De AI Act gaat een nieuwe fase in

De Europese AI Act is geen nieuwe wet meer. Sinds de inwerkingtreding in 2024 is de regelgeving stapsgewijs ingevoerd. Op 2 augustus 2026 is een nieuwe fase begonnen: de overgang van wetgeving naar actieve handhaving.

Voor veel organisaties verandert daarmee de manier waarop zij naar kunstmatige intelligentie moeten kijken. Waar AI tot voor kort vooral werd gezien als een innovatievraagstuk, een 'IT dingetje' is het nu ook echt een heel serieus onderwerp voor bestuur, compliance, HR, informatiebeveiliging en risicomanagement.

Dat betekent niet dat iedere organisatie vanaf vandaag volledig aan alle onderdelen van de AI Act moet voldoen. De Europese wet werkt met een gefaseerde invoering. Verschillende verplichtingen krijgen pas in 2027 en 2028 volledige toepassing. Toch zijn belangrijke onderdelen inmiddels van kracht. Toezichthouders beschikken over nieuwe bevoegdheden en organisaties kunnen worden aangesproken op het naleven van de AI regels die nu al gelden.

Voor bestuurders is dit een belangrijk moment. De vraag is niet langer óf AI gereguleerd wordt, maar hoe uw organisatie kan aantonen dat AI verantwoord wordt ingezet.

Organisaties die AI gebruiken voor klantenservice, marketing, HR-processen, besluitvorming of contentcreatie doen er verstandig aan hun huidige gebruik in kaart te brengen. Dat moet namelijk.

Dat geldt ook voor bedrijven die externe AI-oplossingen gebruiken zoals ChatGPT, Copilot, Gemini of Claude.

Meer hierover leest u ook in onze artikelen over AI-governance, AI-beleid voor bedrijven en AI-geletterdheid.

Waarom 2 augustus 2026 een kantelpunt is

De meeste organisaties weten inmiddels dat de Europese Unie AI wil reguleren. Minder bekend is dat de AI Act niet in één keer wordt ingevoerd.

De wet kent verschillende toepassingsmomenten. Sinds februari 2025 gelden onder meer de regels over verboden AI-praktijken en de verplichting om voldoende AI-geletterdheid binnen organisaties te organiseren. Vanaf 2 augustus 2026 zijn aanvullende bepalingen van toepassing, waaronder regels voor General Purpose AI-modellen (GPAI) en uitgebreidere toezicht- en handhavingsbevoegdheden.

Dat betekent dat de Europese AI Office nu daadwerkelijk kan optreden wanneer aanbieders van bepaalde AI-modellen hun wettelijke verplichtingen niet nakomen. Afhankelijk van de situatie kunnen toezichthouders informatie opvragen, technische documentatie beoordelen, onderzoeken uitvoeren en – waar de wet dat toestaat – handhavend optreden.

Voor organisaties die uitsluitend AI gebruiken verandert de dagelijkse praktijk minder snel. Toch neemt ook voor hen het belang van documentatie, risicobeheersing en transparantie toe. Leveranciers zullen vaker vragen beantwoorden over compliance, terwijl klanten en toezichthouders kritischer kijken naar het gebruik van AI.

De AI Act is daarmee niet uitsluitend een juridisch kader. Het wordt steeds meer een onderdeel van bedrijfsvoering en governance.

Wat verandert door de actieve handhaving?

De grootste verandering is dat toezichthouders niet langer alleen voorbereidingen treffen, maar daadwerkelijk toezicht houden op onderdelen van de AI Act die inmiddels van toepassing zijn.

Voor aanbieders van General Purpose AI-modellen betekent dit onder meer dat zij moeten kunnen aantonen hoe zij omgaan met transparantie, documentatie, risicobeheersing en samenwerking met toezichthouders.

