De hoog-risicoregels zijn juist uitgesteld naar 2027 en 2028. Wat er op 2 augustus 2026 wél is ingegaan, zijn de transparantieverplichtingen — en die raken iedereen met een chatbot op de site of AI in de contentproductie.
Op zondag 2 augustus 2026 is het merendeel van de Europese AI-verordening van toepassing geworden. Vanaf diezelfde dag is het AI-bureau van de Europese Commissie samen met de nationale autoriteiten begonnen met handhaven, en gelden de nieuwe transparantieregels.3
De meeste ondernemers hebben dat nieuws met een half oog gelezen en gedacht: hoog risico, dat gaat over gezichtsherkenning en sollicitatiesoftware, niet over ons. Dat is precies verkeerd om. De regels voor hoog-risicosystemen zijn juist uitgesteld — naar 2 december 2027 en 2 augustus 2028.2 Wat er wél is ingegaan, is hoofdstuk IV: de transparantieverplichtingen van artikel 50. En die raken iedereen met een chatbot op de site of met AI in de contentproductie.
Wij bouwen AI-agents en chatbots voor MKB-bedrijven, dus dit is voor ons geen beschouwing van de zijlijn — het bepaalt hoe we dingen opleveren. Hieronder staat wat er precies geldt, waarom het onderscheid tussen aanbieder en gebruiksverantwoordelijke bepaalt wat jíj moet doen, en wat je deze week kunt oppakken.
Dit artikel is geen juridisch advies. Het is een leesbare samenvatting van wat er in de verordening staat, met per claim een verwijzing naar de brontekst. De verordening wordt op onderdelen nog uitgewerkt — in richtsnoeren van de Commissie, in een praktijkcode en in Nederlandse wetgeving die er nog niet is. Waar iets nog niet vaststaat, staat dat er verderop expliciet bij.
De AI-verordening — Verordening (EU) 2024/1689 — is bekendgemaakt op 12 juli 2024 en op grond van artikel 113 in werking getreden op 1 augustus 2024.14 Maar de verordening is gefaseerd van toepassing, en die fasering is op 27 juli 2026 gewijzigd door Verordening (EU) 2026/1744, de zogeheten Digitale omnibus inzake AI, die op de derde dag na bekendmaking in werking trad.24 Dat is belangrijk: veel wat je hierover leest, is geschreven vóór die wijziging.
Zoals artikel 113 er nu bij staat:
Twee correcties die je elders nog veel tegenkomt. Bijlage III-systemen vielen oorspronkelijk gewoon onder 2 augustus 2026; die zijn met de omnibus doorgeschoven naar 2 december 2027. En bijlage I-systemen stonden op 2 augustus 2027; die zijn een jaar opgeschoven naar 2 augustus 2028.12 Er is dus niets vervroegd. Alleen het hoog-risicodeel is uitgesteld — en juist dat deel is waar de meeste MKB-bedrijven níét mee te maken hebben.
De regels waarvan iedereen dacht dat ze niet over hem gingen, zijn ingegaan. De regels waarvan iedereen bang was, zijn uitgesteld.
Artikel 50 heet voluit "transparantieverplichtingen voor aanbieders en gebruiksverantwoordelijken van bepaalde AI-systemen". Het bevat vier verplichtingen, en ze liggen niet allemaal bij dezelfde partij.1
Aanbieders zorgen ervoor dat AI-systemen die bedoeld zijn voor directe interactie met natuurlijke personen zó worden ontworpen en ontwikkeld dat de betrokkene wordt geïnformeerd dat hij met een AI-systeem interageert. Er staat een uitzondering bij: tenzij dat duidelijk is vanuit het oogpunt van een normaal geïnformeerde en redelijk omzichtige en oplettende persoon, gelet op de omstandigheden en de gebruikscontext.1
Die uitzondering is smaller dan hij lijkt. Hoe menselijker je bot klinkt — en dat is precies waar iedereen op stuurt — hoe minder je erop kunt leunen. De Autoriteit Persoonsgegevens vertaalt het simpel: het moet duidelijk zijn dat een chatbot geen mens is, en de melding komt uiterlijk bij de start van het gesprek, schriftelijk, visueel of via geluid.97 De plicht kijkt niet naar hoe geavanceerd het ding is: een eenvoudige chatbot en een AI-agent die daadwerkelijk taken uitvoert vallen er allebei onder zodra ze rechtstreeks met mensen praten.
