EU AI Act vanaf 02-08-2026.

Wat is de EU AI Act en waarom raakt hij het mkb?

De EU AI Act (officieel: EU-verordening 2024/1689 over kunstmatige intelligentie) is sinds 2 augustus 2024 van kracht, maar wordt gefaseerd scherpgesteld. Hij reguleert de inzet van AI-systemen in de EU met een risicogebaseerde aanpak: hoogrisicosystemen (bijv. AI in medische diagnose, personeelsselectie, kredietverlening) hebben uitgebreide conformiteitsbeoordelingen nodig. Lager risico (AI in klantcontact, chatbots, voicebots, marketingautomatisering) heeft 'slechts' transparantieverplichtingen nodig, maar die zijn vanaf 2 augustus 2026 streng. Wat veel mkb-eigenaren niet weten: ook als je de AI niet zelf ontwikkelt, maar alleen inzet (het begrip 'deployer' in de verordening), ben je verantwoordelijk voor de verplichtingen in je bedrijf. Wie een AI-telefoonassistent, chatbot of marketing-AI gebruikt, moet de eindgebruikers informeren en de inzet voor de eigen medewerkers documenteren. De verordening geldt EU-breed, ook voor aanbieders uit derde landen (VS, VK, Zwitserland), als ze hun AI-systemen in de EU aanbieden. Wie dus een Amerikaanse tool of een andere derde aanbieder gebruikt, moet controleren of de aanbieder de verplichtingen überhaupt ondersteunt.

De 4 belangrijkste verplichtingen voor het DACH-mkb in 2026

Ten eerste, art. 4 (AI-literacy), al sinds 2 februari 2025 van kracht. Wie AI in het bedrijf inzet, moet een minimale documentatie van de inzetgrenzen en de escalatielogica kunnen tonen. Praktisch: een pdf die beschrijft hoe je AI wordt ingezet, wat die niet mag, wanneer die naar mensen escaleert. Ten tweede, art. 50 (transparantieplicht), vanaf 2 augustus 2026 van kracht. Iedereen die met je AI-systeem interacteert (bellers, chatbezoekers, e-mailcontacten), moet bij het eerste contact daar duidelijk over worden geïnformeerd. Bij voice-agenten betekent dat: de begroeting moet de AI-eigenschap onthullen. Bij chatwidgets: een permanente AI-badge. Bij e-mails: een header-disclaimer. Ten derde, AVG art. 28 (verwerkers), al sinds 2018 verplicht. Bij de inzet van AI van een derde partij moet er een verwerkersovereenkomst zijn die de dataverwerking regelt. Ten vierde, AVG art. 22 (geautomatiseerde besluitvorming), bij juridisch relevante AI-beslissingen moet menselijke escalatie mogelijk zijn. Praktisch betekent dat voor klantenservice-AI: bij klachten, reclamaties en opzeggingen moet de AI-agent naar een mens kunnen escaleren.

• Art. 4 AI-literacy: documentatie van de inzetgrenzen + escalatielogica (sinds 02-02-2025)
• Art. 50 transparantieplicht: disclosure bij het eerste AI-contact (vanaf 02-08-2026)
• AVG art. 28: verwerkersovereenkomst met elke AI-aanbieder
• AVG art. 22: menselijke escalatie bij juridisch relevante beslissingen

Boetes in de EU AI Act, wat er echt op het spel staat

De EU AI Act voorziet in gestaffelde boetes. Overtredingen van de strengste verplichtingen (verboden AI-praktijken volgens art. 5, social scoring, manipulatie, biometrische massasurveillance) kunnen worden bestraft met tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet, het hoogste van de twee. Overtredingen van verplichtingen voor hoogrisico-AI-systemen: tot 15 miljoen euro of 3 procent. Overtredingen van transparantieverplichtingen (art. 50) en van de meeste andere verplichtingen: tot 15 miljoen euro of 3 procent. Onjuiste of misleidende informatie aan autoriteiten: tot 7,5 miljoen euro of 1 procent. Voor het mkb met een jaaromzet onder 500 miljoen euro worden de geldbedragen bindend (niet het percentage van de omzet), maar 15 miljoen euro is voor een DACH-mkb feitelijk existentieel bedreigend. Daar komt bij: bij herhaalde overtredingen kan de bevoegde markttoezichtautoriteit (in Duitsland: de Bundesnetzagentur) het AI-systeem verbieden of van de markt laten halen. De boetes zijn dus alleen de financiële top van de ijsberg, de reputatie- en bedrijfsuitvalschade bij een overtreding is vaak hoger.

