Voor wie: directeuren en eigenaren van een MKB-bedrijf waarvan het team AI gebruikt — of dat stilzwijgend al doet — en die willen weten wat er nu echt geregeld moet zijn.
AI-geletterdheid verplicht: wat je vóór 2 augustus regelt
De plicht bestaat al sinds februari 2025. Wat er op 2 augustus 2026 verandert, is dat er iemand op kan handhaven.
Kort antwoord: Sinds 2 februari 2025 is AI-geletterdheid verplicht voor elke organisatie die AI professioneel gebruikt — ook als je alleen ChatGPT of Copilot inzet. Dat staat in artikel 4 van de EU AI Act; de Nederlandse handhaving start op 2 augustus 2026. De wet eist géén cursus, géén examen en géén certificaat: ze vraagt om maatregelen die passen bij de rol en het kennisniveau van je mensen. Wat je wél nodig hebt, is een dossier waarmee je kunt láten zien wat je hebt gedaan. Voor een MKB-bedrijf is dat een middag werk, geen traject.
Wat de wet precies eist
Artikel 4 van de AI Act verplicht organisaties te zorgen voor "een toereikend niveau van AI-geletterdheid" bij iedereen die met AI-systemen werkt. Dat geldt voor aanbieders én voor gebruikers — en dat laatste is de categorie waar vrijwel elk MKB-bedrijf in valt. Gebruik je Copilot in Microsoft 365, of heeft je marketingmens een ChatGPT-abonnement, dan ben je gebruiksverantwoordelijke.
Drie data die ertoe doen:
- 2 februari 2025 — artikel 4 is van toepassing. De plicht bestaat dus al ruim een jaar.
- 2 augustus 2026 — de Nederlandse toezichthouders beginnen te handhaven. De Autoriteit Persoonsgegevens wordt de primaire toezichthouder voor de AI Act.
- Daarna doorlopend — het is geen eenmalige actie maar een toestand die je onderhoudt.
Overtreding valt onder de boetecategorie van artikel 99 lid 4: tot 15 miljoen euro of 3% van de wereldwijde jaaromzet. Dat is het wettelijke maximum en niet wat een MKB-bedrijf realistisch riskeert — boetes moeten proportioneel zijn — maar het geeft aan in welke categorie de wetgever dit plaatst.
Drie misverstanden die geld kosten
Rond dit onderwerp is een hele markt ontstaan. Dat is niet erg, maar het levert wel drie hardnekkige aannames op.
1. "We moeten iedereen een certificaat laten halen"
Nee. De wet schrijft geen cursus, geen examen en geen certificaat voor. De Europese Commissie zegt dat expliciet in haar Q&A over AI-geletterdheid, en legt ook uit waarom: AI verandert te snel voor vaste eisen. Een wet met een verplichte cursuslijst zou binnen een jaar verouderd zijn.
Een certificaat is dus een manier om eraan te voldoen, niet de eis zelf. Dat scheelt in het MKB al snel een paar duizend euro.
2. "Dit geldt alleen voor bedrijven die zelf AI bouwen"
Ook niet. De verplichting hangt aan het gebruik, niet aan de ontwikkeling. Een installatiebedrijf van 25 man waarvan de werkvoorbereiding offertes laat samenvatten door ChatGPT valt er net zo goed onder als een softwarebedrijf.
3. "We wachten tot er gehandhaafd wordt"
Dat is het riskantste van de drie, om een reden die weinig genoemd wordt: de plicht geldt al sinds februari 2025. Wie na 2 augustus 2026 in beeld komt, moet niet laten zien dat hij het net geregeld heeft, maar dat hij het geregeld hád. Een dossier met alleen dit jaar erin is een zwakker verhaal dan een dossier dat teruggaat.
Wat betekent "passend"?
De wet vraagt om maatregelen die passen bij de technische kennis, de ervaring en de context van de betrokkenen, en bij de systemen waarmee ze werken. In gewone taal: je hoeft je monteurs niet uit te leggen hoe een taalmodel werkt, maar wel wat ze er wel en niet in mogen zetten.
