EU AI Act-toezicht sinds 2 augustus: wat verandert er nu echt voor het mkb?

Wat er in de eerste maand feitelijk is gebeurd

Laten we beginnen met wat er niet is gebeurd. Er is in Nederland in de eerste maand geen boete opgelegd onder de AI-verordening, en dat kon ook niet: de nationale wet die Nederlandse toezichthouders de bevoegdheid geeft om onder deze verordening te handhaven, is nog niet in werking. Dat is geen soepelheid en ook geen gedoogbeleid, het is een ontbrekende wettelijke grondslag.

Wat wél geldt, gold vanaf de dag zelf. De AI-verordening is een verordening en werkt daarmee rechtstreeks: de transparantieverplichtingen van artikel 50 zijn sinds 2 augustus 2026 van toepassing, ongeacht de stand van de Nederlandse wetgeving. De Autoriteit Persoonsgegevens heeft daar in de aanloop naar die datum ook actief over gecommuniceerd. Er is overigens geen loket waar u een systeem voor die verplichting aanmeldt: de melding werkt richting de mensen die ermee te maken krijgen, niet richting een instantie.

Het onderscheid dat u scherp moet houden is dus niet 'geldt het wel of niet', maar 'geldt het' tegenover 'kan iemand er hier al iets tegen ondernemen'. Het eerste is ja, het tweede nog niet volledig. Wie die twee door elkaar haalt, komt uit op een van twee verkeerde conclusies: paniek, of het idee dat er niets hoeft.

Wie er straks bewijs bij u kan opvragen

Dit is het punt waarop de berichtgeving van dit voorjaar concreet wordt. Nederland heeft niet gekozen voor één nieuwe AI-autoriteit, maar voor een hybride model waarin bestaande toezichthouders AI binnen hun eigen domein oppakken. De Autoriteit Persoonsgegevens en de RDI vervullen daarbij samen de coördinerende rol, waarbij de RDI het centrale aanspreekpunt richting Europa is.

Het conceptwetsvoorstel wijst in totaal tien markttoezichthouders aan. De verdeling die voor het mkb in logistiek, food en agri-food relevant is, ziet er zo uit:

• De Autoriteit Persoonsgegevens: de verboden praktijken, het merendeel van de hoog-risicosystemen uit bijlage III en de transparantieverplichtingen van artikel 50.
• De RDI: coördinatie tussen de toezichthouders en het aanspreekpunt richting de Europese Commissie en de andere lidstaten.
• De NVWA en de Nederlandse Arbeidsinspectie: AI in producten en AI op de werkvloer, precies waar productieapparatuur en arbeidsomstandigheden samenkomen.
• De ILT: AI binnen transport en leefomgeving.
• De AFM en De Nederlandsche Bank: AI bij financiële instellingen.
• De IGJ: AI in de zorg. De resterende twee rollen liggen bij de rechtspraak en zijn voor het bedrijfsleven niet van belang.

Waarom die bevoegdheid er nog niet is

De Uitvoeringswet AI-verordening regelt precies wat er nu ontbreekt: welke toezichthouder onder artikel 99 een boete kan opleggen, volgens welke procedure, en met welke bevoegdheden om informatie op te vragen. Zonder die grondslag kan een Nederlandse toezichthouder een boete uit de AI-verordening niet effectief opleggen. Het wetsvoorstel ging op 20 april 2026 in internetconsultatie, die sloot op 1 juni 2026. Daarna volgen de verwerking van de reacties, het advies van de Raad van State en de behandeling in Tweede en Eerste Kamer. Het kabinet gaf zelf al aan dat inwerkingtreding ná 2 augustus 2026 zou liggen.

Interessanter dan de vertraging is wat de toezichthouders er zelf van vinden. De AFM concludeerde in haar uitvoeringstoets van 12 juni 2026 dat het wetsvoorstel uitvoerbaar is, maar dat er aanpassingen nodig zijn voor effectief toezicht: voldoende capaciteit en middelen, een heldere taakverdeling tussen AFM en De Nederlandsche Bank, een expliciet publicatieregime en duidelijke kaders voor gegevensdeling en geheimhouding.

