AI Act voor het mkb: wat moet je sinds augustus 2026?

Voor de meeste mkb-bedrijven die AI in hun marketing gebruiken, komt de AI Act neer op drie dingen: zeg het als klanten met een AI-chatbot praten, label deepfakes in je content en advertenties, en zorg dat je team weet hoe het verantwoord met AI werkt. De transparantieplicht uit artikel 50 geldt sinds 2 augustus 2026. De zware regels voor hoog-risico-AI zijn door de AI Omnibus uitgesteld naar 2 december 2027.

De AI Act in het kort: wat geldt nu en wat niet?

De AI Act, officieel de AI-verordening (EU) 2024/1689, is een Europese wet die regels stelt aan het maken en gebruiken van AI. Hij geldt rechtstreeks in Nederland en gaat in stappen in. Over de AI Act zijn vooral stukken te vinden van juristen en HR-partijen. Dit artikel gaat over wat hij betekent voor je marketing: je chatbot, je AI-beelden, je teksten en je team.

Een eerlijke kanttekening vooraf: ik ben marketeer en webdeveloper, geen jurist. Dit artikel helpt je de regels te begrijpen en praktisch in te richten. Het is geen juridisch advies. Bij twijfel kijk je in de tekst van de AI-verordening of vraag je een jurist.

De verboden gaan over toepassingen zoals sociale scores, manipulatieve technieken die mensen aanzienlijke schade toebrengen en het uitbuiten van kwetsbaarheden, bijvoorbeeld van kinderen of mensen in financiële nood. Gewone gepersonaliseerde advertenties vallen daar niet onder. AI die bewust op zulke kwetsbaarheden inspeelt om iemand iets te laten doen wat hem schaadt, wel.

De meeste ondernemers die AI in hun marketing gebruiken, hebben dus te maken met twee onderdelen: AI-geletterdheid en de transparantieplicht.

Aanbieder of gebruiksverantwoordelijke: welke rol heb jij?

De AI Act verdeelt de plichten over twee rollen. Welke rol je hebt, bepaalt wat je moet doen.

• Aanbieder: wie een AI-systeem ontwikkelt of laat ontwikkelen en het onder eigen naam op de markt brengt of in gebruik neemt. OpenAI is aanbieder van ChatGPT, Tidio van zijn chatbot.
• Gebruiksverantwoordelijke: wie een AI-systeem onder eigen gezag gebruikt in een beroepsmatige activiteit. Gebruik je ChatGPT, Canva of een chatbotdienst voor je bedrijf, dan ben jij dat.

Een paar dingen die de Europese Commissie in haar uitleg verduidelijkt. Je medewerkers zijn geen aparte gebruiksverantwoordelijken: je bedrijf is dat. Schakel je een freelancer of bureau in die onder jouw verantwoordelijkheid AI-beelden maakt, dan blijf jij de gebruiksverantwoordelijke. En bouw je zelf een AI-systeem, bijvoorbeeld een eigen chatbot op basis van een taalmodel die je onder je eigen naam op je website zet, dan kun je ook aanbieder worden.

Transparantieplicht artikel 50: wat betekent het voor je marketing?

Artikel 50 moet ervoor zorgen dat mensen weten wanneer ze met AI te maken hebben. Het geldt sinds 2 augustus 2026 en is niet uitgesteld. Content die je vóór die datum hebt gemaakt, hoef je niet alsnog te labelen. De Europese Commissie heeft er richtsnoeren en een vraag-en-antwoordpagina (juli 2026) over gepubliceerd. Dit zijn de vier situaties die voor marketing tellen.

Je chatbot: zeg dat het AI is

Een AI-systeem dat rechtstreeks met mensen praat, zoals een chatbot, een AI-agent of een avatar, moet zo zijn ingericht dat mensen weten dat ze met AI praten. Dat moet uiterlijk bij het eerste contact, duidelijk en toegankelijk. Alleen als het voor een gemiddelde, oplettende bezoeker al overduidelijk is, hoeft het niet. De Commissie zegt dat die uitzondering streng moet worden uitgelegd.

Formeel rust deze plicht op de aanbieder. Maar in de praktijk regel je het samen: noem je chatbot in de kop van het venster een AI-assistent en zeg het nog eens in het eerste bericht. Wat een chatbot verder kost en wanneer hij loont, lees je in AI-chatbot op je website.

