AI Act voor het MKB: jouw verplichtingen in 10 stappen.
De AI Act kent geen algemene MKB-uitzondering: Artikel 4 en Artikel 5 zijn sinds 2 februari 2025 direct handhaafbaar, en een deployer-traject duurt in het MKB typisch twee tot vier maanden. Vrijwel elke stap in deze gids verwijst naar een concreet artikel van Verordening 2024/1689. Er staan ook drie kostenscenario's in, van deployer met minimal- of limited-risk AI tot aanbieder-MKB.
Tien stappen, tien artikelen. Geen overdrijving, geen bagatellisering.
Rond de AI Act circuleren twee soorten misvattingen. De ene: "MKB is vrijgesteld, zelfs de grote jongens weten het niet zeker." Dat klopt niet. De verordening kent geen algemene MKB-uitzondering; wel proportionaliteit en specifieke ondersteuningsbepalingen (Artikel 62 en 71). De andere misvatting: "We gaan failliet aan compliance." Ook dat klopt niet. Voor MKB-deployers met minimal- en limited-risk AI zijn de verplichtingen overzichtelijk, al vragen ze wel discipline. De realiteit zit ertussenin: je moet wat doen, je moet het niet uitstellen, maar je hoeft ook geen enterprise-programma op te tuigen.
Deze AI act praktische stappen-gids verwijst per stap naar het relevante artikel van Verordening 2024/1689. Dat is een bewuste keuze. Veel Nederlandstalige samenvattingen van de AI Act bouwen op elkaar voort zonder originele bron-check, waardoor foutjes zich vermenigvuldigen. Wij bevestigen elke claim tegen het officiele Publicatieblad-exemplaar. Waar interpretatieruimte bestaat of nationale implementatie nog loopt, benoemen we dat expliciet in plaats van zekerheid te suggereren. Dit is relevant voor MKB-directies die hun eigen compliance-oordeel willen kunnen onderbouwen.
De tien stappen in deze gids lopen sequentieel, maar niet strikt. Je kunt stap 1 en 2 parallel doen, stap 4 en 5 zijn beide direct handhaafbaar (sinds 2 februari 2025) en hebben dus prioriteit, stap 10 (governance) begint al tijdens stap 1. Voor een MKB-deployer met een handvol AI-systemen ligt de doorlooptijd op twee tot vier maanden totaal. Voor MKB-aanbieders of voor MKB met high-risk AI loopt dit op. Specifiek: het opstellen van technische documentatie (Artikel 11), een quality management system (Artikel 17) en een conformity assessment (Artikel 43) voor aanbieders van high-risk AI zijn geen projecten van enkele weken. Zie ook de bredere AI Act-uitleg.
Een AI act checklist mkb die serieus is, bevat minimaal deze tien punten. Een checklist die er minder heeft, is onvolledig; een checklist die er veel meer heeft, maakt vaak stappen op die voor MKB niet realistisch zijn. Specifiek benoemen we wat niet in de lijst staat maar in andere gidsen vaak wel wordt geclaimd: een verplicht "AI Ethics Committee", een verplichte externe certificering voor non-high-risk, een verplichte Chief AI Officer. Deze eisen staan niet in de AI Act. Verkopers van compliance-producten willen je soms anders doen geloven. Wees kritisch op wat als "verplicht" wordt gepresenteerd.
AI act mkb kosten zijn sterk afhankelijk van je startpositie. Een MKB met goede AVG-hygiene, duidelijke informatievoorziening en bestaande rolverdeling heeft een voorsprong: veel documentatie en governance-structuur is hergebruikbaar. Een MKB zonder AVG-basis heeft eerst inhaalslag te maken. Onze typische bandbreedtes voor een eerste traject: 12.000-35.000 euro voor deployer-MKB met minimal/limited-risk AI, 35.000-80.000 euro voor deployer-MKB met high-risk AI, 60.000-200.000 euro voor aanbieder-MKB. Daarna lopende governance-kosten van 5.000-15.000 euro per jaar. Koppeling met onze boetes-gids.
