AI Act

De AI Act in een notendop

De AI Act is de eerste uitgebreide Europese wet die specifiek AI-systemen reguleert. Ze deelt toepassingen in vier risiconiveaus in: onaanvaardbaar (verboden), hoog, beperkt en minimaal. Hoe hoger het risico, hoe zwaarder de verplichtingen rond transparantie, documentatie en menselijke controle. De wet geldt voor elke organisatie die AI in de EU inzet of aanbiedt, ongeacht waar de leverancier gevestigd is.

Wat verandert er voor Belgische KMO's?

De meeste KMO's werken met AI in de categorie beperkt of minimaal risico, zoals een chatbot voor klantenservice of een tekstassistent. Maar wie AI inzet voor personeelsselectie, kredietbeoordeling of bewaking, valt al snel onder de hoogrisico-categorie. Dat brengt verplichtingen mee: risicoanalyse, logging, menselijk toezicht en registratie in een EU-database. Vanaf 2026 gelden de meeste bepalingen ook voor bestaande systemen. Onze blog Wat is de AI Act voor Belgische bedrijven? zet de praktische stappen op een rij.

Wat je nu al kunt doen

Begin met een inventaris van je AI-toepassingen en beoordeel per tool in welke risicocategorie die valt. Documenteer het doel, de gebruikte data en de beslissingen die de AI beïnvloedt. Koppel dit aan je AI-beleid en aan GDPR-documentatie zoals verwerkersovereenkomsten. Zo ben je voorbereid wanneer een klant, auditor of toezichthouder vragen stelt.

Concreet voorbeeld: recruitment met AI

Een KMO met 80 medewerkers gebruikt een AI-tool om cv's te screenen. Omdat de tool mensen beïnvloedt bij hiring, kan dit als hoogrisico worden geclassificeerd. Het bedrijf documenteert de dataset, voert een DPIA uit, zorgt voor menselijke eindbeslissing en bewaart logs van elke AI-suggestie. Zonder die stappen loopt het bedrijf juridisch en reputatierisico, ook al leek de tool "gewoon handig".

Documentatie die auditors verwachten

Bewaar per AI-tool: doel, data-categorieën, risicoclassificatie, eigenaar en datum van laatste review. Dat hoeft geen juridisch dossier van honderd pagina's te zijn, een levend register in spreadsheet of ticketsysteem volstaat voor veel KMO's, zolang het actueel blijft en gekoppeld is aan concrete beslissingen.

Leveranciers en ketenverantwoordelijkheid

Je bent niet alleen verantwoordelijk voor eigen modellen, maar ook voor hoe je leveranciers AI inbedden in SaaS. Vraag subprocessors en AI-functies expliciet uit in due diligence. Een CRM met ingebouwde scoring kan jouw risicoprofiel verhogen zonder dat je het intern als "AI-project" bestempelt.

AI Act en klantvragen

Steeds vaker vragen enterprise-klanten welke AI jullie gebruiken en onder welke voorwaarden. Een actuele risico-inventaris helpt sales en legal snel antwoorden zonder weken te wachten op IT. Koppel die inventaris aan compliance en herzie hem minstens halfjaarlijks of bij elke nieuwe AI-functie in jullie stack.