De AI-wet werd uitgesteld. Behalve het deel dat over jouw website gaat

Eind juli ging er een zucht van verlichting door Nederlandse bestuurskamers: de strengste regels uit de Europese AI-wet schuiven anderhalf jaar op. Wat in de koppen niet stond, is dat er op 2 augustus wél iets inging. En dat is precies het deel dat gaat over de chatbot op je site en de afbeeldingen in je nieuwsbrief.

Er is weinig zo prettig als een deadline die opschuift. Toen op 24 juli in het Publicatieblad van de Europese Unie stond dat de zwaarste verplichtingen uit de AI-verordening naar december 2027 gaan, viel bij veel organisaties de zomerspanning weg. Het compliance-traject kon een kwartaal in de ijskast, de werkgroep kon met vakantie.

Alleen ging er op 2 augustus 2026 wel degelijk iets in. Geen bergen documentatie en geen audits, maar een set regels die veel dichter bij je dagelijkse praktijk zit dan de meeste ondernemers denken. Wij doken erin, en wat ons opviel is hoe klein de meeste acties zijn – en hoe makkelijk je ze daarom over het hoofd ziet.

Sinds 2 augustus zijn de transparantieregels van de AI-verordening van toepassing, en zijn toezichthouders begonnen met handhaven. Die regels draaien om één gedachte: mensen hebben er recht op te weten wanneer ze met AI te maken hebben, of naar iets kijken dat door AI is gemaakt.

Praat een bezoeker op je website met een chatbot, dan moet dat duidelijk zijn zodra het gesprek begint. Niet in je algemene voorwaarden, niet in een grijze regel onder het venster, maar op het moment dat iemand zijn eerste vraag intikt. De Autoriteit Persoonsgegevens vat het zelf simpel samen: chat je met de klantenservice, dan moet duidelijk zijn dat je met een AI-chatbot praat.

Voor beeld, video en geluid geldt hetzelfde principe. Heb je een afbeelding, filmpje of stem laten maken of bewerken door AI, en lijkt het resultaat op echte mensen, plekken of gebeurtenissen, dan moet je dat vermelden. In de wet heet zulke content een deepfake. Die term kennen de meeste mensen van nepvideo's van bekende politici, maar hij is een stuk breder: een AI-gegenereerde foto van een productiehal die je nooit hebt gefotografeerd valt er net zo goed onder, en een avatar die jouw directeur naspeelt zeker.

Bij teksten is de plicht smaller. Publiceer je AI-geschreven tekst over onderwerpen van algemeen belang zonder dat een mens er nog naar heeft gekeken, dan moet je dat erbij zetten. Laat je een collega meelezen en neem je als organisatie de verantwoordelijkheid voor wat er staat, dan hoeft dat niet. Voor de meeste bedrijven is dat een prettige reden om die leesronde sowieso af te spreken.

Er zit nog een derde laag in die vooral de bouwers van AI-tools raakt: alles wat een AI-systeem genereert, moet een machineleesbaar merkteken krijgen. Denk aan een onzichtbaar watermerk of een label in de bestandsgegevens, zodat software kan zien dat iets door een machine is gemaakt. Bouw je zelf geen AI, dan is dit werk voor je leverancier.

Het uitstel waar iedereen over las, gaat over iets anders. Met de zogeheten AI-omnibus, Verordening (EU) 2026/1744, die op 27 juli 2026 in werking trad, verschuiven de verplichtingen voor hoog-risico AI naar 2 december 2027. Voor AI die is ingebouwd in producten waar al veiligheidswetgeving voor bestaat, zoals medische apparatuur en voertuigen, is het zelfs 2 augustus 2028.

Hoog-risico AI klinkt abstract, maar het is behoorlijk concreet: systemen die meebeslissen over het leven van mensen. Software die sollicitanten voorselecteert, die prestaties van medewerkers beoordeelt, die meeweegt bij een kredietaanvraag of bij toelating tot een opleiding. De reden voor het uitstel was praktisch. De technische normen waar fabrikanten zich aan moeten houden waren nog niet af, en veel lidstaten hadden hun toezicht niet op tijd geregeld.

Datzelfde pakket versoepelde ook de plicht rond AI-geletterdheid. Waar organisaties eerst moesten zorgen dat hun mensen genoeg van AI begrepen, wordt nu van ze gevraagd dat ze die kennis ondersteunen. Juridisch is dat een lichter woord. In de praktijk verandert het niets aan het risico: een medewerker die niet weet dat een taalmodel dingen kan verzinnen die overtuigend klinken maar niet kloppen, kost je eerder een klant dan een boete.

Gebruik je AI bij werving of beoordeling van personeel, dan heb je nu ruim een jaar extra. Dat is comfortabel, tot je bedenkt dat je die documentatie en risicoanalyse straks alsnog moet hebben – en dat december 2027 dichterbij komt op precies dezelfde snelheid als augustus 2026 dat deed.

In Nederland krijgen de Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur een coördinerende rol in het toezicht, met bestaande inspecties die hun eigen sector blijven doen. Het kabinet koos daar bewust voor, zodat ondernemers zoveel mogelijk te maken hebben met instanties die ze al kennen. De Nederlandse uitvoeringswet die dit toezicht formeel regelt, is nog in de maak.

De boetes in de wet zijn serieus, tot 15 miljoen euro of 3 procent van de wereldwijde jaaromzet voor het negeren van deze verplichtingen. Maar geen enkele toezichthouder is erop uit om een installatiebedrijf van acht man af te rekenen op een ontbrekend zinnetje bij een chatbot. Wat je hier werkelijk mee koopt, is vertrouwen.

Want de ruimte om je te onderscheiden is groot. Uit onderzoek van KVK onder ruim 650 ondernemers bleek dat de helft de AI-wet niet kent en maar 7 procent er goed van op de hoogte is, terwijl slechts een paar procent daadwerkelijk maatregelen had genomen. Tegelijk gebruikt drie op de tien ondernemers inmiddels tools als ChatGPT of Microsoft Copilot. Die combinatie betekent dat je met een middag werk iets kunt wat bijna niemand in jouw markt kan: uitleggen waar in je bedrijf AI wordt gebruikt en hoe jullie daar zorgvuldig mee omgaan. Vraag eens bij je volgende grote opdrachtgever hoeveel dat waard is.

De AI-verordening voelt groot en Europees, maar wat er van jou wordt gevraagd is aards: wees eerlijk over waar je AI gebruikt, en zorg dat je mensen begrijpen waar ze mee werken. De meeste ondernemers die er een middag voor gaan zitten, ontdekken dat ze het grootste deel al goed deden en het alleen nog moesten opschrijven.

Loop je liever niet in je eentje tegen de uitzonderingen aan? In onze training over de AI Act en veilig AI-gebruik nemen we deze checklist samen door, toegepast op jouw organisatie. Je gaat naar huis met een ingevulde inventarisatie en een gebruiksbeleid dat past bij hoe jullie echt werken. Meld je aan voor de volgende editie, dan ben je verzekerd van een plekje!

Bronnen: Publicatieblad van de EU (Verordening (EU) 2026/1744, AI-omnibus), Europese Commissie, Autoriteit Persoonsgegevens, Rijksoverheid en RDI over het Nederlandse toezicht, KVK-onderzoek onder ondernemers.