Disclaimer: Deze gids is geen juridisch advies. De AI Act kent interpretatieve ruimte op meerdere punten, en nationale implementatie (waaronder de aanwijzing van toezichthouders) loopt nog. Voor concrete compliance-beslissingen bij high-risk AI of aanbieder-rol raden we juridische second opinion aan. Werkwijze: We bevestigen elke verwijzing tegen de gepubliceerde verordening in het Publicatieblad. Vind je een fout: laat het weten, we corrigeren binnen de week.
De tien stappen uitgewerkt.
Elke stap met werkelijke artikelverwijzing, deadline, typische MKB-uitvoering en wat het wel en niet betekent.
De AI Act geldt alleen voor wat als AI-systeem kwalificeert (Artikel 3, lid 1). De definitie is bewust breed: een machinegebaseerd systeem dat met varieerbare autonomie werkt en output genereert die de fysieke of virtuele omgeving beinvloedt. Maak een uitputtend register van alles wat hieronder valt: eigen gebouwde AI, ingekochte AI-tools (ChatGPT, chatbots, HR-AI), AI-features in SaaS-platforms (Outlook Copilot, LinkedIn Recruiter, HubSpot AI, Teams Intelligent Recap). De grootste valkuil is schaduw-AI: tools die afdelingen zelfstandig aanschaffen zonder dat IT of compliance het weet.
- Artikel 3(1) definitie toepassen
- Schaduw-AI actief zoeken
- SaaS-tools met AI-features tellen
- Levend register, niet eenmalig
Per AI-systeem bepaal je welke rol jouw organisatie inneemt: aanbieder (Artikel 3, lid 3), deployer (Artikel 3, lid 4), importeur (lid 6) of distributeur (lid 7). Je rol is niet per se bedrijfsbreed; per systeem kan het verschillen. Je bent aanbieder als je AI-systeem onder eigen naam of merk op de markt brengt. Deployer als je AI-systeem gebruikt. Importeur als je AI-systeem uit buiten-EU invoert. Distributeur als je doorverkoopt zonder eigen branding. MKB is meestal deployer. Let op: als je een aangekocht AI-systeem substantieel wijzigt of onder eigen naam doorlevert, kun je aanbieder worden (Artikel 25).
- Per systeem apart bepalen
- Artikel 25 check op eigen rebranding
- Substantiele wijzigingen triggeren aanbieder-rol
- Bij twijfel: juridische second opinion
Vier klassen. Verboden (Artikel 5): zie stap 4. High-risk: twee routes. Route A is Annex I-producten (medische apparatuur, speelgoed, voertuigen) die AI bevatten onder bestaande EU-productregulering. Route B is Annex III, met acht gebieden waaronder kritieke infrastructuur, onderwijs, werkgelegenheid en HR, toegang tot essentiele diensten, rechtshandhaving, migratie. Transparantie-eis (Artikel 50) voor chatbots, gegenereerde content en deepfakes. Minimaal risico: de rest. Belangrijke nuance: Annex III-systemen kunnen onder Artikel 6, lid 3 buiten high-risk vallen als ze een van vier uitzonderingen vervullen. Documenteer deze vaststelling.
- Artikel 5 verboden lijst doorlopen
- Annex III acht gebieden checken
- Artikel 6(3) uitzonderingen documenteren
- Artikel 50 transparantie-categorieen
Artikel 5 is sinds 2 februari 2025 direct handhaafbaar. De verboden lijst (limitatief): manipulatieve of subliminale technieken die schade veroorzaken; exploitatie van kwetsbaarheden (leeftijd, handicap, socio-economische situatie); social scoring door publieke autoriteiten met generaliserende impact; predictive policing puur op profilering; ongerichte webscraping voor gezichtsherkenningsdatabases; emotie-herkenning op werk en school (met beperkte uitzonderingen medisch of veiligheid); biometrische categorisering naar gevoelige kenmerken; real-time biometrische identificatie in openbare ruimte door rechtshandhaving. Check zelf, niet op basis van samenvattingen. Een AI-tool die van leveranciers in deze lijst terechtkomt, moet worden gestopt.