Dat zijn geen technische details. Het gaat precies over de vraag wie wat bij u mag opvragen, wat een toezichthouder daarover naar buiten mag brengen en hoe toezichthouders onderling informatie delen. Zolang dat niet is uitgekristalliseerd, is het toezicht wel benoemd maar nog niet volledig operationeel.

Voor uw eigen planning betekent dat twee dingen tegelijk. U kunt uw dossier nu opbouwen zonder dat een lopend onderzoek de volgorde en het tempo bepaalt. En u doet er goed aan die periode ook te benutten, want zodra het instrumentarium compleet is, geldt het voor verplichtingen die op dat moment al jaren van kracht zijn. Voor de tijd die u ongebruikt laat, komt geen overgangstermijn.

Wat al verplicht was, en dus geen augustusnieuws is

Hier zit het grootste misverstand van de afgelopen maand. De AI-geletterdheidsplicht van artikel 4 en het verbod op bepaalde AI-praktijken uit artikel 5 gelden sinds 2 februari 2025. Dat is anderhalf jaar vóór de datum waar alle koppen over gingen. Wie in augustus 2026 in beweging kwam omdat 'de AI Act nu ingaat', reageerde dus op de verkeerde datum: voor die twee verplichtingen liep hij op dat moment al ruim anderhalf jaar achter.

Voor de boetevrees is één ding van belang. Het boetekader van artikel 99 werkt met een limitatieve opsomming van bepalingen, en artikel 4 komt daarin niet voor. Het vereenvoudigingspakket heeft de formulering van dat artikel bovendien verzacht tot een inspanningsverplichting. Dat verklaart waarom de aangekondigde miljoenenboetes voor een gemiste cursus zijn uitgebleven. Vrijblijvend wordt de plicht er niet van: waar het op aankomt is dat u kunt laten zien welke maatregelen u heeft genomen, voor welke rollen, en op welk moment.

Het onderscheid past in één zin: het toezicht is nieuw, de plicht niet.

Nieuw en concreet: de praktijkcode voor AI-content

Eén ontwikkeling uit dit voorjaar is in de Nederlandse berichtgeving grotendeels ondergesneeuwd, terwijl die voor de transparantieverplichting het meest praktisch is. De Europese Commissie publiceerde op 10 juni 2026 de praktijkcode inzake transparantie van door AI gegenereerde content. Die werkt de markerings- en labelverplichtingen van artikel 50 (de leden 2, 4 en 5) praktisch uit, met een deel voor aanbieders van generatieve AI-systemen en een apart deel voor gebruiksverantwoordelijken.

Deelname is vrijwillig; de onderliggende verplichting uit artikel 50 is dat niet. De Commissie en de AI-Board hebben de code aangemerkt als een adequaat vrijwillig instrument om naleving aan te tonen, en de Autoriteit Persoonsgegevens adviseert organisaties die onder deze verplichtingen vallen zich erin te verdiepen en onderdelen ervan te ondertekenen.

Voor de meeste mkb-bedrijven in onze doelgroep is ondertekenen geen noodzaak: u bouwt zelf geen generatieve AI-systemen. Maar de code is wel het duidelijkste beschikbare antwoord op de vraag hoe u AI-content netjes labelt, en die vraag wordt concreet zodra u AI-teksten of -beelden publiceert. Gebruik het als referentie, niet als verplichting, en vraag uw leverancier of die de code heeft ondertekend.

In welke vorm de vraag om bewijs nu binnenkomt

Dat klanten en auditors naar uw AI-beleid vragen terwijl de toezichthouder daar nog geen bevoegdheid voor heeft, signaleerden we in juni al. Wat daar nu aan te scherpen valt, is niet zozeer wie het vraagt, maar in welke vorm de vraag binnenkomt. Die vorm bepaalt namelijk wat u moet kunnen overleggen, op welke termijn, en wie het bij u ondertekent.

