De mails komen binnen. AI Act compliance-scan, AI Act audit, AI Act quickscan, meestal met de datum van 2 augustus 2026 vetgedrukt erin. Die datum klopt. Wat er in die mails bij staat over wat jij moet doen, klopt vaak niet.
Ik heb de tekst van de verordening en de toelichting die de Europese Commissie op 20 juli publiceerde er zelf op nagelezen, met één vraag in het achterhoofd. Als je een gewoon Vlaams bedrijf bent dat AI-tools gebruikt maar zelf geen AI bouwt, wat verandert er dan effectief voor jou?
Wat er op 2 augustus 2026 ingaat
Op die datum treden de transparantieverplichtingen in werking, artikel 50 van de AI Act. Die gaan over het kenbaar maken dat iets met AI gebeurt of gemaakt is. De rest van de wet is al eerder ingegaan: de verboden praktijken en de plicht rond AI-geletterdheid golden al sinds februari 2025, de regels voor de grote AI-modellen sinds augustus 2025.
Er is ook net iets veranderd in de andere richting. Op 24 juli 2026 verscheen in het Publicatieblad de verordening die bekendstaat als de Digital Omnibus, in werking sinds 27 juli. Die schuift de zwaarste verplichtingen voor hoogrisicotoepassingen op naar december 2027 en augustus 2028 en verzacht de plicht rond AI-geletterdheid. De deadline van 2 augustus blijft wel gewoon staan.
Het belangrijkste onderscheid in heel deze wet is dat tussen aanbieder en gebruiker. De aanbieder is wie het AI-systeem op de markt brengt, dus OpenAI, Microsoft, Google of de partij die een chatbot onder zijn eigen naam verkoopt. De gebruiker is wie het inzet in zijn bedrijf. Het merendeel van de verplichtingen ligt bij de aanbieder. Dat verschil wordt in veel commerciële communicatie zorgvuldig weggelaten.
De vraag is niet of de AI Act op jou van toepassing is. De vraag is welke rol je hebt en in de meeste KMO's is dat de rol met de minste verplichtingen.
De drie dingen die een KMO met AI doet
Vrijwel alles wat ik bij klanten zie, valt in drie categorieën. Teksten laten schrijven of herwerken, een chatbot op de website zetten en beelden laten genereren voor marketing. Dit is wat de wet daar concreet over zegt.
Teksten schrijven met ChatGPT of een vergelijkbare tool. Er is geen labelplicht voor jou. De verplichting in artikel 50 slaat op tekst die gepubliceerd wordt met het doel het publiek te informeren over aangelegenheden van algemeen belang, dus zaken als politiek, justitie, volksgezondheid, veiligheid of milieu. Een productpagina, een offerte, een nieuwsbrief of een blog over je vakgebied valt daar niet onder. De Commissie bevestigt dat expliciet in haar toelichting van 20 juli 2026. Schrijf je wel opiniestukken over maatschappelijke thema's, dan geldt de plicht wel, tenzij een mens de tekst inhoudelijk heeft nagekeken en er redactionele verantwoordelijkheid voor draagt. Een spellingcontrole telt daarbij niet mee. Dat de wet je niets oplegt, wil trouwens niet zeggen dat het niemand opvalt: klanten merken AI-taal sneller dan je denkt.
Een chatbot op je website. De verplichting om duidelijk te maken dat iemand met een machine praat, ligt bij de aanbieder van dat systeem, niet bij jou. Dat verandert als je de chatbot zelf bouwt of onder je eigen merk aanbiedt, want dan word je zelf aanbieder. In de praktijk zou ik hoe dan ook gewoon AI-assistent boven dat venster zetten. Het kost niets en het is exact wat je klanten sowieso verwachten.
AI-beelden in je marketing. Zolang het gaat over niet-bestaande personen, sfeerbeelden of producten, ligt de markeringsplicht bij de aanbieder van de beeldgenerator. Het wordt jouw verantwoordelijkheid zodra het beeld een herkenbare bestaande persoon of plaats nabootst op een manier die echt lijkt. Dan spreekt de wet over een deepfake en moet je dat kenbaar maken, uiterlijk wanneer iemand het beeld voor het eerst ziet.
Voor de drie dingen die een KMO doorgaans doet, ontstaat er op 2 augustus dus geen harde nieuwe plicht. Dat is niet wat er verkocht wordt en het is wel wat er staat.
Wat wel jouw verantwoordelijkheid is
Er zijn drie situaties waarin de wet je rechtstreeks aanspreekt als gebruiker. Deepfakes, zoals hierboven beschreven. Tekst over aangelegenheden van algemeen belang. En emotieherkenning of biometrische categorisering: zet je een systeem in dat emoties afleidt of mensen indeelt op biometrische kenmerken, dan moet je de betrokkenen daarover informeren, bovenop wat de GDPR al vraagt.
Die laatste categorie klinkt exotisch tot je beseft waar ze opduikt. Software die sollicitatievideo's analyseert, een tool die de toon van klantgesprekken scoort, een systeem dat het stressniveau van medewerkers zou meten.