Deepfakes in content en advertenties

Een deepfake is volgens de AI Act beeld, audio of video die met AI is gemaakt of bewerkt, lijkt op bestaande personen, voorwerpen, plaatsen of gebeurtenissen, en ten onrechte echt of waarheidsgetrouw lijkt. Alle drie moeten kloppen. Publiceer je zo'n deepfake, dan moet je dat uiterlijk bij de eerste blootstelling zichtbaar of hoorbaar melden. Een verborgen watermerk in het bestand is niet genoeg.

Wat betekent dat in de praktijk?

• Een AI-video waarin een bestaande persoon iets zegt wat hij nooit zei: deepfake, labelen. En waarschijnlijk ook misleidend, los van de AI Act.
• Een realistische AI-"klant" die je product aanprijst: de kans is groot dat het publiek denkt dat het een echte klant is. Behandel het als deepfake en label het. Verzonnen klantervaringen zijn bovendien op zichzelf al misleidend.
• Een AI-productfoto in een realistische woonkamer: lijkt het echt en kan het je klant misleiden over het product, label het dan. Een duidelijk fantasievolle of overdreven scène valt er minder snel onder.
• Satire, kunst en fictie: dan volstaat een melding die het werk niet in de weg zit.

Advertentieplatforms hebben daarnaast hun eigen labels, zoals 'AI-info' bij Meta. Die staan los van de wet. Hoe je AI-video's voor je ads maakt zonder nepgevoel, lees je in AI-reclame maken. Of je AI-beelden zakelijk mag gebruiken, is een andere vraag; die beantwoord ik in AI en auteursrecht.

AI-tekst: blogs, nieuwsbrieven en social posts

Hier is de AI Act milder dan veel mensen denken. De labelplicht geldt alleen voor tekst die aan drie voorwaarden voldoet: hij wordt gepubliceerd, is bedoeld om het publiek te informeren, en gaat over een zaak van algemeen belang, zoals politiek, volksgezondheid, milieu of consumentenveiligheid. En zelfs dan vervalt de plicht als een mens de tekst inhoudelijk heeft gecontroleerd en iemand er redactioneel verantwoordelijk voor is.

Een productbeschrijving, een blog over je dienst of een nieuwsbrief die je zelf nakijkt, valt daar dus niet onder. Let wel op: alleen spelling of grammatica controleren telt niet als menselijke controle. Mijn advies blijft hoe dan ook: publiceer niets wat niemand inhoudelijk heeft gelezen.

Emotieherkenning en biometrie

Gebruik je een systeem dat emoties herkent of mensen indeelt op basis van biometrische kenmerken, bijvoorbeeld een camera in je winkel die gezichten analyseert, dan moet je mensen daarover informeren. Voor de meeste online marketing speelt dit niet.

AI-geletterdheid: wat betekent dat voor een team van vijf?

Artikel 4 verplichtte sinds februari 2025 alle aanbieders en gebruiksverantwoordelijken om te zorgen voor voldoende AI-geletterdheid van hun personeel. De AI Omnibus heeft dat versoepeld. De nieuwe tekst: je neemt maatregelen om de ontwikkeling van AI-geletterdheid te ondersteunen bij je personeel en anderen die namens jou AI gebruiken. Je houdt daarbij rekening met hun kennis en ervaring en met de context waarin de AI wordt gebruikt. Je hoeft geen bepaald niveau te garanderen.

Er is geen verplicht certificaat, examen of training van een bepaald aantal uren. Voor een mkb-team van vijf mensen is dit een redelijke invulling:

1. Maak een lijst van de AI-tools die je team gebruikt, en waarvoor.
2. Geef een uitleg van een uur: wat de tools kunnen, waar ze fouten maken, welke gegevens er niet in mogen en wie wat controleert.
3. Leg de afspraken vast in een kort AI-beleid. Een voorbeeld op één A4 vind je in AI-beleid opstellen.
4. Wijs een aanspreekpunt aan voor vragen en nieuwe tools.
5. Herhaal het bij nieuwe medewerkers en als je een nieuwe tool in gebruik neemt, en noteer wat je hebt gedaan.

