Het meeste wat over de Europese AI-verordening geschreven wordt, is gericht op bedrijven die AI bouwen: ontwikkelaars van modellen, softwareleveranciers, makers van medische hulpmiddelen. De meeste van onze klanten bouwen geen AI. Ze gebruiken het. Een chatbot op de website, productteksten waarvan ChatGPT de eerste versie schreef, een gegenereerde afbeelding op een landingspagina.
De verordening heeft daar een naam voor: een gebruiksverantwoordelijke. De verplichtingen voor gebruiksverantwoordelijken zijn lichter dan de krantenkoppen doen denken, maar een paar gelden al, en één daarvan al sinds februari 2025.
Dit is geen juridisch advies en we zijn geen juristen. Het is de praktische uitleg die we klanten geven, met links naar de officiële teksten. Gaat het om werving, kredieten of klantgegevens, praat dan met een jurist.
Ben je aanbieder of gebruiksverantwoordelijke?
De AI-verordening (Verordening (EU) 2024/1689) omschrijft beide in artikel 3:
- Een aanbieder ontwikkelt een AI-systeem, of laat er een ontwikkelen, en brengt het op de markt of neemt het in gebruik onder eigen naam of merk, betaald of gratis.
- Een gebruiksverantwoordelijke gebruikt een AI-systeem onder eigen verantwoordelijkheid, behalve voor puur persoonlijk, niet-beroepsmatig gebruik.
Gebruik je ChatGPT, Claude, Gemini, de beeldtools van Canva of een chatbotwidget van een leverancier in je bedrijf, dan ben je gebruiksverantwoordelijke van die tools. Het bedrijf dat ze maakt, is de aanbieder.
Het wordt minder duidelijk als je zelf iets bouwt. Laat je een chatbot bouwen op basis van een model en zet je die onder je eigen merk op je website, dan kun je als aanbieder van die chatbot gelden. Dat is een vraag voor een jurist, niet voor een blog, en het bepaalt welke artikelen van de verordening voor je gelden.
Hoe ziet de tijdlijn er nu uit?
De verordening trad op 1 augustus 2024 in werking en gaat in stappen gelden. In 2026 nam de EU ook de AI-omnibus aan, Verordening (EU) 2026/1744 van 8 juli 2026, die op 27 juli 2026 in werking trad en een aantal data verschoof. Zo staat het er vandaag voor:
- 2 februari 2025: Verboden praktijken en de verplichting tot AI-geletterdheid
- 2 augustus 2025: Regels voor AI-modellen voor algemene doeleinden (de grote modelmakers)
- 2 augustus 2026: Algemene toepassing, inclusief de transparantieverplichtingen in artikel 50
- 2 december 2026: Uiterste datum waarop aanbieders van generatieve systemen die al voor 2 augustus 2026 op de markt waren, moeten voldoen aan de plicht tot machineleesbare markering in artikel 50, lid 2. De omnibus voegde dit toe als artikel 111, lid 4. Op dezelfde dag gaan twee nieuwe verboden gelden: AI die intiem of seksueel expliciet materiaal maakt van herkenbare personen zonder hun toestemming, en AI die materiaal van seksueel misbruik van kinderen maakt
- 2 december 2027: Systemen met een hoog risico in de gebieden uit bijlage III, zoals werving
- 2 augustus 2028: AI met een hoog risico die is ingebouwd in gereguleerde producten, zoals machines en speelgoed
De data voor hoog risico waren oorspronkelijk 2 augustus 2026 voor bijlage III en 2 augustus 2027 voor producten. De omnibus verschoof ze allebei. De transparantieverplichtingen verschoof hij niet; die gelden sinds 2 augustus 2026. De enige uitzondering is de overgangstermijn hierboven, en die is voor aanbieders, niet voor jou.
Wat moet er gebeuren als je een chatbot gebruikt?
Het uitgangspunt van de verordening is dat mensen moeten weten wanneer ze met een machine praten. Strikt genomen legt artikel 50, lid 1, die plicht bij de aanbieder: het systeem moet zo ontworpen zijn dat mensen dat te horen krijgen, tenzij het voor een redelijk geïnformeerd persoon vanzelf spreekt.
In de praktijk is het jouw klant die met de chatbot praat als die op jouw website staat. Ons advies is simpel: zet erbij dat het een chatbot is. Een regel boven het chatvenster die zegt dat het een geautomatiseerde assistent is, en een manier om een mens te bereiken. Het kost niets, je zit goed welke rol je ook blijkt te hebben, en het is eerlijk.