- Sinds 2 feb 2025 handhaafbaar
- Tot 35 miljoen euro boete
- Emotieherkenning op werk: niet inzetten
- Onderliggende systemen SaaS ook checken
Artikel 4 verplicht sinds 2 februari 2025 aanbieders en deployers om passende maatregelen te nemen zodat hun personeel en derden die namens hen AI-systemen bedienen, voldoende AI-geletterdheid hebben. De Act geeft geen minimum-uren of verplichte certificering; het is proportioneel. Praktisch voor MKB: basistraining van een halve tot hele dag voor alle medewerkers die AI gebruiken, verdieping voor sleutelgebruikers, documenteren van deelname. Inhoud moet dekken: AI-basiskennis, mogelijkheden en beperkingen, risico's (bias, hallucinatie, gegevensprivacy), verantwoord gebruik binnen bedrijfscontext. Externe consultants of freelancers die voor jou AI gebruiken vallen ook onder deze verplichting. Zie onze AI trainingen.
- Artikel 4, sinds 2 feb 2025
- Proportioneel naar rol en risico
- Ook voor externe gebruikers namens jou
- Deelname documenteren voor audit
Artikel 50 regelt transparantie-verplichtingen voor een specifieke set AI-systemen, volledig van toepassing sinds 2 augustus 2026, en in de meeste gevallen al eerder door redelijkheid en AVG geboden. Kerneisen: systemen die met natuurlijke personen interacteren (chatbots) moeten gebruikers informeren dat ze met AI spreken, tenzij dit duidelijk is. Aanbieders van AI die synthetische audio-, afbeelding-, video- of tekstcontent genereren moeten output in machinereadable formaat markeren als AI-gegenereerd. Deployers van emotieherkenning of biometrische categorisering moeten betrokkenen informeren. Deployers die deepfakes genereren moeten deze als kunstmatig labelen. Implementeer deze in je AI-tools zodra ze bruikbaar worden ingezet.
- Volledig vanaf 2 aug 2026
- Chatbot als AI identificeren
- AI-content machinereadable markeren
- Deepfakes expliciet labelen
Voor deployer van high-risk AI gelden uitgebreidere verplichtingen (Artikel 26). Belangrijkste: gebruik volgens de instructies van de aanbieder; menselijke controle toewijzen aan natuurlijke personen met nodige bekwaamheid en bevoegdheid; waar de deployer controle heeft over input-data, ervoor zorgen dat die relevant en voldoende representatief is; gebruik monitoren en bij vermoeden van risico's aanbieder en toezichthouder inlichten; automatisch gegenereerde logs bewaren voor de periode vereist door aanbieder-instructies en nationale regelgeving. Voor werkgever-deployers: werknemersvertegenwoordiging en betroffen werknemers informeren dat high-risk AI wordt ingezet (Artikel 26, lid 7). Artikel 27 voegt voor bepaalde publieke en semi-publieke deployers een Fundamental Rights Impact Assessment toe.
- Artikel 26: kern deployer-verplichtingen
- Menselijke controle bekwaam beleggen
- Logs bewaren, incidenten melden
- Artikel 27 FRIA waar van toepassing
AVG en AI Act werken naast elkaar, niet in plaats van. Waar AI persoonsgegevens verwerkt (bijna altijd), gelden beide regimes. Check voor elk AI-systeem: is er een rechtsgrond onder Artikel 6 AVG, is een DPIA nodig onder Artikel 35 AVG (voor high-risk AI vaak ja), geldt dataminimalisatie (Artikel 5 AVG), zijn betrokkenen correct geinformeerd (Artikel 13/14 AVG)? Koppel AVG-DPIA en AI Act-risicobeoordeling zoveel mogelijk. Voor high-risk AI-deployer is dit ook formeel gekoppeld via Artikel 26, lid 9 AI Act dat informatie uit AI Act-documentatie gebruikt voor AVG-compliance. Voor geautomatiseerde besluitvorming met rechtsgevolgen geldt bovendien Artikel 22 AVG met eigen eisen aan menselijke tussenkomst. Zie onze AVG-en-AI-gids.
