AI-Act & AVG-checklist voor het MKB

Wat betekent de AI-Act voor het MKB?

De AI-Act (de Europese AI-verordening uit 2024) stelt regels aan iedereen die AI-systemen bouwt, verkoopt of gebruikt, dus ook aan MKB-bedrijven (midden- en kleinbedrijf) die alleen bestaande tools inzetten. De wet werkt met een risico-gebaseerde aanpak: hoe groter het risico van de toepassing, hoe zwaarder de verplichtingen.

• Onaanvaardbaar risico (verboden), AI voor social scoring, manipulatie of emotieherkenning op de werkvloer is sinds februari 2025 verboden.
• Hoog risico, AI die sollicitanten beoordeelt, kredietwaardigheid bepaalt of medische beslissingen ondersteunt. Hier gelden strenge eisen: documentatie, menselijk toezicht en een conformiteitsbeoordeling.
• Beperkt risico, chatbots, AI-gegenereerde content en tools zoals ChatGPT of Copilot. De kernverplichting is transparantie: duidelijk maken dat er AI in het spel is. Hier valt het meeste MKB-gebruik onder.
• Minimaal risico, spamfilters, aanbevelingen in webshops, automatische vertaling. Geen extra verplichtingen.

De deadlines lopen van 2025 tot 2027. Sinds 2 februari 2025 gelden de verboden en de plicht tot AI-geletterdheid van medewerkers. Sinds 2 augustus 2025 gelden regels voor aanbieders van algemene AI-modellen. Op 2 augustus 2026 wordt de wet volledig van toepassing en start de handhaving; op 2 augustus 2027 volgen de laatste verplichtingen voor hoog-risico AI in gereguleerde producten. In Nederland is de Autoriteit Persoonsgegevens de toezichthouder.

De AVG (Algemene Verordening Gegevensbescherming) verdwijnt niet met de komst van de AI-Act; de twee wetten gelden naast elkaar. De AVG regelt wat je met persoonsgegevens mag doen, de AI-Act regelt hoe je AI-systemen inzet. Zodra je klant- of medewerkergegevens door een AI-tool haalt, heb je met beide te maken. Daarom combineert de checklist hieronder ze bewust.

De 10-punts checklist: AVG en AI-Act op orde

Loop de tien punten hieronder één voor één langs. Elk punt is los te controleren en voor de meeste MKB-bedrijven zonder externe hulp te regelen.

1. Grondslag voor elke AI-verwerking

Elke verwerking van persoonsgegevens in een AI-tool vereist een AVG-grondslag, zoals uitvoering van een overeenkomst, gerechtvaardigd belang of toestemming. Breng eerst al je AI-gebruik in kaart (ook de AI die in je CRM of boekhoudsoftware zit) en noteer per toepassing welke persoonsgegevens erin omgaan en op welke grondslag. Geen grondslag kunnen benoemen betekent: stoppen of aanpassen.

2. DPIA bij risicovolle AI-toepassingen

Een DPIA (Data Protection Impact Assessment) is verplicht wanneer een AI-toepassing waarschijnlijk een hoog privacyrisico oplevert, bijvoorbeeld bij grootschalige verwerking van klantgegevens of het beoordelen van personen. De DPIA beschrijft de risico's en de maatregelen die je neemt. Voor een simpele schrijftool is dit niet nodig; voor AI die klanten scoort of selecteert vrijwel altijd wel.

3. Regels voor klantdata in prompts

Spreek intern af welke gegevens wel en niet in een AI-prompt mogen. Een naam, e-mailadres of dossier in ChatGPT plakken is een verwerking van persoonsgegevens, met alle AVG-eisen van dien. Praktische lijn: herleidbare klantgegevens alleen in AI-tools met een zakelijk contract, en waar mogelijk anonimiseren voordat je prompt de deur uitgaat. Hoe je AI veilig op bedrijfsdata inzet, lees je op is AI veilig voor mijn bedrijfsdata.

