EU AI Act fase 2: wat 2 augustus 2026 betekent voor MKB-bedrijven die AI inzetten

Op 2 augustus 2026 treedt de tweede grote fase van de EU AI Act in werking. Verplichtingen voor hoog-risico AI-systemen, governance-eisen en sancties die kunnen oplopen tot 7% van uw omzet. Wat verandert er concreet, geldt het ook voor uw bedrijf en welke stappen zet u nu?

De EU AI Act is sinds 1 augustus 2024 van kracht en wordt in fases ingevoerd. De eerste fase, het verbod op onaanvaardbare AI-praktijken zoals sociale scoring en realtime gezichtsherkenning in publieke ruimtes, geldt sinds februari 2025. De regels voor general-purpose AI-modellen zoals GPT en Claude gingen in op 2 augustus 2025. Nu staat de volgende grote mijlpaal voor de deur: 2 augustus 2026.

Op die datum worden de verplichtingen voor hoog-risico AI-systemen, governance-structuren en sanctiebevoegdheden van toezichthouders volledig actief. Voor MKB-bedrijven die AI inzetten, of dit nu via Microsoft 365 Copilot, een eigen agent of een externe SaaS-tool is, betekent dit dat de tijd van vrijblijvendheid voorbij is.

Wat verandert er op 2 augustus 2026?

Drie hoofdcategorieën verplichtingen worden actief. Ten eerste de regels voor hoog-risico AI-systemen, zoals AI in werving en selectie, kredietverlening, onderwijsbeoordelingen, kritieke infrastructuur en wetshandhaving. Aanbieders en gebruikers van zulke systemen moeten een risicobeheersysteem voeren, technische documentatie bijhouden, menselijk toezicht inrichten en de werking van het systeem kunnen verklaren.

Ten tweede de governance-structuur. Nationale toezichthouders krijgen volledige bevoegdheden, in Nederland is dat de Autoriteit Persoonsgegevens als coördinator samen met sectorale toezichthouders. De Europese AI Board en het AI Office in Brussel zijn dan ook operationeel.

Ten derde de sancties. Boetes kunnen oplopen tot 35 miljoen euro of 7% van de wereldwijde jaaromzet voor overtredingen van verboden praktijken, en tot 15 miljoen euro of 3% voor schending van verplichtingen rond hoog-risico systemen. Voor MKB en startups geldt het lagere bedrag van de twee.

Geldt dit ook voor mijn bedrijf?

De meeste MKB-bedrijven zetten AI niet in als hoog-risico systeem, maar de classificatie ligt subtieler dan vaak gedacht. Een paar voorbeelden waar u alert moet zijn. Gebruikt u AI bij het filteren van cv's of het scoren van sollicitanten? Dat valt onder hoog-risico. Beoordeelt u kredietwaardigheid met een AI-model, ook indirect via een SaaS-tool? Idem. Zet u AI in voor het bewaken van werknemersgedrag of prestaties? Ook hoog-risico.

Voor het bredere gebruik van AI, zoals Copilot voor productiviteit, chatbots voor klantenservice of contentgeneratie, geldt de lichtere transparantieplicht. U moet duidelijk maken aan gebruikers dat ze met AI interacteren en dat AI-gegenereerde content als zodanig herkenbaar is. Voor deepfakes en gemanipuleerde media geldt een specifieke labelingsplicht.

Wat is een AI-geletterdheidsverplichting?

Een vaak over het hoofd geziene verplichting, die al sinds februari 2025 actief is, betreft AI-geletterdheid. Werkgevers die AI inzetten moeten ervoor zorgen dat medewerkers die met AI werken voldoende kennis en vaardigheden hebben om de systemen verantwoord te gebruiken. Vanaf augustus 2026 wordt op handhaving hiervan steviger ingezet.

Concreet betekent dit dat u een interne training, beleid of awareness-programma moet kunnen aantonen. Voor een MKB-bedrijf hoeft dit geen formeel certificeringstraject te zijn, maar er moet wel iets liggen: een document, een sessie, een instructie. Wie zonder enige onderbouwing AI inzet, loopt risico als er een incident plaatsvindt of een controle komt.

Welke stappen zet u nu?

Vijf concrete acties die elke MKB-organisatie in de komende drie maanden zou moeten uitvoeren. Ten eerste, inventariseer welke AI-systemen binnen uw organisatie worden gebruikt. Denk breder dan u nu doet: Copilot in Microsoft 365, vertaaltools, recruitmentplatforms, marketing-AI, contentgeneratie, klantenservicebots. Maak een lijst.

Ten tweede, classificeer elk systeem. Is het verboden, hoog-risico, transparantie-verplicht of laag-risico? De Europese Commissie heeft een classificatietool gepubliceerd die u hierbij helpt. Voor de meeste MKB-tools komt u uit op laag-risico met transparantieverplichting.

Ten derde, stel een AI-beleid op. Dit hoeft niet uitgebreid te zijn, maar moet beschrijven welke AI-tools zijn goedgekeurd, welke regels gelden voor invoer van bedrijfsdata, wie verantwoordelijk is voor toezicht en hoe medewerkers incidenten melden.

Ten vierde, organiseer AI-geletterdheid. Een korte interne training, een online cursus of een door uw IT-partner verzorgde sessie volstaat in de meeste gevallen. Documenteer dat medewerkers de training hebben gevolgd.

Ten vijfde, bouw een afhankelijkheidsregister. Welke leveranciers leveren AI-functionaliteit aan u? Welke contractuele afspraken liggen er over compliance? Bij hoog-risico systemen draagt de aanbieder primair de verantwoordelijkheid, maar als gebruiker bent u medeverantwoordelijk voor correcte inzet.

Wat als ik niets doe?

Het risico is dubbel. Direct financieel via boetes, maar voor de meeste MKB-bedrijven indirect groter: reputatieschade, contractuele aansprakelijkheid richting klanten die zelf compliant moeten zijn, en uitsluiting bij aanbestedingen waar AI-compliance een eis wordt. Vanaf de tweede helft van 2026 zien we deze eis steeds vaker terugkomen in inkoopvoorwaarden van grotere bedrijven en de overheid.

Voor de meeste organisaties is de AI Act geen reden om AI minder in te zetten, maar wel om het bewust en gestructureerd te doen. Wilt u hulp bij het opstellen van een AI-beleid, het inventariseren van uw systemen of het uitrollen van AI-geletterdheid binnen uw team? Neem contact op met Zarioh voor een vrijblijvend gesprek.