EU AI Act vs. AVG, waar de verplichtingen overlappen en waar niet

Veel mkb-bedrijven verwarren de EU AI Act en de AVG. In werkelijkheid zijn de twee verordeningen complementair: de AVG reguleert de verwerking van persoonsgegevens (alle data die aan een natuurlijke persoon kan worden gekoppeld), de EU AI Act reguleert de inzet van AI-systemen ongeacht of er persoonsgegevens worden verwerkt. In de context van klantenservice-AI gelden beide tegelijk: de AVG reguleert de omgang met bellergegevens (Hetzner-hosting, EU-LLM's, verwerkersovereenkomst, privacymeldingen volgens art. 13 AVG). De EU AI Act reguleert daarnaast de transparantieplicht (art. 50, bellers moeten weten dat ze met een AI praten) en de AI-literacy (art. 4, wie de AI inzet, moet de inzetgrenzen kennen). Praktisch betekent dat voor het DACH-mkb: een AVG-conforme AI-aanbieder is niet automatisch AI-Act-conform. Je hebt beide nodig, AVG + art. 50 + art. 4. Rinqo vervult alle drie de verplichtingen in één platform: Hetzner Duitsland (AVG), een standaard-disclosuremelding (art. 50), AI-literacy-sjablonen om aan te passen (art. 4). Bij Amerikaanse aanbieders moet je de AVG-conformiteit apart controleren (Cloud Act-blootstelling, DPF-volatiliteit blijft) en de art. 50-disclosure zelf implementeren (wat technisch vaak helemaal niet mogelijk is).

Hoe Rinqo de EU AI Act vervult, concreet en verifieerbaar

Rinqo vervult vanaf dag 1 alle EU-AI-Act-verplichtingen voor het DACH-mkb, zonder dat je eigen compliancewerk hoeft te leveren. Ten eerste, art. 50 standaard-disclosure: elke Rinqo-AI-agent (telefoon, chat, e-mail) doet bij het eerste contact een duidelijke melding dat het om een AI gaat, de woordkeuze is aanpasbaar aan je merkstem, de disclosure zelf niet uitschakelbaar. Bij voice: 'Hallo, hier is de AI-assistentie van [bedrijf]. U spreekt met een AI, de oproep wordt voor kwaliteitsdoeleinden verwerkt.' Bij chat: een permanente AI-badge in de header + een inkomend-banner. Bij e-mail: een 'Dit antwoord is met AI-ondersteuning opgesteld'-disclaimer in de footer. Ten tweede, art. 4 AI-literacy: sjablonen in het Rinqo-dashboard die je aan je specifieke inzetconfiguratie kunt aanpassen, welke AI-modellen worden ingezet, welke data worden verwerkt, welke escalatiedrempels gelden. Je documenteert eenmaal, houdt de documentatie bij configuratiewijzigingen actueel. Ten derde, AVG art. 28: de verwerkersovereenkomst wordt automatisch bij het afsluiten van het contract beschikbaar gesteld, zonder aparte aanvraag. Ten vierde, AVG art. 13: privacymeldingen worden in de voice-agent automatisch aan het begin van het gesprek aangekondigd. Ten vijfde, EU-hosting: Hetzner Falkenstein en Nürnberg als hostinglocatie, EU-LLM's op dedicated Microsoft Azure OpenAI (Microsoft Ireland Operations Ltd., Sweden Central, EU Data Boundary – Microsoft Corp. is Amerikaans moederbedrijf. worden op /security transparant uitgewezen), EU-dataresidentie voor je klantgegevens.