Voor bedrijven die AI gebruiken verschuift de aandacht naar verantwoord gebruik. Organisaties moeten weten:

• welke AI-systemen worden gebruikt;
• waarvoor deze systemen worden ingezet;
• welke persoonsgegevens worden verwerkt;
• of medewerkers voldoende kennis hebben om AI verantwoord te gebruiken;
• welke risico's ontstaan voor klanten, medewerkers en de organisatie.

Dit vraagt om meer dan alleen een IT-project.

HR krijgt te maken met AI-geletterdheid en verantwoord gebruik door medewerkers. Compliance moet beoordelen welke wettelijke verplichtingen van toepassing zijn. Directies moeten AI opnemen in hun governance- en risicobeleid. IT en security blijven verantwoordelijk voor veilige implementatie en gegevensbescherming.

Juist daarom kiezen steeds meer organisaties voor één centraal AI-beleid in plaats van losse afspraken per afdeling. Dat voorkomt versnippering en maakt het eenvoudiger om aan toezichthouders uit te leggen hoe AI binnen de organisatie wordt beheerst.

Nieuwe verplichtingen voor AI-aanbieders én organisaties

Een veelgemaakte fout is te denken dat de AI Act uitsluitend geldt voor bedrijven die zelf AI ontwikkelen.

Dat is onjuist.

De wet maakt onderscheid tussen verschillende rollen. Aanbieders (providers) van AI-systemen hebben andere verplichtingen dan organisaties die AI gebruiken (deployers). Daarnaast gelden voor hoog-risico AI-systemen aanvullende eisen.

Voor veel Nederlandse organisaties ligt de grootste uitdaging daarom niet in het bouwen van AI, maar in het verantwoord inzetten ervan.

Denk aan:

• medewerkers die ChatGPT gebruiken voor klantcommunicatie;
• HR-afdelingen die AI inzetten tijdens werving en selectie;
• marketingteams die AI-afbeeldingen publiceren;
• klantenservices die AI-chatbots gebruiken;
• managementteams die AI inzetten voor analyses of besluitvorming.

Voor sommige toepassingen gelden transparantieverplichtingen. In andere gevallen spelen eisen rond menselijk toezicht, documentatie of risicobeoordeling een rol.

Daarom is het verstandig om nu al een inventarisatie te maken van alle AI-toepassingen binnen de organisatie. Zonder overzicht is het vrijwel onmogelijk om te bepalen welke onderdelen van de AI Act relevant zijn en welke maatregelen nodig zijn.

Transparantie wordt een wettelijke verplichting

Een van de meest zichtbare onderdelen van de EU AI Act is de verplichting om gebruikers duidelijk te informeren wanneer zij met bepaalde AI-systemen te maken hebben. De Europese wetgever wil hiermee misleiding tegengaan en het vertrouwen in AI vergroten.

Voor organisaties betekent dit dat transparantie geen vrijblijvende keuze meer is. Afhankelijk van de toepassing kan het verplicht zijn om gebruikers duidelijk te laten weten dat zij communiceren met een AI-systeem of dat zij AI-gegenereerde content bekijken.

Denk bijvoorbeeld aan:

• AI-chatbots op websites;
• virtuele assistenten;
• AI-gegenereerde afbeeldingen;
• synthetische audio;
• AI-video's en deepfakes.

Het uitgangspunt is eenvoudig: mensen moeten kunnen herkennen wanneer AI een rol speelt in de communicatie of bij het creëren van content.

Voor marketingafdelingen is dit een belangrijk aandachtspunt. AI wordt steeds vaker gebruikt voor advertenties, productfoto's, video's en socialmediacampagnes. Hoewel AI veel werk uit handen neemt, blijft de organisatie verantwoordelijk voor een transparante inzet van deze technologie.

Hetzelfde geldt voor klantenservice. Wanneer een klant communiceert met een chatbot in plaats van een medewerker, moet dat – waar de AI Act dit voorschrijft – duidelijk kenbaar zijn.

Voor veel bedrijven betekent dit geen ingrijpende technische aanpassing, maar wel een herziening van bestaande processen en communicatie.

