De AI Act heeft sinds 2 augustus tanden. Nederland heeft nog geen toezichthouder.

Het eerste deel gaat over de modellen zelf. Aanbieders van AI-modellen voor algemene doeleinden, de categorie waar de modellen achter ChatGPT, Claude, Gemini en Mistral onder vallen, moeten technische documentatie bijhouden, een auteursrechtenbeleid voeren en publiek samenvatten waarop hun model is getraind. Voor modellen die na 2 augustus op de markt komen geldt dat meteen; wat er al stond, heeft tot 2 augustus 2027 de tijd.

Het tweede deel gaat over de gevolgen. Sinds dezelfde datum is het sanctieregime van kracht. De bedragen die daarbij horen zijn fors: tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet voor de zwaarste overtredingen, en 15 miljoen of 3 procent voor de rest. Voor MKB-ondernemingen geldt daarbij niet het hoogste maar het laagste van de twee bedragen, een uitzondering die de wetgever er bewust in heeft gezet.

Eén uitzondering hoort er meteen bij, en die gaat precies over de modellen van hierboven: de bevoegdheid van de Europese Commissie om aanbieders van algemene AI-modellen te beboeten treedt pas op 2 augustus 2026 in. De verplichtingen gelden dus vanaf deze maand, de boete daarop volgend jaar. Dat is een jaar respijt voor OpenAI, Google en Anthropic, niet voor de rest van de verordening.

Daarnaast is er een gedragscode voor aanbieders van algemene modellen, op 10 juli gepubliceerd en op 1 augustus door de Commissie en de AI Board als toereikend beoordeeld. Ondertekenen is vrijwillig en levert minder administratieve last en meer rechtszekerheid op. Voor jou is dat vooral een handvat: je kunt nakijken of de partij waar je je AI afneemt hem heeft getekend.

Vrijwel geen enkel MKB-bedrijf is aanbieder van een algemeen AI-model. Je bent afnemer, en in de taal van de verordening gebruiksverantwoordelijke. De verplichtingen van deze maand landen dus niet bij jou maar bij de partijen waar je de techniek van afneemt. Dat is geen reden om achterover te leunen, want het levert je iets op: informatie die er tot nu toe niet was.

Een aanbieder moet nu documentatie hebben en samenvatten waarop is getraind. Dat maakt een aantal vragen redelijk die een leverancier vorig jaar nog kon wegwuiven als detailzucht. Ik zou ze bij elke AI-tool stellen die je in huis haalt of al gebruikt.

• Valt dit model onder de nieuwe verplichtingen, en stond het vóór of na 2 augustus 2025 op de markt?
• Waar staat de samenvatting van de trainingsdata, en kan ik die inzien?
• Heeft de aanbieder de gedragscode voor algemene AI-modellen ondertekend?
• Waar worden mijn gegevens verwerkt, en worden ze gebruikt om modellen mee te trainen?

Dit zijn geen juristenvragen maar inkoopvragen. Een leverancier die ze niet kan beantwoorden, weet zelf niet wat hij doorverkoopt, en dat is een bruikbaar oordeel voordat je een contract tekent. Zet de antwoorden bij het contract in dezelfde map, want over een jaar weet niemand meer wie wat had beloofd.

Lidstaten moesten uiterlijk 2 augustus 2025 hun nationale toezichthouders aanwijzen en aanmelden bij de Europese Commissie. Nederland heeft dat niet gehaald, en dat is geen verrassing: de staatssecretaris meldde het al in november 2024 aan de Tweede Kamer. De reden die hij gaf was dat er meer tijd nodig is voor zorgvuldige besluitvorming over de inrichting van het toezicht.

Wat betekent dat praktisch? Dat een toezichthouder zijn handhavingsbevoegdheden pas kan gebruiken als de uitvoeringswet er is. Het betekent niet dat de verplichtingen niet gelden. De verordening werkt rechtstreeks, en de staatssecretaris wees er in dezelfde brief op dat een overtreding een onrechtmatige daad oplevert: burgers en bedrijven die schade lijden, kunnen naar de civiele rechter. Wie de afwezigheid van een inspecteur leest als uitstel, wacht op het verkeerde signaal.

En er is een tweede partij die eerder aan je deur staat dan een toezichthouder: je eigen klant. Grotere opdrachtgevers zetten AI-vragen inmiddels in hun inkoopvoorwaarden en leveranciersaudits. In de praktijk word je hier eerder op bevraagd door de inkoopafdeling van een klant dan door de rijksoverheid, en dat gesprek win je met een map die op orde is.

Terwijl de aandacht naar 2 augustus gaat, is het deel dat een MKB-bedrijf werkelijk raakt al sinds 2 februari van dit jaar van kracht. Dat zijn de verboden AI-praktijken en de AI-geletterdheidsplicht: wie AI inzet, moet zorgen dat de mensen die ermee werken begrijpen wat het doet en waar het faalt. Dat geldt voor het administratiekantoor met drie ChatGPT-accounts net zo goed als voor een technologiebedrijf.

Die plicht is goed te dragen, want hij vraagt aantoonbaar basisbegrip en geen certificering. Een instructiesessie, een A4 met wat wel en niet mag, en een aantekening wie wanneer is bijgepraat, is in de meeste bedrijven het hele verhaal. Wat er niet in past is de gedachte dat je hiermee kunt wachten tot iemand ernaar vraagt, want dan is het achteraf niet meer aantoonbaar.

Verderop staat 2 augustus 2026, met de verplichtingen voor hoog-risicotoepassingen en de transparantieregels voor AI-gegenereerde inhoud. Dat is nog een jaar weg en het is geen reden voor een compliance-project. Het is wel de reden om nu vast te leggen welke AI-tools er in het bedrijf worden gebruikt en waarvoor. Die lijst heb je hoe dan ook nodig, en hij is over een jaar niet makkelijker te maken dan vandaag.