Aanbieders van AI-systemen die synthetische audio, beelden, video of tekst genereren, zorgen ervoor dat de output wordt gemarkeerd in een machineleesbaar formaat en detecteerbaar is als kunstmatig gegenereerd of gemanipuleerd. Denk aan watermerken, metadata of cryptografische herkomsttechnieken. De verplichting geldt niet voor zover het systeem een ondersteunende functie voor standaardbewerking vervult of de inputdata niet substantieel wijzigt.19
Hier zit een overgangstermijn die veel mensen missen. De omnibus voegt aan artikel 111 een nieuw lid toe: aanbieders van zulke systemen die vóór 2 augustus 2026 in de handel zijn gebracht, hebben tot uiterlijk 2 december 2026 om aan deze markeringsverplichting te voldoen.2 Vier maanden extra, en alleen voor bestaande systemen.
Gebruiksverantwoordelijken van een systeem voor emotieherkenning of biometrische categorisering informeren de mensen die eraan worden blootgesteld over de werking ervan, en verwerken de persoonsgegevens volgens de AVG.1 Dit is de plicht die het minst vaak op MKB-bedrijven van toepassing is — maar wel als je bijvoorbeeld sentimentanalyse op stem of gezicht laat draaien.
Gebruiksverantwoordelijken van een AI-systeem dat beeld, audio of video genereert of bewerkt die een deepfake vormt, maken bekend dat de content kunstmatig is gegenereerd of gemanipuleerd. Voor kennelijk artistiek, creatief, satirisch of fictief werk is die plicht beperkt tot het op passende wijze melden van het bestaan van zulke content.1
De tweede alinea van datzelfde lid is de bepaling waar bedrijven met een nieuwsbrief of blog naar moeten kijken. Gebruiksverantwoordelijken van een AI-systeem dat tekst genereert of bewerkt die wordt gepubliceerd om het publiek te informeren over aangelegenheden van algemeen belang, maken bekend dat de tekst kunstmatig is gegenereerd of bewerkt. Maar: die plicht geldt niet wanneer de AI-content een proces van menselijke toetsing of redactionele controle heeft ondergaan én een natuurlijke of rechtspersoon redactionele verantwoordelijkheid draagt voor de publicatie.1
Twee filters dus, en beide moeten mee. Een productpagina of een klantnieuwsbrief is meestal geen publicatie over een aangelegenheid van algemeen belang. En schrijft er iemand met naam en toenaam overheen die de verantwoordelijkheid draagt, dan valt de plicht sowieso weg. Dat is geen vrijbrief om je site vol te zetten met ongelezen AI-tekst — dat wordt om andere redenen alsnog een probleem — maar het is wel iets anders dan "elke AI-zin moet gelabeld".
In elk van deze vier leden staat bovendien nog een uitzondering voor AI-systemen die bij wet zijn toegestaan om strafbare feiten op te sporen, te voorkomen, te onderzoeken of te vervolgen.1 Voor een gewoon bedrijf speelt die niet.
Voor alle vier geldt lid 5: de informatie wordt uiterlijk bij de eerste interactie of blootstelling op duidelijke en te onderscheiden wijze verstrekt, en moet aan de toepasselijke toegankelijkheidseisen voldoen.1
De vraag is niet of je AI gebruikt. De vraag is of iemand die met jouw bedrijf praat, kan weten dat hij dat niet met een mens doet.