Waarom wachten duurder is

Deepfakes vragen om duidelijke labeling

De opkomst van generatieve AI heeft geleid tot een explosieve groei van realistische afbeeldingen, video's en audiofragmenten. Dat biedt kansen voor marketing, opleidingen en communicatie, maar vergroot ook het risico op misleiding.

Daarom bevat de AI Act specifieke transparantieverplichtingen voor bepaalde vormen van AI-gegenereerde of gemanipuleerde media.

Wanneer organisaties AI inzetten om beeld-, audio- of videomateriaal te produceren dat nauwelijks van echt te onderscheiden is, moeten zij beoordelen of een transparantieverplichting van toepassing is.

Voor bedrijven betekent dit onder meer dat zij kritisch moeten kijken naar:

• AI-gegenereerde bedrijfsvideo's;
• digitale avatars;
• synthetische stemmen;
• AI-fotografie;
• marketingmateriaal dat volledig met generatieve AI is gemaakt.

Niet iedere AI-afbeelding valt automatisch onder dezelfde verplichtingen. De precieze eisen hangen af van de toepassing en de context waarin de content wordt gebruikt. Toch is de algemene trend duidelijk: transparantie wordt de norm.

Steeds meer organisaties kiezen er daarom voor AI-content vrijwillig te labelen. Dat vergroot het vertrouwen bij klanten en voorkomt discussies over de herkomst van digitale content.

De AI Office krijgt een centrale rol

Met de AI Act ontstaat ook een nieuwe vorm van Europees toezicht.

De EU AI Office, onderdeel van de Europese Commissie, speelt een centrale rol bij het toezicht op General Purpose AI (GPAI)-modellen, zoals grote taalmodellen waarop veel AI-toepassingen zijn gebaseerd.

Daarnaast blijven nationale toezichthouders verantwoordelijk voor een groot deel van het toezicht binnen de afzonderlijke lidstaten.

De handhaving van de AI Act is verdeeld over meerdere toezichthouders. Wie toezicht houdt, hangt af van het type AI-systeem en de organisatie die verantwoordelijk is voor het gebruik of de ontwikkeling ervan. In grote lijnen ziet de taakverdeling er als volgt uit:

Voor organisaties betekent dit dat toezicht professioneler en beter georganiseerd wordt. De verwachting is dat toezichthouders steeds vaker informatie zullen opvragen over AI-gebruik, risicobeheersing en documentatie.

Dat betekent niet dat iedere organisatie direct een controle krijgt. Wel neemt de verwachting toe dat bedrijven kunnen uitleggen welke AI-systemen zij gebruiken en welke maatregelen zij hebben genomen om risico's te beperken.

De invoering blijft gefaseerd

Een veelgehoord misverstand is dat op 2 augustus 2026 alle onderdelen van de AI Act volledig van toepassing zijn. Dat klopt niet!

De Europese wetgever heeft bewust gekozen voor een gefaseerde invoering. Hierdoor krijgen organisaties meer tijd om complexe verplichtingen te implementeren.

De planning ziet er op hoofdlijnen als volgt uit.

Deze gefaseerde aanpak geeft organisaties tijd om processen aan te passen. Tegelijkertijd is uitstel geen verstandige strategie. Organisaties die nu beginnen met AI-governance, documentatie en training hoeven later minder ingrijpende maatregelen te nemen.

Wat betekent dit voor directie, HR, compliance en IT?

De AI Act raakt vrijwel iedere afdeling binnen een organisatie.

Voor de directie betekent dit dat AI onderdeel wordt van strategisch risicomanagement. Bestuurders moeten kunnen aantonen dat AI op een verantwoorde manier wordt ingezet en dat passende beheersmaatregelen zijn genomen.