4. Verwerkersovereenkomst met elke AI-leverancier

Een AI-leverancier die persoonsgegevens voor jou verwerkt is een verwerker onder de AVG, en daar hoort een verwerkersovereenkomst (DPA) bij. OpenAI, Anthropic, Microsoft en Google bieden die standaard aan bij hun zakelijke producten; controleer of je die daadwerkelijk hebt geaccepteerd. Check daarbij ook of de leverancier jouw data gebruikt voor modeltraining, en zet die optie uit waar dat kan.

5. Weet waar je data staat (EU-datacenters)

Persoonsgegevens buiten de EU verwerken mag alleen met een geldige doorgiftegrondslag, zoals het EU-VS Data Privacy Framework of standaard contractbepalingen. Kies waar mogelijk voor EU-dataresidentie; steeds meer AI-leveranciers bieden verwerking in Europese datacenters aan. Leg per tool vast waar de data staat en op welke basis eventuele doorgifte plaatsvindt.

6. Logging van AI-gebruik en -beslissingen

Leg vast welke AI-systemen je gebruikt, wat ze doen en welke output ze leveren bij beslissingen die klanten raken. De AI-Act vraagt aantoonbaarheid: een intern document van een paar pagina's per AI-toepassing (doel, data, verantwoordelijke, toezicht) volstaat voor de meeste MKB-situaties. Bij hoog-risico systemen zijn technische logs verplicht.

7. Menselijk toezicht op AI-beslissingen

Laat AI nooit zelfstandig beslissingen nemen met rechtsgevolgen voor mensen, zoals een afwijzing van een sollicitant of het weigeren van een klant. De AVG geeft betrokkenen het recht op menselijke tussenkomst en de AI-Act eist menselijk toezicht bij hoog-risico AI. Praktisch: benoem per AI-toepassing wie de output controleert en wie kan ingrijpen of terugdraaien.

8. Transparantie richting klanten

Klanten moeten weten wanneer ze met AI te maken hebben. Zet een melding bij je chatbot, vermeld AI-gebruik in je privacyverklaring en geef aan wanneer content AI-gegenereerd is. Dit is de kernverplichting voor beperkt-risico AI, en het is vanaf 2 augustus 2026 handhaafbaar. Transparantie is bovendien een vertrouwenssignaal, geen verplicht nummer.

9. Medewerkersinstructie en AI-geletterdheid

AI-geletterdheid van medewerkers is sinds 2 februari 2025 al verplicht: iedereen die met AI werkt moet begrijpen wat de tools kunnen, waar ze de mist ingaan en welke data er wel en niet in mag. Een interne sessie van een uur plus een korte schriftelijke instructie (wat mag wel, wat mag niet) is een prima start. Leg vast dát je dit gedaan hebt; de wet vraagt aantoonbare maatregelen.

10. Incidentproces voor AI-fouten en datalekken

Spreek af wat je doet als het misgaat: een AI-tool die verkeerde informatie naar een klant stuurt, een prompt met persoonsgegevens in een verkeerde tool, of een datalek bij je AI-leverancier. Onder de AVG meld je een datalek binnen 72 uur bij de Autoriteit Persoonsgegevens. Wijs één verantwoordelijke aan, beschrijf de meldroute en neem AI-incidenten mee in je bestaande datalekprocedure.

Hoe pak je dit praktisch aan?

De hele checklist is voor een gemiddeld MKB-bedrijf in enkele dagen te doorlopen, niet in maanden. Begin met de inventarisatie (punt 1), want die voedt alle andere punten. Plan daarna de quick wins: verwerkersovereenkomsten controleren, chatbotmelding plaatsen, prompt-afspraken op papier zetten. Een jaarlijkse review houdt het document actueel; een handzaam startpunt met uitleg per verplichting vind je ook op het Ondernemersplein van de overheid.

Twijfel je of jouw AI-gebruik goed geregeld is, of wil je automatisering vanaf de start AVG-proof opzetten? Plan een vrijblijvend gesprek, dan lopen we jouw situatie samen langs.

Deze checklist is bedoeld als praktisch startpunt en is geen juridisch advies; raadpleeg voor jouw specifieke situatie een jurist of de Autoriteit Persoonsgegevens.