Wat moet een kantoor van 10 tot 50 mensen regelen voor de AI Act?

Voor de meeste kantoren van tien tot vijftig mensen komt de AI Act neer op drie dingen: weet welke AI je gebruikt, zorg dat je mensen er verstandig mee omgaan (AI-geletterdheid), en wees transparant waar AI met klanten praat of content maakt. De zware verplichtingen gelden voor aanbieders en voor hoog-risicosystemen, en daar valt een gewoon kantoor zelden onder. Dit is een nuchter overzicht, nadrukkelijk geen juridisch advies.

Bij aitonomi krijgen we de AI Act-vraag inmiddels in bijna elk gesprek, meestal in de vorm van lichte paniek na een LinkedIn-post. Die paniek is zelden nodig, maar niets doen is ook geen optie. Hieronder wat er wanneer geldt, met de regeling bij naam, en wat je er praktisch mee moet.

Wanneer gaat de AI Act in?

De AI Act (de Europese AI-verordening) is al in werking; hij wordt in fasen van toepassing. De data komen uit de verordening zelf en de communicatie van de Europese Commissie:

Datum	Wat geldt er vanaf dan
2 februari 2025	Verbod op onaanvaardbare AI-praktijken, plus de AI-geletterdheidsplicht (artikel 4)
2 augustus 2025	Verplichtingen voor aanbieders van algemene AI-modellen (GPAI)
2 augustus 2026	De hoofdmoot van de verordening, waaronder de transparantieverplichtingen
2 augustus 2027	Resterende regels voor hoog-risico-AI in gereguleerde producten

De datum die er voor kantoren toe doet is dus al deels gepasseerd (AI-geletterdheid geldt al sinds februari 2025) en de volgende mijlpaal is 2 augustus 2026. Wie nu begint, is niet te laat, maar ook niet te vroeg.

Ben je aanbieder of gebruiker onder de AI Act?

Dit onderscheid bepaalt vrijwel alles. De AI Act legt de zwaarste plichten bij de aanbieder (provider): de partij die een AI-systeem ontwikkelt en op de markt brengt. Een kantoor dat ChatGPT, Copilot of een lokaal model gebruikt, is in de regel gebruiksverantwoordelijke (deployer): je zet een bestaand systeem in voor je eigen werk.

Voor gebruiksverantwoordelijken van gewone kantoortoepassingen (tekst samenvatten, concepten maken, gegevens invoeren) zijn de verplichtingen beperkt. Hoog-risico wordt het pas bij toepassingen zoals AI die beslist over sollicitanten, kredietwaardigheid of toegang tot essentiële diensten. Wie AI gebruikt om cv’s te beoordelen of medewerkers te evalueren, moet dus wél opletten: dat valt in de hoog-risicocategorie van de verordening. Bij twijfel over jouw specifieke toepassing is dit het moment voor een jurist.

Wat is de AI-geletterdheidsplicht van artikel 4?

Artikel 4 van de AI Act verplicht organisaties die AI inzetten ervoor te zorgen dat hun mensen voldoende AI-geletterd zijn: genoeg kennis om de systemen die ze gebruiken te begrijpen, de resultaten op waarde te schatten en de risico’s te zien. De verordening schrijft niet voor hóe je dat doet; de maatregel moet passen bij de context en de kennis van je mensen.

Praktisch betekent dat voor een kantoor: leg vast welke AI-systemen in gebruik zijn, zorg dat iedereen die ermee werkt de basisregels kent (wat mag erin, wat niet, wanneer controleer je de uitvoer), en herhaal dat als er nieuwe systemen bijkomen. Een middag met het hele team en een levend document komen een heel eind. Wat er wel en niet in een chatbot mag, hebben we uitgewerkt in mag je klantgegevens in ChatGPT invoeren en persoonsgegevens in ChatGPT geplakt: wat doe je nu.

Welke transparantieverplichtingen gelden vanaf augustus 2026?

De transparantieregels (artikel 50 van de verordening) raken kantoren op twee punten:

1. Chatbots. Praat een klant met een AI-systeem, dan moet dat duidelijk zijn. Een chatbot die zich als mens voordoet, mag niet.
2. AI-content. Door AI gegenereerde of bewerkte content moet in bepaalde gevallen als zodanig herkenbaar zijn, vooral waar verwarring met echte personen of gebeurtenissen kan ontstaan.

Voor de meeste kantoren is dit vooral een kwestie van eerlijkheid die je toch al wilde: zeg het als een antwoord van een machine komt. Wie geen klantgerichte chatbot heeft (aitonomi bouwt ze bewust niet, zie wat we niet doen), heeft hier weinig te regelen.

Wat kun je als klein kantoor gerust negeren?

Ook dat hoort bij een eerlijk overzicht. Waar je je als gewoon kantoor niet druk over hoeft te maken:

• De GPAI-verplichtingen: die gelden voor de makers van de grote modellen, niet voor gebruikers.
• Conformiteitsbeoordelingen en CE-achtige trajecten: alleen voor hoog-risicosystemen en hun aanbieders.
• De maximumboetes uit de krantenkoppen: de hoogste bedragen gelden voor verboden praktijken en grote overtreders; de verordening schrijft bovendien proportionaliteit voor, met expliciete aandacht voor het mkb.

Negeren is iets anders dan niets doen. De basis (inventarisatie, geletterdheid, transparantie) is klein genoeg om gewoon te regelen, en precies wat een toezichthouder als eerste zal vragen.

Waar begin je praktisch?

Drie stappen die je deze maand kunt zetten:

1. Inventariseer. Welke AI-systemen gebruikt je kantoor, officieel en officieus? De officieuze lijst (privé-accounts, gratis tools) is meestal de interessantste.
2. Regel de geletterdheid. Eén sessie met het team, één document met de afspraken, één eigenaar die het bijhoudt.
3. Kijk naar je datastromen. Welke gegevens gaan naar welke aanbieder, en wil je dat eigenlijk wel? Voor gevoelig werk is AI die lokaal draait de route waarbij de vraag grotendeels vervalt.

Wil je die inventarisatie in één keer goed doen, met een roadmap erbij? Dat is precies de eerste helft van onze AI-readiness scan.