Voor HR verschuift de aandacht naar AI-geletterdheid. Medewerkers moeten begrijpen hoe AI werkt, welke risico's bestaan en hoe zij AI verantwoord gebruiken. Dit sluit aan bij de verplichting uit de AI Act om ervoor te zorgen dat personeel voldoende kennis heeft voor het gebruik van AI-systemen.

Compliance-afdelingen krijgen een belangrijke coördinerende rol. Zij moeten samen met juridische experts, privacy officers en security-specialisten beoordelen welke verplichtingen gelden voor de verschillende AI-toepassingen binnen de organisatie.

IT-afdelingen blijven verantwoordelijk voor veilige implementatie, toegangsbeheer, monitoring en gegevensbeveiliging. Daarnaast zullen leveranciers steeds vaker moeten aantonen hoe hun AI-oplossingen voldoen aan de Europese regelgeving.

De grootste uitdaging ligt echter niet bij techniek.

Veel organisaties weten simpelweg niet welke AI-tools medewerkers dagelijks gebruiken. Zonder inventarisatie ontbreekt het overzicht dat nodig is om risico's te beoordelen en passende maatregelen te nemen.

Daarom begint AI-compliance niet met nieuwe software, maar met inzicht.

Een actueel AI-register, duidelijke interne richtlijnen, een praktisch AI-beleid, aandacht voor AI-governance en gerichte AI-geletterdheid vormen de basis voor verantwoord AI-gebruik. Deze onderwerpen worden uitgebreid behandeld in onze artikelen over AI-beleid voor bedrijven, AI-governance en AI-geletterdheid.

De AI Act is voor de meeste organisaties geen technisch probleem, maar een organisatievraagstuk. De wet vraagt niet alleen om veilige AI-systemen, maar vooral om inzicht, duidelijke verantwoordelijkheden en aantoonbare beheersing. Juist dat laatste kost meer tijd dan veel bestuurders vooraf verwachten. Organisaties die nu beginnen, kunnen de implementatie gefaseerd uitvoeren. Organisaties die wachten, moeten vaak onder hoge tijdsdruk beleid opstellen, processen aanpassen en medewerkers trainen. Dat maakt compliance vrijwel altijd duurder en complexer.

Veelgestelde vragen over de EU AI Act vanaf augustus 2026

1. Geldt de EU AI Act alleen voor bedrijven die zelf AI ontwikkelen?

Nee.

De AI Act maakt onderscheid tussen verschillende rollen. Bedrijven die zelf AI ontwikkelen (providers) hebben andere verplichtingen dan organisaties die AI gebruiken (deployers). Ook wanneer u uitsluitend commerciële AI-oplossingen zoals ChatGPT, Microsoft Copilot, Gemini of Claude gebruikt, kunt u verplichtingen hebben. Welke regels gelden, hangt af van de toepassing, het risiconiveau en de rol van uw organisatie.

2. Moeten wij stoppen met ChatGPT of Copilot?

Nee.

De AI Act verbiedt het gebruik van generatieve AI niet. Wel vraagt de wet om verantwoord gebruik. Organisaties doen er verstandig aan afspraken vast te leggen over:

• welke AI-tools zijn toegestaan;
• welke bedrijfsinformatie mag worden ingevoerd;
• hoe persoonsgegevens worden beschermd;
• wanneer menselijke controle noodzakelijk is;
• hoe AI-uitkomsten worden gecontroleerd.

Voor de meeste organisaties is een goed AI-beleid daarom belangrijker dan een verbod op AI-tools.

3. Wanneer lopen bedrijven het grootste risico?

Het grootste risico ontstaat meestal niet door de technologie, maar door het ontbreken van beleid.

Veel organisaties weten niet:

• welke AI-tools medewerkers gebruiken;
• welke gegevens in AI-systemen worden ingevoerd;
• of AI wordt ingezet bij besluitvorming;
• wie verantwoordelijk is voor toezicht.

Juist dat gebrek aan overzicht maakt het lastig om aan toezichthouders of klanten uit te leggen hoe AI binnen de organisatie wordt beheerst.

