De AI Act in 2026: wat er op de kalender staat.

Sinds 2 februari 2025 zijn twee delen van de AI Act van kracht. Het eerste is het verbod op AI-praktijken die de wet als onacceptabel risico beschouwt. Het tweede is de AI-geletterdheidsplicht van artikel 4: organisaties die AI inzetten, moeten zorgen dat de mensen die ermee werken voldoende begrijpen wat het doet en waar het faalt.

Let op het woord inzetten. Deze plicht is niet voorbehouden aan techbedrijven die AI bouwen; hij geldt voor elke organisatie die AI gebruikt. Een administratiekantoor waar drie mensen dagelijks met een ChatGPT-abonnement werken, zet AI in en valt eronder. Dat is geen doembeeld, want de plicht is naar zijn aard goed te dragen: het gaat om aantoonbaar basisbegrip, niet om een certificeringstraject.

Sinds 2 augustus 2025 gelden daarnaast de verplichtingen voor aanbieders van general-purpose AI-modellen. Als MKB-bedrijf ben je vrijwel nooit zo'n aanbieder; dit deel raakt vooral de partijen waarvan je de modellen afneemt. Relevant om te weten, geen werk voor jou.

De grote datum op de kalender is 2 augustus 2026: dan worden volgens de verordening de verplichtingen van kracht voor de zelfstandige high-risk-toepassingen uit Annex III. Voor high-risk AI die in een al gereguleerd product zit, de categorie uit Annex I, staat 2 augustus 2027 in de wet. High-risk is een gedefinieerde categorie, geen gevoel; het gaat om AI in toepassingen waar beslissingen mensen direct raken, zoals systemen die meebeslissen over sollicitanten.

Voor het gemiddelde MKB-bedrijf dat AI gebruikt voor teksten, samenvattingen en interne administratie, ligt high-risk buiten de dagelijkse praktijk. Het wordt pas jouw onderwerp zodra AI bij jou over mensen gaat beslissen, en dan wil je ruim vóór de deadline weten wat er van je gevraagd wordt, niet erna.

Op 19 november 2025 stelde de Europese Commissie in het Digital Omnibus-pakket voor om die high-risk-deadline op te schuiven: richting december 2027 voor de toepassingen uit Annex III en richting 2028 voor die uit Annex I. Dat voorstel ligt op dit moment ter behandeling bij de Raad en het Europees Parlement. Er is dus niets besloten.

Belangrijker: zelfs als het voorstel wordt aangenomen, gaat het uitsluitend over high-risk. De verboden praktijken en de geletterdheidsplicht staan er los van en blijven gewoon gelden. Wie het Brusselse nieuws samenvat als 'de AI Act is uitgesteld', stelt in de praktijk vooral zijn eigen basiswerk uit, en dat basiswerk is nu al verplicht.

De basis is geen juristenwerk. Vier stappen, in deze volgorde.

1. Inventariseer welke AI-tools er in het bedrijf gebruikt worden, inclusief de accounts die medewerkers zelf hebben aangemaakt.
2. Toets dat gebruik aan de verboden praktijken en stop wat niet mag.
3. Leg op één A4 vast wie welke tools waarvoor mag gebruiken, en wat er nooit in mag, te beginnen met klantgegevens.
4. Zorg voor een basisinstructie, zodat iedereen die met AI werkt weet wat het doet en waar het faalt.

Daarmee heb je de geletterdheidsplicht in de praktijk staan en een fundament dat elke latere verplichting draagt. Het kost een paar dagdelen, geen adviestraject. En wie dit nu doet, hoeft bij geen enkele deadline te schrikken, welke datum Brussel er uiteindelijk ook van maakt.