Artikel 50, lid 5, voegt eraan toe dat de informatie duidelijk en herkenbaar moet zijn en uiterlijk bij de eerste interactie gegeven moet worden.
Moet je met AI gemaakte content vermelden?
Twee aparte verplichtingen, die je makkelijk door elkaar haalt.
Markeren (aanbieders). Artikel 50, lid 2, verplicht aanbieders van systemen die synthetische audio, beelden, video of tekst maken, om de uitvoer machineleesbaar te markeren, zodat te herkennen is dat die met AI gemaakt is. Dat is een taak voor de maker van de tool, niet voor jou.
Vermelden (gebruiksverantwoordelijken). Artikel 50, lid 4, is het artikel dat voor jou als gebruiker geldt. Twee gevallen:
- Deepfakes. Publiceer je beeld, geluid of video dat met AI gemaakt of bewerkt is en eruitziet als echte mensen, plaatsen of gebeurtenissen, dan moet je dat vermelden. Bij duidelijk artistiek, creatief, satirisch of fictief werk mag de vermelding zo licht zijn dat ze het werk niet bederft.
- Tekst over onderwerpen van algemeen belang. Publiceer je met AI gemaakte tekst om het publiek te informeren over zaken van algemeen belang, dan moet je dat vermelden. Tenzij de tekst door een mens is nagekeken of redactioneel is gecontroleerd en iemand de redactionele verantwoordelijkheid ervoor draagt.
Voor de meeste kleine bedrijven is die tweede uitzondering de belangrijke. Een blog waarvan AI de eerste versie schreef en die daarna gelezen, verbeterd en gepubliceerd is onder de naam van iemand in het bedrijf, is door een mens nagekeken en heeft een redacteur. Een stroom AI-artikelen die automatisch online gaat zonder dat iemand ze leest, niet.
De praktijkcode. Op 10 juni 2026 publiceerde de Europese Commissie een vrijwillige praktijkcode voor het markeren en vermelden van met AI gemaakte content. Er is een deel voor aanbieders, over de machineleesbare markering in artikel 50, lid 2, en een deel voor gebruiksverantwoordelijken, over de vermelding in artikel 50, lid 4, inclusief deepfakes en tekst van algemeen belang. De Commissie heeft ook EU-pictogrammen gepubliceerd om content mee te labelen. Vrijwillig, maar het is het duidelijkste beeld van hoe "vermelden" er in de praktijk uitziet.
Wat houdt de verplichting tot AI-geletterdheid in?
Artikel 4 geldt sinds 2 februari 2025 voor aanbieders en gebruiksverantwoordelijken. Zoals gewijzigd door de AI-omnibus staat er dat je maatregelen moet nemen om de AI-geletterdheid te ondersteunen van je medewerkers die namens jou AI-systemen gebruiken. Er staat uitdrukkelijk bij dat je voor niemand een bepaald niveau hoeft te garanderen, en de Commissie en de lidstaten hebben nu een grotere rol bij het ondersteunen van bedrijven, met bijzondere aandacht voor het mkb.
Voor een klein bedrijf betekent dat iets bescheidens maar echts: de mensen die op het werk AI-tools gebruiken, weten waar die tools voor dienen, waar ze de mist in gaan, wat ze er niet in moeten plakken en wie de uitkomst controleert. Een korte interne notitie en een gesprek zeggen meer dan een certificaat.
Wanneer krijgt een klein bedrijf met hoog risico te maken?
Zelden, maar het gebeurt. Bijlage III noemt de gebieden met een hoog risico, en twee daarvan raken gewone bedrijven:
- Werving en beslissingen over werk. AI die cv's filtert, kandidaten rangschikt of beslist over promotie, ontslag of het volgen van prestaties.
- Kredietwaardigheid. AI die beoordeelt of iemand kredietwaardig is, behalve voor het opsporen van fraude.
Gebruik je een hr-tool die sollicitanten met AI selecteert, dan ben je gebruiksverantwoordelijke van een systeem met een hoog risico. Die verplichtingen gelden vanaf 2 december 2027. Dat is het moment om gericht advies te vragen, niet om op een artikel als dit te vertrouwen.
Wie houdt toezicht en hoe hoog zijn de boetes?
