AI-verordening voor Belgische KMO's: wat te doen in 2026

De AI-verordening wordt concreet in 2026: waar staan we?

Verordening (EU) 2024/1689, beter bekend als de AI-verordening of AI Act, is in augustus 2024 in werking getreden. Sinds februari 2025 gelden bepaalde verplichtingen al voor Belgische KMO's die gebruikmaken van artificiële intelligentie. De grote verplichtingen voor de meeste bedrijven, die voor zogeheten AI-systemen met hoog risico, worden volledig van kracht in augustus 2026. Vertaald: voor een Vlaamse, Waalse of Brusselse KMO die ChatGPT, een chatbot of een cv-screeningtool heeft uitgerold, loopt de klok.

Dit artikel maakt de balans op van wat u in het voorjaar van 2026 moet weten, en vermijdt twee valkuilen: regelgevingspaniek (de meeste KMO's gebruiken AI met minimaal risico) en onderschatting (de verplichting rond AI-geletterdheid geldt al voor alle bedrijven). Dit is geen juridisch advies, raadpleeg voor een concreet dossier een gespecialiseerde advocaat, maar een praktische leidraad om uw aanpak te structureren.

De echte tijdlijn: wat geldt al, wat komt eraan

De AI-verordening rolt zich gefaseerd uit, en het is belangrijk om te onderscheiden wat al in werking is van wat er nog aankomt.

Sinds februari 2025 gelden twee blokken voor elke organisatie die AI gebruikt in Europa: het verbod op onaanvaardbare praktijken (social scoring, manipulatie van gedrag dat kwetsbaarheden uitbuit, niet-toegestane realtime biometrische identificatie, enz.) en de verplichting tot AI-geletterdheid voor aanbieders en gebruiksverantwoordelijken van AI-systemen. De grote meerderheid van KMO's wordt niet getroffen door de verboden praktijken, dat zijn extreme gevallen, maar AI-geletterdheid raakt iedereen.

Sinds augustus 2025 gelden de regels rond AI-modellen voor algemene doeleinden (GPAI: ChatGPT, Claude, Gemini, enz.) voor hun aanbieders, samen met de governance- en sanctiebepalingen. Voor een KMO die deze tools gebruikt, niet bouwt, blijft de rechtstreekse impact beperkt, maar u krijgt wel meer transparantie over wat u koopt.

Vanaf augustus 2026 worden de verplichtingen rond AI-systemen met hoog risico uit Bijlage III van de verordening (werving, kredietscoring, beheer van kritieke infrastructuur, bepaalde domeinen van het onderwijs, enz.) volledig van toepassing. Dat is de belangrijkste mijlpaal voor KMO's die AI-tools ontwikkelen of aankopen in deze domeinen.

Tot slot dekt in augustus 2027 de laatste golf verplichtingen AI-systemen die geïntegreerd zijn in producten die al onder Europese veiligheidsregels vallen (machines, medische hulpmiddelen, speelgoed, enz.).

Bent u aanbieder, gebruiksverantwoordelijke of distributeur?

De AI-verordening onderscheidt verschillende rollen, en de verplichtingen verschillen sterk naargelang uw positie. Deze kwalificatie regelen is het eerste werk.

De aanbieder ("provider") is wie een AI-systeem ontwikkelt of onder eigen naam op de markt brengt. Bouwt uw KMO zelf een chatbot of aanbevelingsalgoritme, dan bent u aanbieder. De gebruiksverantwoordelijke ("deployer", soms vertaald als "professionele gebruiker") is wie een AI-systeem inzet in een professionele context. Gebruikt u ChatGPT voor e-mails, Klaviyo voor segmentatie of een aangekochte cv-tool, dan bent u gebruiksverantwoordelijke. De distributeur stelt een AI-systeem ter beschikking op de Europese markt zonder er de aanbieder van te zijn, zeldzamer voor een KMO.

