De AI Act voor MKB-bedrijven: wat moet je nu regelen?
De AI Act raakt niet alleen grote AI-labs. Ook MKB-bedrijven die AI inkopen, bouwen of inzetten hebben documentatie, beleid en controle nodig.
Waarom de AI Act ook voor het MKB relevant is
De Europese AI Act is geen abstracte wet voor alleen grote AI-labs. Ook MKB-bedrijven gebruiken AI in klantenservice, HR, sales, juridische research, rapportages en interne kennisbanken. Zodra AI invloed heeft op klanten, medewerkers of besluitvorming, ontstaat de vraag: weten we welk systeem we gebruiken, waarvoor, met welke data en onder welke controle?
Voor de meeste organisaties begint AI Act-compliance niet met zware certificering, maar met overzicht. Welke AI-tools zijn er in gebruik? Welke processen raken klanten of medewerkers? Wie keurt nieuwe AI-toepassingen goed? En kun je achteraf uitleggen waarom een systeem een bepaalde output gaf?
De risicogebaseerde aanpak
De AI Act werkt met risicoklassen. Niet elke chatbot is meteen hoog-risico. Toch moet je als organisatie kunnen bepalen waar je systemen in vallen:
- Verboden praktijken: toepassingen die fundamentele rechten ernstig schaden, zoals bepaalde vormen van manipulatie of social scoring.
- Hoog-risico AI: systemen in gevoelige domeinen zoals werkgelegenheid, onderwijs, kritieke infrastructuur of toegang tot essentiële diensten.
- Transparantieverplichtingen: situaties waarin gebruikers moeten weten dat ze met AI communiceren of dat content synthetisch is.
- Laag risico: veel interne productiviteitstools, mits ze geen beslissingen nemen met grote impact.
Voor MKB-bedrijven is vooral de inventarisatie belangrijk: niet gokken, maar vastleggen waarom een systeem wel of niet hoog-risico is.
Wat moet je praktisch regelen?
Een werkbaar AI Act-startpunt bestaat uit vijf onderdelen:
- AI-register — leg vast welke AI-tools en modellen je gebruikt, wie eigenaar is, welke data erin gaat en waarvoor het systeem wordt ingezet.
- Risicoclassificatie — bepaal per toepassing of het laag risico, transparantieplichtig of mogelijk hoog-risico is.
- Menselijke controle — beschrijf wanneer een medewerker output moet controleren en wanneer AI geen zelfstandig besluit mag nemen.
- Databeleid — maak duidelijk welke data wel en niet naar externe AI-systemen mag.
- Logging en documentatie — zorg dat belangrijke beslissingen, prompts, brondata en wijzigingen traceerbaar zijn.
AI-geletterdheid: klein maar belangrijk
Een van de meest praktische verplichtingen is AI-geletterdheid. Medewerkers die AI gebruiken moeten de basis begrijpen: wat kan het systeem wel, wat niet, welke fouten komen vaak voor en wanneer moet je escaleren? Dit hoeft geen academische training te zijn. Een korte interne richtlijn plus gerichte training per rol is vaak al een goede start.
RAG en MCP helpen bij controleerbare AI
Wij bouwen veel oplossingen met RAG en MCP, juist omdat ze AI beter controleerbaar maken.
Met RAG baseert een model antwoorden op bekende bronnen, zoals beleid, contracten of documentatie. Daardoor kun je bronverwijzingen tonen en hallucinaties beperken. Met MCP kun je vastleggen welke tools een AI-systeem mag gebruiken en onder welke rechten. Denk aan read-only toegang tot een database, of expliciete bevestiging voordat een actie wordt uitgevoerd.
Begin niet met papier, begin met je echte use-cases
Veel compliance-trajecten stranden omdat ze te abstract beginnen. Beter is: kies drie concrete AI-toepassingen die nu al gebruikt worden, documenteer die goed, en maak daar je eerste governance-template van.
Per toepassing wil je minimaal weten:
- wat het doel is;
- welke gebruikers ermee werken;
- welke data wordt verwerkt;
- welk model of welke leverancier wordt gebruikt;
- welke risico's er zijn;
- welke menselijke controle is ingericht;
- hoe output, wijzigingen en incidenten worden vastgelegd.
Conclusie
De AI Act vraagt niet dat elk MKB-bedrijf morgen een juridisch handboek schrijft. Het vraagt wel dat je AI bewust inzet: met overzicht, grenzen, training en bewijs. Wie nu begint met een klein AI-register en duidelijke interne spelregels, voorkomt later dure herstelwerkzaamheden.
Wil je praktisch starten? Begin met één AI-use-case, maak een mini-risicoanalyse en bouw daarna pas uit. SuperSimple.nl helpt organisaties om AI-toepassingen niet alleen slim, maar ook uitlegbaar en beheersbaar te maken.