Dit is het onderscheid dat in vrijwel elk samenvattend artikel wegvalt, terwijl het bepaalt op wiens bord de verplichting ligt. De verordening kent verschillende rollen in de waardeketen: aanbieders, productfabrikanten, gebruiksverantwoordelijken, gemachtigden, importeurs en distributeurs. De meeste verplichtingen rusten op de aanbieder: de partij die een AI-systeem ontwikkelt of láát ontwikkelen, met het oog op gebruik door derden of eigen gebruik. De gebruiksverantwoordelijke is de partij die een AI-systeem onder eigen verantwoordelijkheid gebruikt.12
En dan de zin die er voor het MKB het meest toe doet, uit de toelichting bij het Nederlandse conceptwetsvoorstel: een organisatie kan meerdere rollen tegelijk vervullen, zoals aanbieder én gebruiksverantwoordelijke, wanneer een AI-systeem voor eigen gebruik ontwikkeld wordt.12
Praktisch vertaald:
Wie een AI-systeem voor eigen gebruik laat bouwen, is meestal zelf de aanbieder. Dat is geen detail — daar verhuist de verplichting mee.
Wij bouwen die tweede categorie. Dat betekent dat de kenbaarheid van AI geen instelling is die je achteraf aanvinkt, maar een ontwerpkeuze in het systeem zelf — precies zoals rechten en logging dat zijn, zoals we beschreven in AI koppelen aan de systemen die je al gebruikt. Waarom losse AI-tools iets anders zijn dan AI die in je eigen systemen zit, staat in AI en maatwerksoftware voor het MKB.
Artikel 99, lid 4, koppelt de niet-naleving van een aantal bepalingen aan administratieve geldboeten tot 15.000.000 euro of, als de overtreder een onderneming is, tot 3% van de totale wereldwijde jaaromzet over het voorafgaande boekjaar, indien dat hoger is. De transparantieverplichtingen uit artikel 50 staan daar expliciet in, als punt g.1
Maar lees lid 6 erbij, want dat draait het om voor kleinere bedrijven: in het geval van kmo’s, met inbegrip van start-ups, komt elke in dit artikel bedoelde boete neer op de percentages of, indien dat lager is, het bedrag.1 Voor een bedrijf met een omzet van vijf miljoen dat als kmo kwalificeert — die EU-definitie kijkt naast de omzet ook naar het aantal medewerkers — is het plafond dus geen vijftien miljoen maar drie procent daarvan. De omnibus voegt een vergelijkbare regel toe voor kleine midcapondernemingen, maar alleen voor de leden 4 en 5: de boetes op verboden AI-praktijken uit lid 3 vallen er níét onder.2
Dat maakt het niet vrijblijvend. Maar het scheelt nogal met de kop "boetes tot 15 miljoen" die je overal ziet, en die voor het MKB simpelweg niet klopt.
Hier moet je oppassen met wat je leest, want de Nederlandse kant is nog niet geregeld. De Autoriteit Persoonsgegevens noemt zichzelf consequent "beoogd toezichthouder" op de AI-verordening, niet de aangewezen toezichthouder.8
Het kabinet bracht op 20 april 2026 het wetsvoorstel voor de Uitvoeringswet AI-verordening in internetconsultatie. Daarin staat een hybride model met tien bestaande markttoezichtautoriteiten, die er nieuwe taken bij krijgen: de AP, de RDI, de ILT, de IGJ, de NVWA, de Nederlandse Arbeidsinspectie, de AFM, DNB, de procureur-generaal van de Hoge Raad en de voorzitter van de Afdeling bestuursrechtspraak van de Raad van State. Twee daarvan zorgen samen voor de coördinatie; één treedt op als centraal contactpunt.1210
In dat voorstel krijgt de AP het toezicht op verboden AI-praktijken, op de transparantieverplichtingen — inclusief de herkenbaarheid van chatbots en deepfakes — en op een groot deel van de hoog-risicotoepassingen. Is er voor een terrein nog geen duidelijke toezichthouder, dan valt dat aan de AP toe.10
Maar een consultatieversie is geen wet. De verordening werkt rechtstreeks, dus de verplichting uit artikel 50 geldt gewoon sinds 2 augustus. De nationale inrichting van toezicht en handhaving is nog onderweg. Wie je beweert dat "de AP je vanaf nu kan beboeten voor je chatbot", loopt vooruit op wetgeving die er nog niet is.