- AVG blijft naast AI Act gelden
- DPIA en AI-risicobeoordeling koppelen
- Artikel 22 AVG voor geautomatiseerde besluiten
- Privacyverklaring bijwerken
Als deployer ben je afhankelijk van aanbieders-compliance. Check per AI-leverancier: voor high-risk systemen moet aanbieder technische documentatie (Artikel 11), instructions for use (Artikel 13), conformiteitsverklaring (Artikel 47) en CE-markering (Artikel 48) leveren. Voor non-high-risk geldt dit formeel niet, maar vraag wel DPA (Data Processing Agreement) voor AVG-koppeling en een statement over AI Act-compliance. Neem AI Act-bepalingen op in leveranciers-contracten: wijzigingen melden, documentatie updaten bij wijzigingen, cooperate bij audits, kennisgeving bij incidenten. Voor grote SaaS-leveranciers (Microsoft, Google) is hun compliance-documentatie publiek; voor kleinere leveranciers vraag je actief na. Bij nieuwe AI-aanschaf: compliance-check voor contracttekening, niet erna.
- Artikel 11/13/47/48 voor high-risk
- CE-markering en DPA checken
- AI Act-clausules in contracten
- Check voor aankoop, niet erna
Compliance is continu. Per jaar een of meerdere herzieningen: nieuwe AI-systemen, wijzigingen in bestaande, wijzigingen in Act (implementatieverordeningen, richtsnoeren van AI Office). Concreet: verantwoordelijke rol (AI-compliance officer of, in MKB, combinatie met DPO/CFO/COO), maandelijks overleg met AI-gebruikers, jaarlijkse review van register en beleid, incident-proces (wie doet wat bij gemelde problemen met AI). Audit-gereedheid betekent dat je binnen dagen na verzoek alles kunt overleggen. Centraal dossier met: register, classificaties, training-bewijzen, leverancier-documentatie, logs, incidenten, beleidsdocument, DPIA's, FRIA's waar vereist. Koppel aan onze AI governance-gids.
- Verantwoordelijke rol formeel
- Maandelijks overleg als cadans
- Centraal audit-dossier
- Incident-proces documenteren
Drie scenario's voor MKB-compliance-kosten.
Kosten hangen af van rol en risicoclassificatie. Deze drie scenario's dekken het grootste deel van MKB-praktijk. Getallen indicatief, bedoeld als scope-startpunt.
Voor MKB die AI inkoopt (ChatGPT, chatbot, marketing-AI) zonder high-risk gebruik. Typische traject: stappen 1-6, 8-10 uit deze gids; stap 7 niet van toepassing. Twee tot vier maanden doorlooptijd. Inclusief inventarisatie, classificatie, AI-geletterdheidstraining (halve dag per medewerker), transparantie-implementatie, leveranciers-screening, AI-gebruiksbeleid, governance-setup, centraal audit-dossier. Lopende kosten: 5.000-10.000 euro per jaar voor governance-cadans en updates.
Voor MKB die high-risk AI gebruikt (HR-selectie, kredietverlening, medische apparatuur). Stappen 1-6, 8-10 plus uitgebreide stap 7. Drie tot zes maanden doorlooptijd. Extra ten opzichte van scenario 1: menselijke controle-procedures ontwerpen, log-mechanismen inbouwen, leveranciers-audit-processen, eventueel FRIA, werknemers-informatievoorziening (Artikel 26 lid 7), incident-rapportage-procedures. Lopende kosten: 10.000-20.000 euro per jaar.
Voor MKB die high-risk AI op de markt brengt (softwareproducten, AI-as-a-service). Volledige aanbieder-pakket: technische documentatie (Artikel 11), quality management system (Artikel 17), conformity assessment (Artikel 43), CE-markering, registratie in EU-database (Artikel 49), post-market monitoring (Artikel 72). Zes tot twaalf maanden voor eerste compliance. Lopende kosten: 20.000-50.000 euro per jaar. Voor MKB-aanbieders met regulatory sandbox-mogelijkheid (Artikel 57-59) kunnen specifieke ondersteuningen beschikbaar zijn.
Onze volgorde in vier fases.