4. Wat zijn General Purpose AI-modellen (GPAI)?

General Purpose AI (GPAI) zijn AI-modellen die voor uiteenlopende toepassingen kunnen worden gebruikt. Grote taalmodellen en multimodale modellen vallen vaak in deze categorie.

De aanbieders van deze modellen krijgen specifieke verplichtingen onder de AI Act. Organisaties die dergelijke modellen gebruiken, krijgen vooral te maken met de manier waarop zij de technologie verantwoord inzetten binnen hun eigen bedrijfsprocessen.

5. Wat moeten bedrijven nu als eerste doen?

Wacht niet tot een toezichthouder vragen stelt.

Begin met een praktische inventarisatie.

Breng in kaart:

• welke AI-systemen worden gebruikt;
• welke afdelingen AI inzetten;
• welke persoonsgegevens worden verwerkt;
• welke leveranciers betrokken zijn;
• welke risico's aanwezig zijn;
• welke interne afspraken al bestaan.

Vanuit dat overzicht kunnen organisaties bepalen welke onderdelen van de AI Act daadwerkelijk van toepassing zijn.

Conclusie

De handhaving van de EU AI Act vanaf 2 augustus 2026 markeert een nieuwe fase in het gebruik van kunstmatige intelligentie binnen Europa. De aandacht verschuift van experimenteren met AI naar aantoonbaar verantwoord gebruik.

Voor veel organisaties verandert de dagelijkse praktijk niet van de ene op de andere dag. Wel neemt de verantwoordelijkheid toe om inzicht te hebben in de inzet van AI, risico's te beheersen en medewerkers voldoende kennis te geven om AI verantwoord toe te passen.

Bestuurders hoeven niet ieder artikel van de AI Act uit het hoofd te kennen. Zij moeten wel kunnen aantonen dat AI onderdeel is van goed bestuur, risicobeheersing en compliance.

Organisaties die nu investeren in een helder AI-beleid, AI-governance en AI-geletterdheid bouwen aan een solide basis. Daarmee verkleinen zij niet alleen juridische risico's, maar vergroten zij ook het vertrouwen van klanten, medewerkers en toezichthouders.

De AI Act is geen rem op innovatie. Het is een kader om AI veilig, transparant en verantwoord in te zetten.

Praktische vervolgstap

Wilt u weten welke onderdelen van de EU AI Act op uw organisatie van toepassing zijn?

Iedere organisatie gebruikt AI op een andere manier. Daardoor verschillen ook de verplichtingen. Een organisatie die AI inzet voor interne productiviteit heeft andere aandachtspunten dan een organisatie die AI gebruikt voor HR-processen, klantcontact of besluitvorming.

Een AI Compliance Scan geeft snel inzicht in:

• welke AI-toepassingen binnen uw organisatie aanwezig zijn;
• welke verplichtingen uit de AI Act waarschijnlijk relevant zijn;
• welke risico's prioriteit hebben;
• welke maatregelen u direct kunt nemen.

Wilt u daarnaast uw medewerkers voorbereiden op verantwoord AI-gebruik? Dan helpen praktijkgerichte trainingen over AI-geletterdheid, AI-governance en AI-beleid om kennis, beleid en compliance met elkaar te verbinden.

Verder lezen

Wilt u zich verder verdiepen? Dan zijn deze artikelen interessant:

• EU AI Act gids – uitleg van de belangrijkste onderdelen van de Europese AI-wetgeving.
• AI-beleid voor bedrijven – hoe stelt u praktische richtlijnen op voor verantwoord AI-gebruik?
• AI-governance – organiseer toezicht, verantwoordelijkheden en risicobeheersing.
• AI-geletterdheid – wat betekent de wettelijke verplichting voor organisaties?
• Verboden AI-praktijken – welke toepassingen zijn binnen de EU niet toegestaan?
• Compliance met AI-regelgeving – praktische stappen om AI verantwoord te implementeren.