Emotieherkenning op de werkvloer is gewoon verboden
Dit is het stuk dat in de commerciële communicatie zelden voorkomt en dat wel echt kan bijten. Sinds februari 2025 is het verboden om AI in te zetten die emoties afleidt in een werk- of onderwijscontext. Het verbod slaat uitdrukkelijk ook op het gebruik ervan, niet enkel op het verkopen. Werkvloer wordt daarbij ruim gelezen: ook virtuele werkomgevingen, thuiswerk en sollicitatieprocedures vallen eronder.
Het gaat om het afleiden van emoties zoals blijheid, boosheid, verrassing of tevredenheid. Fysieke toestanden meten, zoals vermoeidheid bij een chauffeur, valt er buiten. De uitzonderingen zijn eng: enkel medische redenen, waarmee gecertificeerde medische hulpmiddelen bedoeld worden en veiligheidsredenen die het leven en de gezondheid van mensen beschermen. Fraudepreventie of het bewaken van eigendom valt daar niet onder en algemene stress- of burn-outmonitoring evenmin.
Als een leverancier je zo'n functionaliteit aanbiedt voor je HR-proces, is dat dus geen kwestie van een vinkje in je privacyverklaring. Het is een verbod, met de zwaarste boetecategorie uit de wet erop.
AI-geletterdheid: wat blijft daarvan over?
Sinds februari 2025 moet elke organisatie die AI inzet zorgen voor voldoende AI-geletterdheid bij de mensen die ermee werken. Sinds 27 juli 2026 is die verplichting verzacht. De nieuwe tekst zegt dat je maatregelen moet nemen om de ontwikkeling van AI-geletterdheid te ondersteunen en voegt er expliciet aan toe dat je geen specifiek niveau bij een individu hoeft te garanderen.
Het is dus een inspanningsverbintenis geworden. Er staat ook geen aparte boete op. Wat overblijft is bewijslast: als er ooit iets misloopt met een AI-toepassing, is de vraag of je iets gedaan hebt of niets.
Voor een bedrijf van twintig mensen is een redelijke invulling niet zwaar. Eén interne afspraak op papier over wat wel en niet in AI-tools mag, één sessie van een uur voor iedereen die ermee werkt, iets diepgaander voor wie het dagelijks gebruikt en een korte notitie met datum en deelnemers zodat je kan tonen dat het gebeurd is. De Europese Commissie houdt een openbare verzameling van praktijkvoorbeelden bij, maar waarschuwt er zelf bij dat iets overnemen uit die lijst je niet automatisch in orde stelt.
Wie controleert dit in België?
Op dit moment niemand. België heeft eind 2025 nog laten weten dat de beslissing over welke autoriteiten toezicht zullen houden en wie het centrale contactpunt wordt, nog niet genomen is. In het federale regeerakkoord wordt het BIPT genoemd als waarschijnlijke toezichthouder, maar dat is een verwachting en geen wet. Er is ook nog geen Belgische uitvoeringswetgeving met sanctieregels.
De boetes staan wel al in de Europese verordening. Voor de verboden praktijken loopt dat op tot 35 miljoen euro of zeven procent van de wereldwijde jaaromzet, voor inbreuken op de transparantieregels tot 15 miljoen euro of drie procent. Voor kleine en middelgrote ondernemingen geldt telkens het laagste van beide bedragen en de omnibus voegt daar nog een bepaling aan toe die rekening houdt met de leefbaarheid van kleinere bedrijven.
Dat er vandaag geen Belgische handhaving is, is uitstel en geen afstel. En het verandert niets aan het feit dat de verplichtingen rechtstreeks gelden en dat een klant of een contractpartij je er wel op kan aanspreken.
Wat ik zou doen voor eind augustus
Vier stappen, samen een halve dag werk
1. Zet op één pagina welke AI-tools er in je bedrijf gebruikt worden, door wie en waarvoor. Dat lijstje bestaat bijna nergens en is de basis voor al de rest.
2. Zet AI-assistent bij je chatbot als die er staat, ook al ligt de plicht bij je leverancier.
3. Ga na of er ergens software draait die emoties of gedrag van medewerkers of sollicitanten inschat. Dat is de enige echte rode lijn in dit dossier.
4. Plan één sessie van een uur met de mensen die AI gebruiken en noteer datum en deelnemers.
Betaal niet voor een AI Act-audit voor je die vier punten hebt gedaan. Voor de meeste KMO's is dat het volledige verhaal en het lijkt sterk op wat je bij een AI-traject eigenlijk koopt: veel structuur die je zelf had kunnen aanbrengen.
De AI Act is geen reden tot paniek en ook geen reden om de schouders op te halen. Het is een wet met een duidelijke logica: hoe meer je zelf bouwt en hoe risicovoller de toepassing, hoe meer er van je verwacht wordt. De meeste KMO's zitten aan het rustige uiteinde daarvan, ook al gebruikt intussen bijna iedereen wel iets. Dat is precies waarom het loont om te weten wat er staat, want anders betaal je voor een probleem dat je niet hebt.