In Spanje is daarvoor AESIA opgericht, de Agencia Española de Supervisión de Inteligencia Artificial (de Spaanse toezichthouder op AI), bij Real Decreto 729/2023. De Spaanse wet die de toezichtstaken onder de verordening formeel verdeelt, was toen we dit schreven nog een wetsvoorstel: de regering stuurde het proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial op 26 mei 2026 naar het Congres, en in oktober 2026 is het nog niet in het BOE (het Spaanse staatsblad) gepubliceerd. Volgens dat voorstel gaat het meeste toezicht naar AESIA, met de AEPD (de Spaanse privacytoezichthouder) en de CGPJ (de Spaanse raad voor de rechtspraak) op hun eigen terrein, en is AESIA het centrale aanspreekpunt. Op de website van AESIA staan nu al de praktische gidsen van de overheid over het naleven van de verordening.
Wie de transparantieverplichtingen van artikel 50 overtreedt, riskeert boetes tot 15 miljoen euro of 3 procent van de wereldwijde jaaromzet, welk bedrag het hoogst is. Voor het mkb en start-ups geldt het bedrag dat het laagst is. Het gaat niet om het getal. Het gaat erom dat een label bij je chatbot en het nakijken van je content goedkoop zijn vergeleken met welke boete ook.
Een korte checklist voor gebruiksverantwoordelijken
- Zet op een rij welke AI-tools je bedrijf gebruikt, en wie ze gebruikt
- Chatbot op je site: vermeld dat hij geautomatiseerd is, met een weg naar een mens
- Met AI gemaakte beelden of video van echt ogende mensen of gebeurtenissen: vermeld
- Teksten waarvan AI de eerste versie schreef: nagekeken door een vaste persoon voordat ze naar buiten gaan
- Een korte interne notitie over wat medewerkers wel en niet mogen met AI-tools
- AI bij werving of kredietbeslissingen: vraag juridisch advies voor 2 december 2027
- Persoonsgegevens in AI-tools: getoetst aan je privacyverklaring en de AVG
Als je één ding onthoudt
- Wie AI-tools gebruikt, is gebruiksverantwoordelijke. De meeste zware verplichtingen zijn voor aanbieders en systemen met een hoog risico.
- Zet bij je chatbot dat het een chatbot is en vermeld deepfakes. Kijk teksten waarvan AI de eerste versie schreef na voordat je ze publiceert.
- AI-geletterdheid geldt sinds februari 2025. Een korte interne notitie is een verstandig begin.
Bouwen of onderhouden wij je website, dan is een label bij een chatbot of een vermelding bij gegenereerde content een kleine aanpassing. Plan het gesprek als je wilt dat we kijken naar wat er nu op je site staat.
Bronnen
- Verordening (EU) 2024/1689, de AI-verordening, EUR-Lex (link naar de Engelse versie)
- Verordening (EU) 2026/1744, de AI-omnibus, EUR-Lex (link naar de Engelse versie)
- Europese Commissie: AI-omnibus treedt in werking (Engels)
- AI Act Service Desk: artikel 111, overgangsbepalingen (zoals gewijzigd, inclusief het nieuwe lid 4) (Engels)
- AI Act Service Desk: artikel 113, inwerkingtreding en toepassing (zoals gewijzigd) (Engels)
- AI Act Service Desk: artikel 5, verboden praktijken (zoals gewijzigd) (Engels)
- Europese Commissie: regelgevend kader en tijdlijn van de AI-verordening (Engels)
- AI Act Service Desk: artikel 3, definities (Engels)
- AI Act Service Desk: artikel 4, AI-geletterdheid (zoals gewijzigd) (Engels)
- AI Act Service Desk: artikel 50, transparantieverplichtingen (Engels)
- AI Act Service Desk: artikel 99, sancties (Engels)
- AI Act Service Desk: bijlage III, gebieden met een hoog risico (Engels)
- AI Act Explorer: Digital Omnibus on AI, overgangsdata (Engels)
- Europese Commissie: praktijkcode voor het markeren en vermelden van met AI gemaakte content (Engels)
- Real Decreto 729/2023, Estatuto de AESIA (BOE) (in het Spaans)
- Ministerio para la Transformación Digital: persbericht van 26 mei 2026 over het proyecto de Ley Orgánica de gobernanza de la IA (pdf) (in het Spaans)
- AESIA: praktische gidsen voor het naleven van de AI-verordening (Engels)
Bouwt websites en de systemen erachter voor kleine bedrijven in Spanje en Nederland. Schrijft op wat klanten twee keer vragen.
