De AI Act is geen toekomstmuziek. Verboden AI-praktijken gelden al sinds 2 februari 2025. De grote golf verplichtingen voor risicovolle AI en de transparantieregels volgen op 2 augustus 2026. Wij brengen je AI-landschap in kaart, classificeren per rol en zorgen dat je aantoonbaar voorbereid bent.
AI-systemen die mensen raken in toegang tot diensten, onderwijs, veiligheid of werkgelegenheid vallen in de hoog-risico categorie. Vanaf 2 augustus 2026 gelden voor deze systemen verplichtingen rond conformiteitsbeoordeling, technische documentatie, menselijk toezicht en transparantie. Wie nu nog niet geïnventariseerd heeft welke AI-systemen in scope vallen, heeft weinig marge.
De verordening is gepubliceerd en treedt gefaseerd in werking. De overgangsperiodes lopen.
Verboden AI-praktijken en de plicht tot AI-geletterdheid (artikel 4) gelden. Dit treft elke organisatie die AI inzet of aanbiedt.
Regels voor general-purpose AI (GPAI), governancebepalingen, nationale autoriteiten en een deel van het sanctiestelsel zijn actief.
De hoofdmoot: de meeste verplichtingen voor hoog-risico AI-systemen en de transparantieverplichtingen van artikel 50 gaan gelden. Wie niet voorbereid is, loopt achter.
AI als veiligheidscomponent van gereguleerde producten onder artikel 6, lid 1. Gaat onder andere om medische apparatuur, machines en voertuigen met AI-componenten.
Je zet een AI-chatbot in die overtuigend klinkt als een mens. Onder de AI Act moet duidelijk zijn dat iemand met AI praat, tenzij dat overduidelijk is. Dit valt onder artikel 50.
Je HR-team gebruikt AI om cv’s te rangschikken of gesprekken te analyseren. In werkgelegenheid kan dat een hoog-risico use case zijn onder bijlage III van de AI Act.
Je marketingteam maakt met AI een video of stem die echt lijkt. Vanaf 2 augustus 2026 gelden hiervoor transparantieverplichtingen, ook als het om creatieve of entertainmentdoeleinden gaat.
Is AI een veiligheidscomponent van een gereguleerd product, in medische apparatuur of een machine, dan ligt de lat nog hoger. Artikel 6, lid 1 geldt hier per 2027.
Inventarisatie van AI-systemen en modellen, toepasselijkheidscheck, rolbepaling (provider, deployer, importeur, distributeur, productfabrikant), prioritering op deadline en risico, beoordeling van verboden praktijken en een eerste artikel-50-check.
Beleid en governance, AI-register, classificatiemethodiek, leveranciers- en contracteisen, AI-literacy-aanpak, basisdocumentatie en, waar relevant, GPAI- of hoog-risico-dossieropbouw.
Periodieke herbeoordeling van use cases, wijzigingsbeheer, incident- en klachtproces, monitoring op gebruik en risico’s, audittrail en voorbereiding op toezicht door de nationale markttoezichthouder.
Deels. De verboden AI-praktijken (artikel 5) en de plicht tot AI-geletterdheid (artikel 4) gelden sinds 2 februari 2025. De regels voor general-purpose AI gelden sinds 2 augustus 2025. De meeste verplichtingen voor hoog-risico AI en de transparantieregels van artikel 50 gelden vanaf 2 augustus 2026.
Voor AI als veiligheidscomponent van bepaalde gereguleerde producten volgt 2 augustus 2027. De implementatietijd tot augustus 2026 is kort, zeker voor classificatie, documentatie en transparantie.
De AI Act kent vier niveaus: verboden AI, hoog-risico AI, AI met een transparantieplicht (artikel 50) en AI met minimaal risico. De klasse hangt af van wat het systeem doet en in welke context, niet van de techniek. Een classificatie per use case bepaalt je verplichtingen.
Eenzelfde model kan in de ene toepassing minimaal risico zijn en in de andere hoog-risico. Daarom classificeer je per gebruikssituatie, niet per tool.
Verboden zijn onder meer AI-systemen die mensen manipuleren via onderbewuste technieken, die sociale scores toekennen aan personen, die toekomstig crimineel gedrag voorspellen op basis van profilering, en realtime biometrische identificatie in publiek toegankelijke ruimten voor wetshandhaving. Dat laatste is in beginsel verboden, behoudens limitatieve uitzonderingen en waarborgen uit de AI Act. Deze praktijken zijn verboden sinds 2 februari 2025.
Naast de genoemde praktijken vallen ook schadelijke manipulatie of misleiding, het uitbuiten van kwetsbaarheden van personen of groepen, ongericht scrapen van gezichtsbeelden voor gezichtsherkenningsdatabases, bepaalde emotieherkenning en bepaalde vormen van biometrische categorisering onder het verbod van artikel 5. Twijfel je of een toepassing hieronder valt, leg dan een escalatie- en beoordelingsproces vast. De grens is niet altijd scherp, en de gevolgen van een verboden inzet zijn groot.
Vanaf 2 augustus 2026 gelden de meeste verplichtingen voor hoog-risico AI-systemen (artikelen 6 tot en met 49) en de transparantieverplichtingen van artikel 50. Denk aan risicobeheer, technische documentatie, menselijk toezicht, logging, en het informeren van gebruikers bij AI-interactie of AI-gegenereerde content.
Wie hoog-risico of interactieve AI inzet, moet vóór deze datum classificatie, documentatie en transparantie op orde hebben. De voorbereiding kost tijd, vooral bij meerdere systemen en leveranciers.
Dan ben je meestal deployer en heb je eigen verplichtingen, ook al bouw je het systeem niet zelf. De leverancier heeft plichten als provider. Bij een general-purpose AI-model gelden bovendien al sinds 2 augustus 2025 documentatie- en transparantie-eisen aan de aanbieder.
Toets leveranciers nu al op AI Act-relevante documentatie, modelcapaciteiten en beperkingen, copyrightbeleid en, waar van toepassing, de door de aanbieder te publiceren samenvatting van gebruikte trainingscontent. Leg contractueel vast welke informatie voor compliance, audits, logging, incidenten en aansprakelijkheid beschikbaar komt. Naast provider en deployer bestaan de rollen importeur, distributeur en productfabrikant, elk met eigen plichten.
Vanaf 2 augustus 2026 moet duidelijk zijn dat iemand met AI communiceert, tenzij dat overduidelijk is. AI-gegenereerde of gemanipuleerde beelden, audio en video, zoals deepfakes, moeten als zodanig herkenbaar zijn. Dit raakt chatbots, synthetische content en AI-gegenereerde publieksinformatie.
Regel gebruikersmeldingen, disclosure-teksten en een labelaanpak. De Europese Commissie heeft op 8 mei 2026 concept-richtsnoeren voor artikel 50 gepubliceerd; volg de definitieve richtsnoeren en eventuele codes voor markering en labeling van AI-gegenereerde content.
Volgens de Uitvoeringswet AI-verordening, die in april 2026 in internetconsultatie ging, krijgen de Autoriteit Persoonsgegevens (AP) en de Rijksinspectie Digitale Infrastructuur (RDI) een centrale toezichtsrol. Voor gereguleerde sectoren zoals financiële dienstverlening en zorg spelen daarnaast de sectorale toezichthouders een rol.
De definitieve verdeling wordt vastgelegd in de Uitvoeringswet. Het wetstraject loopt nog, dus de exacte taakverdeling kan nog verschuiven.
* Informatie is algemeen van aard en vormt geen juridisch advies. Stand: juli 2026.
Wij brengen je AI-landschap in kaart en prioriteren de acties per deadline.