We verdelen de tien stappen in vier fases over twee tot vier maanden voor deployer-trajecten. Voor aanbieder-trajecten schaal je op.
Onze belofte: Audit-gereed binnen de overeengekomen doorlooptijd. Proportioneel, niet meer of minder dan de Act eist. Gekoppeld aan onze compliance-roadmap voor planning en governance-framework voor borging.
Drie MKB-trajecten uit de praktijk.
Hoe de tien stappen er in de realiteit uitzagen, wat lastig was, wat verrassend makkelijk.
Deployer-traject met onverwachte rol-wisseling
Situatie: Een bouwbedrijf gebruikt ChatGPT Enterprise, een AI-tool voor bouwtekening-analyse en een marketing-AI. Directie dacht: drie tools, drie keer deployer-rol. Bij de inventarisatie kwam uit dat ze de AI voor bouwtekening-analyse hadden gehaald, uitgebreid met eigen trainingsdata en onder eigen label aan zusterbedrijven aanboden.
Complicatie: Artikel 25, lid 1 trigger: substantiele wijziging plus eigen branding maakte hen aanbieder voor dat systeem. Hele compliance-pakket wijzigde. Scope traject uitgebreid: van standaard deployer-pakket naar aanbieder-verplichtingen voor het bouwtekening-systeem plus deployer-verplichtingen voor de overige twee.
Resultaat en les: Zes maanden traject in plaats van drie, investering van 65.000 euro in plaats van initieel geschat 22.000. Maar: ze hadden anders onbewust-non-compliant een AI op de markt gebracht met risico op boete. De les: rol-bepaling per systeem (stap 2) is geen formaliteit maar kan scope dramatisch veranderen. Koppel aan onze AI Act uitleg.
"We dachten deployer, bleek aanbieder. Als dat pas bij audit was ontdekt, hadden we een probleem gehad."
High-risk deployer, FRIA niet van toepassing
Situatie: Werving-en-selectie-bureau gebruikt AI voor CV-screening. Annex III, lid 4, onderdeel a: AI voor werving of selectie van natuurlijke personen. Duidelijk high-risk.
Analyse FRIA: Externe compliance-adviseur had FRIA verplicht geadviseerd. Bij check van Artikel 27, lid 1 bleek FRIA gericht op deployers die publieke autoriteiten zijn, overheidsinstanties, of private partijen die publieke diensten verlenen. Een commercieel W&S-bureau valt daar niet automatisch onder. FRIA dus niet verplicht maar wel aanbevolen als best practice.
Resultaat: Scope niet uitgebreid naar FRIA, wel stevig op human-in-the-loop-procedure (Artikel 26), leveranciers-due-diligence (documentatie van AI-aanbieder opgevraagd), werknemers-informeren (kandidaten krijgen duidelijk te zien wanneer AI wordt ingezet in selectie), bias-monitoring. Investering 38.000 euro. Waarde: CV-screening-AI kan gebruikt worden met juiste controles, niet afgezien van. Ook: de initiele FRIA-advies was scopecreep; deze externe correctie bespaarde klant circa 15.000 euro voor werk dat niet verplicht was.
"FRIA werd gepresenteerd als must, bleek een optie. Goede check om precies te weten wat wel en niet hoeft."
Aanbieder-compliance met sandbox-aanvraag
Situatie: Softwarebedrijf bouwt een AI-tool voor financieel advies aan consumenten. Annex III lid 5, onderdeel b: AI voor toegang tot essentiele diensten waaronder kredietwaardigheid en bankverzekering. High-risk voor de aanbieder-rol.
Aanpak: Volledige aanbieder-pakket plus regulatory sandbox-aanvraag (Artikel 57-58). Sandbox geeft ruimte om onder toezichthouder te testen voor volledige compliance. Technical documentation (Artikel 11) ontwikkeld per SDLC-cyclus. Quality management system (Artikel 17) ingebouwd. Conformity assessment volgens Artikel 43 (intern voor deze categorie). Registratie in EU-database (Artikel 49) voorbereid.