De Europese Commissie gaat praktische voorbeelden publiceren van hoe je deze verplichting invult. Houd die in de gaten.

Wat heeft de AI Omnibus uitgesteld?

De AI Omnibus is Verordening (EU) 2026/1744 van 8 juli 2026, gepubliceerd op 24 juli 2026. Hij past de AI Act op een aantal punten aan. Voor het mkb zijn dit de belangrijkste:

• Hoog-risico-AI uitgesteld. De eisen voor hoog-risico-AI uit bijlage III gelden pas vanaf 2 december 2027 in plaats van 2 augustus 2026. Voor AI in producten uit bijlage I wordt het 2 augustus 2028.
• AI-geletterdheid versoepeld, zoals hierboven beschreven.
• Meer ruimte voor het mkb en kleine midcaps, bijvoorbeeld bij boetes en bij de administratieve eisen voor hoog-risico-AI.
• Twee nieuwe verboden vanaf 2 december 2026: AI-systemen die zonder toestemming seksuele beelden van herkenbare personen maken, en AI die kindermisbruikmateriaal maakt.
• Transparantie niet uitgesteld. Artikel 50 geldt sinds 2 augustus 2026. Alleen de makers van bestaande generatieve AI-tools kregen tot 2 december 2026 voor de machineleesbare markering.

Let op bij werving en selectie. AI die sollicitanten selecteert of beoordeelt, valt onder hoog-risico. Dat is uitgesteld, maar niet afgeschaft. Gebruik je zulke tools, bereid je dan nu al voor. Voor wie AI alleen gebruikt om een vacaturetekst te schrijven, verandert er niets.

Toezicht en boetes

Overtreed je de transparantieplicht, dan kan de boete oplopen tot € 15 miljoen of 3% van de wereldwijde jaaromzet. Voor verboden toepassingen is dat tot € 35 miljoen of 7%. Voor het mkb geldt volgens artikel 99 het laagste van de twee bedragen, en de Commissie zegt dat bij het mkb rekening wordt gehouden met evenredigheid.

In Nederland is in oktober 2026 nog niet alles geregeld. Het kabinet wil het toezicht verdelen over bestaande toezichthouders, gecoördineerd door de Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur. Het wetsvoorstel daarvoor lag van 20 april tot 1 juni 2026 in internetconsultatie en moet nog door de Tweede en Eerste Kamer. De regels zelf gelden wel al. Bij cookies koos de AP voor eerst waarschuwen en daarna handhaven; of dat bij AI ook zo gaat, is nog niet bekend. Hoe dat bij cookies verliep, lees je in cookiebanner verplicht.

Checklist: de AI Act voor je marketing

1. Zet alle AI-tools op een rij die jij en je team gebruiken.
2. Gebruik zakelijke accounts en houd klantgegevens eruit waar dat kan. De AVG blijft naast de AI Act gewoon gelden, net als bij tools zoals Leadinfo.
3. Laat je chatbot bij het eerste bericht zeggen dat hij een AI-assistent is.
4. Label realistische AI-beelden, -video en -audio van bestaande mensen, plekken of gebeurtenissen.
5. Laat elke tekst die je publiceert inhoudelijk controleren door iemand die er verstand van heeft.
6. Geef je team een korte uitleg en leg je AI-afspraken vast.
7. Gebruik je AI bij werving of selectie, bereid je dan voor op de hoog-risico-regels van december 2027.
8. Houd de richtsnoeren van de Europese Commissie en de Nederlandse uitvoeringswet in de gaten.

Conclusie: transparant zijn en je team meenemen

De AI Act klinkt zwaarder dan hij voor de meeste mkb-bedrijven is. Gebruik je AI in je marketing, dan regel je drie dingen: je chatbot zegt dat hij AI is, je labelt deepfakes, en je team weet hoe het verantwoord met AI werkt. De zware regels voor hoog-risico-AI zijn uitgesteld naar december 2027 en raken vooral werving, krediet en producten.

Het is dezelfde soort regelgeving als de cookieregels en de toegankelijkheidseisen: wie het goed inricht, heeft er weinig last van. Lees ook Website toegankelijkheid verplicht? De EAA in gewone taal en, voor het praktische gebruik van AI, ChatGPT voor ondernemers. Wil je weten wat een website of marketing bij mij kost? Download dan de prijslijst.