Voor de meeste Belgische KMO's is de relevante status die van gebruiksverantwoordelijke van systemen met beperkt of minimaal risico. Dat betekent een beperkt aantal verplichtingen, maar ze bestaan: transparantie tegenover gebruikers (artikel 50), AI-geletterdheid binnen uw team, en, wanneer u persoonsgegevens via AI verwerkt, afstemming met de AVG.

AI-geletterdheid: de stille verplichting die al geldt

Artikel 4 van de verordening verplicht aanbieders en gebruiksverantwoordelijken om de nodige maatregelen te nemen voor een toereikend niveau van AI-geletterdheid bij hun personeel en bij iedereen die in hun naam handelt. Deze verplichting geldt sinds 2 februari 2025 en betreft elke KMO, ongeacht het risiconiveau van de gebruikte systemen.

Wat betekent dat in de praktijk? Er is geen verplicht format. De verordening verwijst naar voldoende "vaardigheden, kennis en begrip" om AI "met kennis van zaken" te gebruiken en in te zetten. Voor een Belgische KMO kan dat verschillende vormen aannemen: een halve dag bewustmaking voor het team rond de gebruikte tools, een interne AI-gebruikscharter, korte vormingen rond risico's (hallucinaties, bias, datalekken), gedocumenteerde gebruiksgevallen die door de directie zijn gevalideerd.

De fout die ik het vaakst zie: elke medewerker laten ploeteren met ChatGPT, Copilot of Claude, zonder kader. Dat is noch conform artikel 4, noch gezond voor de kwaliteit van het geleverde werk. Zie ook Uw team opleiden voor AI-adoptie om die aanpak te structureren, en AI-integratiefouten te vermijden in KMO's om typische valkuilen te omzeilen.

Transparantieverplichtingen (artikel 50)

Artikel 50 legt verschillende transparantieverplichtingen op die elke KMO raken die met AI in interactie staat met klanten. Drie praktische gevallen.

Eerste geval: chatbot of conversationele agent. Interageren uw klanten met een AI-systeem (chat op uw website, AI-telefooncentrale, supportagent), dan moet u hen meedelen dat ze met een AI praten, tenzij dat manifest evident is. De praktijk: een duidelijke boodschap aan het begin van de interactie ("U spreekt met een virtuele assistent") en de mogelijkheid om naar een mens door te schakelen. Plant u om uw klantenservice te automatiseren met AI, bouw die transparantie dan vanaf het ontwerp in, in plaats van ze achteraf toe te voegen.

Tweede geval: AI-gegenereerde inhoud (deepfakes, beelden, audio, synthetische tekst). Publiceert u AI-gegenereerde inhoud die als authentiek kan worden opgevat (AI-productvisuals, synthetische stemmen, volledig door AI geschreven artikels), dan moet u de kunstmatige aard van de inhoud signaleren. Voor standaard marketingcases (duidelijk decoratieve illustraties, AI-suggesties die door een mens herwerkt zijn) is de verplichting soepeler, maar voorzichtigheid blijft aangeraden.

Derde geval: biometrische categorisatie of emotieherkenning. Gebruikt u deze technologieën (zeldzaam in KMO's, maar niet onbestaand in HR of klantenservice), dan gelden versterkte verplichtingen.

Sancties: wat riskeert een Belgische KMO concreet?

Laten we over cijfers praten, want dat is meestal de eerste vraag in workshops. De verordening voorziet drie niveaus van administratieve boetes. Verboden praktijken (artikel 5) kunnen leiden tot boetes tot 35 miljoen euro of 7% van de wereldwijde jaaromzet, waarbij het hoogste bedrag geldt. Inbreuken op de andere verplichtingen, waaronder die van gebruiksverantwoordelijken van hoogrisicosystemen, kunnen oplopen tot 15 miljoen euro of 3% van de omzet. Onjuiste informatie verstrekken aan de autoriteiten: tot 7,5 miljoen euro of 1%.

