Een jaar verboden AI-praktijken: wat er nu al geldt terwijl Brussel over uitstel praat.

Sinds 2 februari 2025 zijn twee onderdelen van de EU AI Act van toepassing: de verboden AI-praktijken van artikel 5 en de AI-geletterdheidsplicht van artikel 4. Het eerste onderdeel haalt de krantenkoppen, het tweede raakt de meeste bedrijven. De verboden praktijken gaan over systemen die vrijwel geen MKB-bedrijf bouwt of koopt: social scoring, manipulatieve systemen, emotieherkenning op de werkvloer. De geletterdheidsplicht gaat over iets dat vrijwel elk bedrijf inmiddels doet.

Die plicht geldt namelijk niet alleen voor bedrijven die AI bouwen, maar voor iedereen die AI gebruikt. Ook het bedrijf dat 'alleen maar ChatGPT' inzet valt eronder. Wie personeel met AI laat werken, moet zorgen dat die mensen voldoende begrijpen wat het systeem kan, waar het faalt en wat de risico's zijn van de manier waarop zij het gebruiken.

In de praktijk is dat geen certificeringstraject. De wet vraagt geen diploma, hij vraagt dat je er aantoonbaar iets aan gedaan hebt, passend bij hoe jouw mensen AI gebruiken. Voor een bedrijf van dertig man dat AI inzet bij offertes en klantcontact is dat een goed voorbereide middag, geen project van maanden. Maar nul is na een jaar geen verdedigbare stand meer.

In november publiceerde de Europese Commissie het Digital Omnibus-voorstel voor AI. Daarin stelt zij voor de verplichtingen voor hoog-risico-AI uit te stellen van 2 augustus 2026 naar 2 december 2027. Dat is de bron van alle uitstel-koppen.

Twee dingen worden daarbij stelselmatig weggelaten. Ten eerste raakt het voorstel uitsluitend de hoog-risicoverplichtingen, het zwaarste regime van de wet, bedoeld voor AI in domeinen als werving, kredietbeoordeling en onderwijs. De onderdelen die al gelden blijven gewoon staan. Ten tweede is het een voorstel: Raad en Parlement moeten zich er begin dit jaar nog over uitspreken. Er is op dit moment dus helemaal niets uitgesteld.

Voor een gemiddeld MKB-bedrijf betekent dat iets ongemakkelijks: het uitstel waar iedereen het over heeft gaat over verplichtingen die de meeste kleine bedrijven niet eens raken. De plichten die wél voor iedereen gelden, staan al een jaar en bewegen niet.

De verkeerde conclusie uit het nieuws is afwachten tot Brussel klaar is met praten. De houdbare conclusie is kleiner en concreter. Inventariseer welke AI er in het bedrijf gebruikt wordt, inclusief wat medewerkers op eigen houtje zijn gaan doen; dat lijstje is vrijwel altijd langer dan de directie denkt. Leg het naast de verboden praktijken, wat in de regel een korte exercitie is. En regel de basiskennis voor iedereen die met AI werkt, toegespitst op hún gebruik in plaats van op de theorie van de verordening.

Het aardige is dat de wet hier niets vraagt wat een goede implementatie niet toch al vraagt. Weten welke AI je gebruikt, waarvoor, en of de mensen die ermee werken begrijpen wat ze doen: dat is geen compliance-last bovenop het werk, dat is de voorwaarde om er rendement uit te halen. Wie het als papierwerk behandelt, doet het twee keer.