Resultaat: Acht maanden traject, investering 145.000 euro. Sandbox-toegang verleend, wat ook betekent toegang tot praktische guidance van toezichthouder. CE-markering verleend voor productie-versie. Compliance-documentatie als commercieel verkoopargument: klanten hoeven zelf minder due diligence te doen. Post-market monitoring (Artikel 72) opgezet voor continue compliance. Koppeling met onze conformity-assessment-gids.
"Sandbox was prachtig: directe toegang tot de toezichthouder maakte onzekerheden snel helder."
Vier kritische valkuilen.
De fouten die MKB-organisaties en adviseurs regelmatig maken. Beter voorkomen dan aanspreken bij audit.
Traject deployer minimal/limited: 12-35k euro
Traject deployer high-risk: 35-80k euro
Lopend per jaar: 5-20k euro
Geen boetes (tot 35M potentieel): risico-afbouw
Sales-voordeel bij compliance-bewuste klanten: kwalificerend
Interne heldere kaders: minder ad-hoc beslissingen
Compliance is risico-beheersing, geen investering met typische ROI. Wie zoekt naar een directe financiele terugverdientijd, zoekt in de verkeerde categorie.
Over AI Act voor MKB.
Moet een klein bedrijf voldoen aan de AI Act?
Ja. De AI Act maakt geen algemene uitzondering voor MKB of kleine bedrijven. De verordening geldt voor elke organisatie die AI-systemen ontwikkelt, aanbiedt, importeert, distribueert of gebruikt in de EU. Wel proportionaliteit: de verplichtingen zijn zwaarder voor aanbieders van high-risk AI dan voor deployers van minimal-risk AI. Artikel 62 en 71 voorzien in ondersteuning voor MKB. In de sanctiebepalingen (Artikel 99, derde lid) is vastgelegd dat voor MKB het lagere van de twee bedragen uit de sanctiebandbreedte geldt.
Wat moet mijn MKB concreet doen voor de AI Act?
Ten minste tien stappen. Absolute minima voor MKB-deployer: registratie van alle ingezette AI-systemen, classificatie naar risico, stoppen van verboden praktijken (Artikel 5), borging van AI-geletterdheid (Artikel 4) en transparantieverplichtingen (Artikel 50). Voor deployers van high-risk AI komt daar bij: menselijke controle, monitoring, logs, melding van ernstige incidenten en in bepaalde gevallen een FRIA (Artikel 27).
Wanneer zijn de verschillende AI Act-deadlines?
De AI Act is op 1 augustus 2024 in werking getreden. Kerndatums: 2 februari 2025 (Artikel 5 verboden praktijken en Artikel 4 AI-geletterdheid), 2 augustus 2025 (governance-regels, sanctie-artikelen 99 en 100, regels voor General Purpose AI uit Hoofdstuk V), 2 augustus 2026 (volledige toepassing inclusief Artikel 50 transparantie en Annex III high-risk), 2 augustus 2027 (AI in producten onder EU-productregulering in Annex I). Deze data volgen uit Artikel 113. Zie onze tijdlijn-pagina.
Wat is AI-geletterdheid onder de AI Act?
Artikel 4 verplicht aanbieders en deployers om passende maatregelen te nemen zodat hun personeel en andere personen die namens hen AI-systemen bedienen voldoende AI-geletterdheid hebben. Dit houdt rekening met technische kennis, ervaring, opleiding en gebruikscontext. Geen specifieke uur-vereisten of certificering; invulling is proportioneel. Voor MKB praktisch: medewerkers die dagelijks met AI werken krijgen basis-introductie, sleutelgebruikers verdieping. Documenteer de training. Sinds 2 februari 2025 handhaafbaar.
Welke AI-praktijken zijn verboden onder de AI Act?
Artikel 5 somt de verboden praktijken limitatief op. Belangrijkste: subliminale of manipulatieve technieken die gedrag beinvloeden ten koste van personen; exploitatie van kwetsbaarheden (leeftijd, handicap, socio-economische situatie); social scoring door publieke autoriteiten; predictive policing puur op profilering; ongerichte webscraping voor gezichtsherkenning-databases; emotie-herkenning op werkplek of in onderwijs; biometrische categorisering naar gevoelige kenmerken; real-time biometrische identificatie in openbare ruimtes door rechtshandhaving. Sinds 2 februari 2025 handhaafbaar; boetes tot 35 miljoen euro of 7 procent wereldwijde jaaromzet (Artikel 99, tweede lid).