Die plafonds maken indruk, maar twee nuances zijn belangrijk voor een KMO. Ten eerste verplicht de verordening expliciet om rekening te houden met de grootte van de onderneming bij het bepalen van boetes: voor KMO's en start-ups geldt het laagste van de twee bedragen (vast bedrag of percentage) als plafond — een omkering die de wetgever bewust heeft gekozen om kleine structuren niet te verpletteren. Ten tweede zal de prioriteit van de toezichthouders, in België zoals elders, in eerste instantie remediëring zijn en geen onmiddellijke sanctie: een KMO te goeder trouw die haar gebruiken documenteert en snel corrigeert, staat er heel anders voor dan een bedrijf dat het kader bewust negeert.

Het echte kortetermijnrisico voor een Belgische KMO is trouwens niet de boete, maar de commerciële en contractuele blootstelling: grote klanten en openbare opdrachtgevers beginnen garanties inzake naleving van de AI-verordening te eisen in hun aanbestedingen en onderaannemingscontracten. Een nalevingsvragenlijst niet kunnen beantwoorden kan u een opdracht kosten lang voordat een regulator zich voor u interesseert.

AI-verordening en AVG: twee werven, één governance

De AI-verordening vervangt de AVG niet — ze komt erbovenop. Zodra een AI-systeem persoonsgegevens verwerkt (een klantenmail geanalyseerd door een assistent, een cv gesorteerd door een tool, een gesprek opgenomen door een chatbot), gelden beide verordeningen tegelijk. Het goede nieuws: een KMO die haar AVG-huiswerk ernstig heeft gedaan (verwerkingsregister, rechtsgronden, verwerkersovereenkomsten — zie gdpr.eu voor de basis) heeft al een groot deel van het fundament gelegd.

Concreet verdienen drie raakpunten uw aandacht. Uw AVG-verwerkingsregister kan worden uitgebreid tot register van AI-gebruiksgevallen — één levend document in plaats van twee. Bestaande gegevensbeschermingseffectbeoordelingen dekken vaak al risico's die de AI-verordening u vraagt te evalueren voor hoogrisicosystemen. En de kwestie van gegevensdoorgiften naar Amerikaanse AI-leveranciers (OpenAI, Anthropic, Google) valt onder de AVG, niet onder de AI-verordening: controleer de contractuele clausules en de Europese dataresidentie-opties die uw leveranciers aanbieden.

Ik heb deze wisselwerking in detail behandeld in AVG en AI voor Belgische KMO's: staat uw AVG-naleving op losse schroeven, begin dan daar, want de AI-verordening bouwt erop voort.

Drie concrete situaties van Belgische KMO's

Om dit alles tastbaar te maken, drie typische profielen uit de praktijk, met hun reële blootstelling aan de verordening.

De e-commercespeler met chatbot en AI-productcontent. Een KMO die online verkoopt, een supportchatbot draait en productbeschrijvingen genereert met AI, cumuleert twee transparantieverplichtingen (artikel 50): de chatbot als dusdanig aanduiden en AI-gegenereerde visuals die kunnen misleiden niet als authentiek voorstellen. Globaal risico: beperkt. Nalevingsinspanning: enkele dagen, vooral formalisering. Dit is het meest voorkomende profiel bij onze AI voor e-commerce-klanten.

Het boekhoudkantoor dat documentverwerking automatiseert. Een accountantskantoor dat AI gebruikt om gegevens uit facturen te extraheren en aangiftes voor in te vullen, blijft op minimaal risico: de mens valideert, de AI assisteert. Aandachtspunten: de vertrouwelijkheid van klantgegevens die naar cloudtools worden gestuurd (AVG) en de AI-geletterdheid van de medewerkers, want een niet-gedetecteerde extractiefout engageert de aansprakelijkheid van het kantoor, niet die van de tool.

Het rekruteringsbureau dat cv's screent. Dit is het ernstige geval. Geautomatiseerde screening van sollicitaties staat expliciet in Bijlage III: een rekruteringsbureau dat een kandidaat-scoringtool gebruikt, is vanaf augustus 2026 gebruiksverantwoordelijke van een hoogrisicosysteem. Verplichtingen: de tool gebruiken volgens de handleiding, effectief menselijk toezicht garanderen, kandidaten informeren, logs bewaren, en nagaan of de leverancier van de tool zelf conform is. Hier is gespecialiseerde begeleiding geen luxe.