• Als contractvoorwaarde. Klanten en aanbestedende partijen nemen AI-gebruik op in leveranciersvragenlijsten en inkoopvoorwaarden. Daar ligt de lat bij een ondertekende verklaring met een datum, niet bij een toelichtend gesprek.
• Als auditvraag. Auditors van kwaliteitsschema's willen zien hoe AI zich verhoudt tot uw beheersmaatregelen en registraties, bijvoorbeeld rond [traceerbaarheid en kwaliteitsdata](/insights/fssc-22000-v6-ai-traceerbaarheid-kwaliteitsdata). Daar telt of het terug te vinden is in de documentatie die u toch al bijhoudt.
• Als onderdeel van een risicobeoordeling. Verzekeraars en financiers kijken naar de rol van AI in kritieke processen. Daar gaat het vooral om de vraag welke beslissingen een mens neemt, en waar dat is vastgelegd.
• Als doorgifte-eis. Opdrachtgevers in uw keten vragen van u dezelfde onderbouwing die zij zelf aan hún klanten moeten geven. Daar is het formaat meestal dat van uw opdrachtgever, niet dat van u.
• Als medezeggenschapsvraag. Medewerkers en ondernemingsraad willen weten wat er met AI gebeurt rond planning, roostering en beoordeling. Daar weegt een uitlegbaar verhaal zwaarder dan een document.

Wat de eerste maand aan uw dossier toevoegt

De praktische stappen zelf zijn deze maand niet veranderd. Welke AI u gebruikt, wie erin is getraind, wat er is afgesproken en waar AI namens u met mensen communiceert: die vier vragen stonden in juli al in onze checklist bij 2 augustus, en het beleidsdeel ervan werkten we uit in het artikel over ChatGPT en Copilot op de werkvloer. Die lijst hoeft u niet opnieuw te maken. Wat de eerste maand er wel aan toevoegt, gaat over de vorm waarin u dat materiaal bewaart. Drie dingen:

• Een adres. Nu de verdeling over tien toezichthouders bekend is, weet u wie over uw domein gaat: voor een voedingsproducent zijn dat de NVWA en de Arbeidsinspectie, voor een vervoerder de ILT, en voor de transparantieverplichting de Autoriteit Persoonsgegevens. Dat is meer dan een naam. Met de meeste van die partijen heeft u al een inspectierelatie, en het scheelt werk als uw AI-dossier aansluit op de systematiek die u in die relatie toch al gebruikt.
• Een datum bij elk stuk. De bevoegdheid komt later, de verplichtingen lopen nu. Wat een toezichthouder of auditor straks beoordeelt, is dus mede de periode waarin u zich vandaag bevindt. Noteer daarom bij elke maatregel wanneer u die trof: wanneer de melding bij het systeem is geplaatst, wanneer welke medewerkers zijn getraind, wanneer de afspraken zijn vastgesteld en wanneer u ze voor het laatst heeft herzien.
• Een leverancierskolom. Die is nieuw sinds de praktijkcode van 10 juni 2026 en de markeringstermijn van 2 december 2026. Leg per AI-tool vast wie de aanbieder is, of die de praktijkcode geheel of gedeeltelijk heeft ondertekend, en wat hij zegt over machineleesbare markering van de output. Die informatie moet u toch opvragen, en zonder vaste plek verdwijnt ze in de mailwisseling.

De eerstvolgende datum die telt

Zet 2 december 2026 in de agenda. Op die datum loopt de overgangstermijn af voor de machineleesbare markering van AI-content door systemen die vóór 2 augustus 2026 al op de EU-markt waren. Die markering moet uw leverancier technisch regelen, u heeft daar zelf geen knop voor, maar het is wel het eerstvolgende moment waarop de aanbiederskant iets moet kunnen laten zien. Vraag er bij uw volgende gesprek gewoon naar; het antwoord zegt ook iets over hoe serieus die leverancier de rest van de verordening neemt.

Daarna is het rustig tot 2 augustus 2027 (nationale AI-sandboxes en oudere algemene AI-modellen), 2 december 2027 (hoog risico uit bijlage III) en 2 augustus 2028 (AI in gereguleerde producten). Draait u AI in operationele processen als planning, forecasting en kwaliteitscontrole, dan raakt bijlage III u niet en is die datum vooral iets om te kennen. Zet u AI in bij werving, beoordeling of roostering, dan is december 2027 uw eigen horizon. In beide gevallen geldt hetzelfde: wie het dossier nu inricht, hoeft er bij die data alleen nog iets aan toe te voegen. En op het moment dat het Nederlandse handhavingsinstrumentarium compleet is, ligt het antwoord al klaar.