De plicht is er. Het Nederlandse handhavingsapparaat eromheen nog niet. Dat is geen reden om te wachten — het is een reden om het rustig en goed te doen.
Er ligt wel een instrument dat je meteen kunt gebruiken. De Europese Commissie publiceerde op 10 juni 2026 de Code of Practice on Transparency of AI-generated Content: een vrijwillige praktijkcode die de markeringsplicht van lid 2 en de labelplicht van lid 4 praktisch invult, met regels voor markering en detectie, regels voor het labelen van deepfakes en AI-tekst, en een set EU-pictogrammen.59
De Commissie en de AI-board hebben bevestigd dat de code een toereikend vrijwillig instrument is om naleving van de transparantieverplichtingen aan te tonen. Wie via een andere route wil voldoen, mag dat — maar moet dan zelf aantonen dat die maatregelen toereikend zijn, en dat wordt per geval beoordeeld door de betrokken markttoezichtautoriteiten.5 Bij de start van de handhaving hadden ruim 180 organisaties getekend.3 De AP adviseert organisaties die onder de verplichtingen vallen om zich in de code te verdiepen en hem — of alleen de relevante secties — te ondertekenen.9 Naast de code publiceerde de Commissie richtsnoeren over de reikwijdte van artikel 50.6
Eerlijk zijn over de onzekerheid hoort erbij, want daar zitten de beslissingen die je nu neemt.
Wat wél vaststaat: de plicht om kenbaar te maken dat iemand met AI te maken heeft, geldt sinds 2 augustus 2026. Daar hoef je niet op wetgeving te wachten.
Ja, in de regel wel. Artikel 50, lid 1, verplicht aanbieders om AI-systemen die voor directe interactie met mensen bedoeld zijn zo te ontwerpen dat de gebruiker weet dat hij met AI te maken heeft. Er geldt een uitzondering als dat voor een normaal oplettend persoon al duidelijk is, maar hoe menselijker je bot communiceert, hoe minder je daarop kunt leunen. De melding moet er uiterlijk bij de eerste interactie zijn.
Voor de transparantieverplichtingen: ja. Die kennen geen ondergrens in bedrijfsgrootte. Wat wel meeschaalt, is de boete: artikel 99, lid 6, bepaalt dat voor kmo’s en start-ups het laagste van de twee geldt — het percentage of het bedrag — in plaats van het hoogste. De zware hoog-risicoverplichtingen gelden bovendien pas vanaf 2 december 2027 en 2 augustus 2028, en raken de meeste MKB-toepassingen niet.
Nee. De plicht uit artikel 50, lid 4, geldt voor tekst die wordt gepubliceerd om het publiek te informeren over aangelegenheden van algemeen belang, en vervalt wanneer de tekst een proces van menselijke toetsing of redactionele controle heeft ondergaan en iemand daar redactionele verantwoordelijkheid voor draagt. Voor beeld, audio en video die een deepfake vormen, geldt de labelplicht wel onafhankelijk daarvan.
Dat is nog niet definitief geregeld. De Europese Commissie is samen met nationale autoriteiten op 2 augustus 2026 begonnen met handhaven. In Nederland ligt er een conceptwetsvoorstel dat tien bestaande markttoezichtautoriteiten aanwijst, met een coördinerende rol voor de AP en de RDI. Dat voorstel ging op 20 april 2026 in internetconsultatie en is nog geen wet; de AP noemt zichzelf daarom beoogd toezichthouder.
Wij bouwen AI-agents en WhatsApp-automatisering waarin kenbaarheid, logging en rechten onderdeel van het ontwerp zijn in plaats van een instelling achteraf — binnen het Bedrijfs-OS waarin het werk toch al gebeurt. Wil je weten hoe jouw huidige opzet zich hiertoe verhoudt, of gewoon een keer hardop nadenken over wat je nu wel en niet moet regelen: plan een gesprek.
De Quickscan duurt één uur. Jullie weten daarna precies wat er speelt, of jullie daarna klant worden of niet.