Een nalevingsplan van 30-60 dagen voor een Belgische KMO

Hier is een pragmatische routekaart om de AI-verordening aan te pakken in een Belgische KMO zonder de werking te blokkeren.

Weken 1-2: in kaart brengen. Lijst alle AI-gebruiken in uw bedrijf op, inclusief die van individuele medewerkers (persoonlijke ChatGPT gebruikt voor werk, AI-plug-ins in Excel, AI-functies in Gmail/Outlook, SaaS-tools met ingebouwde AI). Identificeer voor elk gebruik: wie het gebruikt, met welk doel, welke gegevens worden verzonden, welke leverancier, welke risicocategorie.

Weken 3-4: kwalificatie. Bepaal per gebruik uw rol (aanbieder of gebruiksverantwoordelijke, quasi altijd gebruiksverantwoordelijke voor een KMO) en het risiconiveau. Voor 90% van de KMO's zit u op minimaal of beperkt risico. Identificeert u een gebruik met hoog risico (werving, kredietscoring, enz.), dan is gespecialiseerde begeleiding nodig.

Weken 5-6: het fundament leggen. Drie deliverables: een interne AI-gebruikscharter (1-2 pagina's: toegestane tools, verboden gegevens, menselijke validatie, incidentmelding), een opleidingsplan AI-geletterdheid (minimum een halve dag voor iedereen die AI gebruikt), en een bijwerking van uw privacybeleid klantzijde (transparantie over AI-gebruik).

Weken 7-8: doorlopende controles. Zet een trimestriële herziening op van de gebruikte AI-tools (een nieuwe SaaS, een nieuwe functie), houd een eenvoudig register bij van use cases, en duid een interne contactpersoon aan. Voor de documentatie, zie ook Gegevensbeveiliging met AI voor KMO's dat het AVG-luik aanvult.

Officiële bronnen om te raadplegen

Twee betrouwbare bronnen om dieper te graven. Het EU AI Act-portaal van de Europese Commissie (digital-strategy.ec.europa.eu) bundelt de officiële tekst, richtsnoeren en uitvoeringshandelingen. De onafhankelijke tracker artificialintelligenceact.eu laat u de bijlagen en tijdlijnen volgen zonder in het Publicatieblad te navigeren.

In België wordt de nationale bevoegde autoriteit voor de AI-verordening op het moment van schrijven geformaliseerd. Volg de communicatie van de FOD Economie (economie.fgov.be) en de Gegevensbeschermingsautoriteit (gegevensbeschermingsautoriteit.be), die het raakvlak AI Act / AVG dekt. Voor de bredere AVG-context bij AI-projecten, zie ook AVG en AI voor Belgische KMO's.

Verder gaan

De AI-verordening is noch een schrikbeeld, noch een formaliteit. Voor een KMO die AI verstandig inzet, productiviteitstools, automatisering, marketing, is naleving haalbaar in enkele weken gestructureerd werk. De echte vraag is niet "hoe ontloop ik de verordening", maar "hoe integreer ik AI-governance in mijn manier van leiden". Dat is precies het soort begeleiding dat AIves Consulting levert aan Vlaamse, Waalse en Brusselse KMO's binnen haar AI-advies- en strategietrajecten: gebruiksaudit, interne charter, opleiding AI-geletterdheid, afstemming met uw bestaande AVG-programma.

Wilt u beginnen? De eerste nuttige reflex is het opmaken van de interne gebruiksmap. Zonder die blijven alle volgende stappen theoretisch. En wilt u het terrein liever niet alleen verkennen, praat erover met ons: een eerste gesprek volstaat meestal om uw reële blootstelling in te schatten en de inspanning te dimensioneren — vaak bescheidener dan u vreest.