinds de komst van de Europese AI-verordening is het gebruik van AI niet langer vrijblijvend. De wet trad in 2024 in werking en kent een gefaseerde invoering. In 2025 zijn de eerste verplichtingen ingegaan.

Wat is er veranderd?
Sinds februari 2025 zijn de eerste verboden in werking getreden. AI-systemen die mensen manipuleren of misleiden, die misbruik maken van kwetsbare groepen of die grootschalig databanken scrapen voor gezichtsherkenning, mogen niet meer worden gebruikt. Ook al raakt dit de meeste MKB’ers niet rechtstreeks, het laat zien welke toepassingen de wet nadrukkelijk uitsluit. Belangrijker is de verplichting tot AI-geletterdheid. Werknemers die AI inzetten, moeten voldoende kennis en begrip hebben om dit verantwoord te doen. Ondernemers moeten er dus voor zorgen dat werknemers weten wat de systemen wel en niet kunnen en waar menselijk toezicht noodzakelijk blijft.
In augustus 2025 volgde de tweede stap. Sindsdien zijn de verplichtingen voor aanbieders van generatieve AI, zoals de ontwikkelaars van grote taal- of beeldmodellen, aangescherpt. Zij moeten documentatie en informatie beschikbaar stellen over gebruikte data en technische kenmerken. Voor gebruikers, zoals MKB-ondernemers die met deze systemen werken, verandert er op dit moment nog weinig, maar indirect is de impact wel merkbaar. U zult vaker informatie van leveranciers ontvangen die u helpt om inzicht te krijgen in de werking en beperkingen van de systemen die u inzet.

Gevolgen voor MKB
De nieuwe regels raken het MKB vooral organisatorisch. Iedere onderneming die AI toepast, moet zorgen dat medewerkers de technologie begrijpen en op waarde kunnen schatten. Dat geldt zowel bij een chatbot die klanten te woord staat, software die documenten verwerkt als bij systemen die data analyseren. Medewerkers moeten kritisch naar de output kijken en weten wanneer menselijk ingrijpen nodig is.

De documentatie die leveranciers sinds augustus 2025 verplicht moeten verstrekken, biedt daarnaast kansen. Die informatie helpt u om processen beter in te richten en om keuzes richting klanten en partners te onderbouwen. Wettelijk is transparantie voor gebruikers nog niet verplicht, maar in de praktijk kan het wel het verschil maken in vertrouwen en samenwerking.

Wat zijn de sancties?
De AI-verordening kent stevige boetes bij overtreding, die zelfs zwaarder kunnen uitvallen dan onder de AVG. Boetes kunnen oplopen tot 35 miljoen euro of 7% van de wereldwijde jaaromzet. Voor het MKB geldt steeds het laagste van deze twee maxima. In Nederland is nog geen toezichthouder aangewezen, al wordt verwacht dat de Autoriteit Persoonsgegevens deze rol krijgt. Tot die tijd kunt u echter niet stilzitten. Benadeelden kunnen namelijk nu al schade verhalen op grond van onrechtmatige daad.

Wat moet u nu doen?
Voor ondernemers is dit hét moment om overzicht te creëren. Breng in kaart welke AI-systemen u gebruikt, beoordeel of er risico’s aan verbonden zijn en zorg dat medewerkers weten hoe ze er verantwoord mee werken. Maak gebruik van de informatie die leveranciers sinds augustus 2025 verplicht moeten verstrekken en vertaal die naar uw eigen beleid en communicatie. Zo voorkomt u niet alleen juridische risico’s, maar versterkt u ook het vertrouwen van klanten, investeerders en zakenpartners.

Wat kunnen we nog verwachten?
De AI-verordening wordt de komende jaren verder uitgerold. In 2026 volgen de regels voor hoog-risico toepassingen, zoals AI in HR en kredietverlening, en ook de transparantieplichten voor gebruikers van generatieve AI. In 2027 moeten ook bestaande generatieve modellen volledig voldoen. Voor het MKB betekent dit dat de impact zal toenemen, maar de basis wordt nu al gelegd.

Begin op tijd, en heb een voorsprong.

Nicole van der Meer & Ernest Loor
Loor Legal & Partners