Dat pakt in de praktijk uit in ongeveer drie niveaus:
| Wie | Wat die moet weten | Vorm |
|---|---|---|
| Iedereen die AI gebruikt | Wat er wel en niet in mag, dat output gecontroleerd moet worden, wie je belt bij twijfel | Eén A4 plus een half uur uitleg |
| Wie AI in een klantproces gebruikt | Bovenstaande, plus wat je klant moet weten en hoe je fouten herstelt | Werkinstructie per proces |
| Wie AI inricht of inkoopt | Bovenstaande, plus risicoklassen, leveranciersafspraken en de eigen verantwoording | Verdieping, eventueel extern |
Proportionaliteit werkt in je voordeel: hoe kleiner en eenvoudiger het gebruik, hoe lichter de maatregelen mogen zijn. Wat niet mag, is niets doen omdat het gebruik "maar klein" is.
Wat je op tafel moet kunnen leggen
Dit is het deel dat in de meeste stappenplannen ontbreekt. De Europese Commissie beveelt organisaties expliciet aan om de genomen maatregelen vast te leggen. Bij een controle of een incident is de vraag niet "wist uw personeel het?" maar "waaruit blijkt dat?".
Vijf documenten, en ze passen samen in één map:
- Een overzicht van de AI-tools die jullie gebruiken. Welke, door wie, waarvoor. Inclusief de tools die je niet officieel hebt uitgerold maar wel gedoogt — die vallen er ook onder.
- De afspraken zelf. Wat mag er wel en niet in, wie controleert de output, wat doe je bij twijfel. Dit is hetzelfde document als je AI-beleid; het hoeft geen apart stuk te zijn.
- Bewijs dat mensen het gehoord hebben. Een presentielijst van de werkoverleguitleg, of een e-mail met leesbevestiging. Geen certificaat nodig — wel een spoor.
- De datum en de reden van je keuzes. Waarom deze maatregelen passend zijn voor jouw bedrijf. Drie zinnen volstaan, maar ze moeten er staan.
- Een herzieningsmoment. Eén regel: "wij kijken dit elk halfjaar na." En dan ook doen.
In één middag geregeld
Concreet, in de volgorde die het snelst werkt:
- Vraag je team wat ze gebruiken. Niet als controle, maar als inventarisatie — anders krijg je geen eerlijk antwoord. Eén rondje langs de afdelingen, een halfuur.
- Schrijf de afspraken op één A4. Wat mag erin, wat niet, wie is verantwoordelijk voor de output. Zie bedrijfsgegevens en AI voor wat er in die lijst hoort.
- Bespreek het in een werkoverleg en leg vast dat je dat gedaan hebt. Twintig minuten, presentielijst erbij.
- Zet er een datum en een herzieningsmoment op. Klaar.
Werk je met gevoelige gegevens — patiëntendossiers, financiële data, personeelsinformatie — dan is dit het minimum en geen eindpunt. Dan hoort er een zwaardere afweging bij, en die staat los van de geletterdheidsplicht.
En daarna houdt het niet op
Hier zit het verschil tussen compliance afvinken en er iets aan hebben. Een A4 met regels vertelt mensen wat ze niet mogen. Het vertelt ze niet hoe ze het wél goed doen, en daar zit de winst.
In de praktijk verdwijnt zo'n document na drie weken in een la, tenzij het onderdeel is van hoe er gewerkt wordt: de afspraken zitten in de systemen die mensen dagelijks gebruiken, de goedgekeurde werkwijzen staan vastgelegd, en nieuwe medewerkers krijgen ze mee zonder dat iemand het opnieuw hoeft uit te leggen. Dan is geletterdheid geen jaarlijkse cursus maar een eigenschap van je inrichting — en is ze bovendien aantoonbaar, want ze staat ergens.
Dat is precies wat een AI Operating System doet: de afspraken, de context en de werkwijzen liggen één keer vast en gelden voor elke volgende toepassing. Twijfel je of je team op de juiste versie van de tools werkt, lees dan ook het verschil tussen ChatGPT en een eigen AI-systeem.
Bronnen: EU AI Act artikel 4 (van toepassing sinds 2 februari 2025) en artikel 99 lid 4 (boetecategorie); Q&A van de Europese Commissie over AI-geletterdheid; start handhaving Nederlandse toezichthouders 2 augustus 2026, met de Autoriteit Persoonsgegevens als primaire toezichthouder.