Wat is een deployer onder de AI Act?
Een deployer is volgens Artikel 3(4) elke natuurlijke of rechtspersoon, overheid, agentschap of andere instelling die een AI-systeem onder eigen verantwoordelijkheid gebruikt, behalve in een puur persoonlijke, niet-professionele context. De meeste MKB-bedrijven zijn deployer als ze een AI-tool gebruiken zonder het zelf te bouwen. Deployer-verplichtingen zijn geregeld in Artikel 26 (algemeen, voor high-risk) en Artikel 27 (FRIA voor bepaalde publieke en semi-publieke deployers). Voor deployers van limited-risk AI gelden transparantieverplichtingen uit Artikel 50.
Wat is een Fundamental Rights Impact Assessment (FRIA)?
Een FRIA (Artikel 27) is een verplichting voor bepaalde deployers van high-risk AI. Specifiek: publieke autoriteiten, overheidsinstanties en private partijen die publieke diensten leveren, moeten voor bepaalde Annex III-systemen een FRIA uitvoeren voordat ze het systeem in gebruik nemen. De FRIA beoordeelt impact op fundamentele rechten, identificeert risico's en maatregelen om deze te beperken. Voor privaatrechtelijke MKB-deployers die geen publieke dienst leveren, geldt FRIA niet automatisch; wel blijft een normale AI-risicobeoordeling onderdeel van zorgvuldigheid.
Hoeveel kost AI Act-compliance voor MKB?
Afhankelijk van rol, risicoclassificatie en bestaande AVG-volwassenheid. Voor deployer-MKB met minimal- en limited-risk AI: typisch 12.000-35.000 euro voor traject van twee tot vier maanden. Voor deployer-MKB met high-risk AI: 35.000-80.000 euro. Voor aanbieder-MKB: 60.000-200.000 euro, afhankelijk van risicoclassificatie en technische complexiteit. Deze bedragen zijn indicatief en variabel; beschouw ze als startpunt voor scope-gesprek, niet als offerte.
Wat zijn de boetes voor niet-naleving door MKB?
Boetes zijn geregeld in Artikel 99 en 100. Drie bandbreedtes. Voor verboden praktijken uit Artikel 5: tot 35 miljoen euro of 7 procent wereldwijde jaaromzet. Voor overtreding van high-risk-verplichtingen: tot 15 miljoen euro of 3 procent. Voor onjuiste informatie aan toezichthouders: tot 7,5 miljoen euro of 1 procent. Voor MKB en start-ups geldt een uitzondering (Artikel 99 lid 6): laagste van de twee bedragen uit elke bandbreedte. Zie onze boetes-gids.
Hoe bereid je een AI Act-audit voor?
Audit-gereedheid betekent dat je binnen dagen na verzoek volledige documentatie kunt overleggen. Concreet: register van AI-systemen met classificatie; bewijs van AI-geletterdheidstraining per medewerker; voor high-risk AI: logs, human-oversight-procedures, incident-logboek, leverancier-documentatie (Artikel 13); voor limited-risk: bewijs van transparantie-implementatie; voor verboden praktijken: bewijs dat deze niet voorkomen. Daarnaast: AI-gebruiksbeleid, DPIA's waar AVG raakt, governance-documenten. Onze aanpak is dit te bewaren in een centraal dossier dat maandelijks wordt bijgehouden.
Opgesteld met AI-ondersteuning door de redactie van Prometheus21, laatst bijgewerkt op 7 september 2026. Hoe wij content maken
AI Act audit voorbereiden?
Plan een kennismaking voor scope-gesprek. Geen vaag sales-pitch, wel eerlijke inschatting van wat jouw situatie vraagt en wat het realistisch kost. Onderdeel van onze AI compliance-aanpak.
Plan een gratis kennismakingAI Act-compliance in context.
Aanpalende onderwerpen die bij een AI Act-traject aan de orde komen.