AI Act uitgesteld: wat per 2 augustus 2026 wél geldt voor het MKB

Op 27 juli 2026 is Verordening (EU) 2026/1744 in werking getreden, de zogeheten Digital Omnibus on AI.¹ Daarmee is de deadline waar Nederlandse ondernemers al een jaar over lezen grotendeels verschoven. De hoog-risico-verplichtingen voor zelfstandige systemen uit Annex III, denk aan AI bij werving en selectie, kredietbeoordeling, onderwijs of biometrie, gaan niet op 2 augustus 2026 in maar op 2 december 2027. AI die als veiligheidscomponent in een gereguleerd product zit (Annex I, bijvoorbeeld medische hulpmiddelen, machines, speelgoed en liften) schuift van 2 augustus 2027 naar 2 augustus 2028. Dit is geen voorstel en geen concept: de verordening is op 8 juli 2026 aangenomen, op 24 juli 2026 in het Publicatieblad verschenen en sindsdien van kracht.

2 augustus 2026 blijft wel een echte datum, maar voor een veel kleinere set verplichtingen dan overal wordt gesuggereerd. Wat die dag van toepassing wordt, is artikel 50 (transparantie) en artikel 101 (de boetebevoegdheid van de Commissie richting aanbieders van AI-modellen voor algemene doeleinden), plus de algemene toepassingsdatum van artikel 113 voor de restcategorie.¹ Artikel 101 raakt partijen als de grote modelbouwers, niet het Nederlandse MKB. Dit artikel zet op een rij wat er nu precies geldt, wat er is verschoven, en welke beweringen in de Nederlandse markt sinds 27 juli aantoonbaar niet meer kloppen.

Gecontroleerd op 30 juli 2026 · Bron: Verordening (EU) 2026/1744, EUR-Lex

/ 01Het nieuws

Wat er op 27 juli 2026 is veranderd

De volledige naam van het instrument is Verordening (EU) 2026/1744 van het Europees Parlement en de Raad van 8 juli 2026 tot wijziging van Verordeningen (EU) 2024/1689, (EU) 2018/1139 en (EU) 2023/1230 wat betreft de vereenvoudiging van de uitvoering van geharmoniseerde regels inzake artificiele intelligentie.¹ Wat er inhoudelijk is uitgesteld, is de toepassing van hoofdstuk III secties 1 tot en met 3 van de AI-verordening: het risicomanagementsysteem, datagovernance, technische documentatie, logging, menselijk toezicht, de conformiteitsbeoordeling, CE-markering en registratie in de EU-databank.

Dat is precies het pakket waar de compliance-markt het afgelopen jaar op heeft verkocht. Het is niet afgeschaft, het is verplaatst. Voor bedrijven die daadwerkelijk een hoog-risico-systeem bouwen of inzetten betekent het zestien maanden extra voorbereidingstijd. Voor het overgrote deel van het Nederlandse MKB betekent het dat een verplichting die er sowieso al niet was, nu ook nog eens later niet komt.

Dat het nieuws de markt nog niet heeft bereikt, is niet verrassend. Uit KVK-onderzoek onder ondernemers bleek eerder al dat slechts 7 procent zichzelf goed op de hoogte noemt van de Europese AI-wetgeving, en dat 2 tot 3 procent actief bezig was met voorbereidingen. Dat veldwerk is van juni 2025, met een steekproef van 651 ondernemers, en is dus inmiddels ruim een jaar oud.⁴ Het is geen momentopname van vandaag, maar het geeft wel aan hoe dun de kennisbasis was toen de deadline nog scherper leek dan hij nu is.

/ 02Tijdlijn

De volledige tijdlijn, 2024 tot 2028

De AI Act is altijd gefaseerd ingevoerd. Onderstaande tabel geeft de volledige reeks zoals die er na 27 juli 2026 uitziet, inclusief de twee data die zijn verschoven en de nieuwe overgangstermijn die erbij is gekomen.

/ 032 augustus

Wat 2 augustus 2026 wél betekent

Artikel 50 gaat over transparantie en is niet uitgesteld. Het raakt zowel aanbieders als gebruiksverantwoordelijken. Voor een MKB-bedrijf zijn er drie situaties die ertoe doen, en het loont om ze uit elkaar te houden, want ze worden vaak op een hoop gegooid.

Beeld, audio en video. Publiceer je AI-gegenereerd of AI-gemanipuleerd beeld, geluid of video dat op echt materiaal lijkt, dan moet je openbaar maken dat het kunstmatig is. Dit is de bepaling die je in de praktijk het snelst raakt: een gegenereerde productfoto, een gesynthetiseerde stem in een bedrijfsvideo, een gemanipuleerd portret.

Gepubliceerde tekst. Hier is de verplichting veel smaller dan meestal wordt beweerd. Ze geldt voor tekst die wordt gepubliceerd met het doel het publiek te informeren over zaken van algemeen belang, en er geldt een uitzondering wanneer een mens redactionele controle heeft uitgeoefend en de redactionele verantwoordelijkheid draagt. Gewone marketingtekst, een productpagina of een offerte valt hier niet onder.

Chatbots. De informatieplicht dat iemand met een AI-systeem communiceert ligt bij de aanbieder van dat systeem, niet bij jou als afnemer. Bovendien vervalt ze wanneer het voor een redelijk oplettende gebruiker evident is dat er met AI wordt gecommuniceerd.

Naast artikel 50 wordt artikel 101 van toepassing. Dat geeft de Commissie de bevoegdheid om boetes op te leggen aan aanbieders van AI-modellen voor algemene doeleinden, tot 15 miljoen euro of 3 procent van de wereldwijde omzet.² Dat raakt de partijen die de modellen bouwen. De inhoudelijke verplichtingen voor die modelaanbieders gelden overigens al sinds 2 augustus 2025; wat op 2 augustus 2026 begint, is de handhavingsbevoegdheid die daarbij hoort.

/ 04Artikel 4

Artikel 4: verzacht, en zonder boete

Artikel 4 over AI-geletterdheid geldt sinds 2 februari 2025 en is per 27 juli 2026 gewijzigd door de Digital Omnibus.¹ De oude formulering verplichtte aanbieders en gebruiksverantwoordelijken om te zorgen voor een toereikend niveau van AI-geletterdheid. De nieuwe formulering verplicht hen om maatregelen te nemen ter ondersteuning van de ontwikkeling van AI-geletterdheid, met een expliciete toevoeging dat deze verplichting van aanbieders en gebruiksverantwoordelijken niet vraagt om enig specifiek niveau van AI-geletterdheid bij een individu te garanderen.

Dat is een wezenlijk verschil. Van een resultaatsverplichting naar een inspanningsverplichting. Wie nog steeds verkoopt dat je aantoonbaar een bepaald geletterdheidsniveau moet bereiken, verkoopt de tekst van voor 27 juli 2026.

Wat wel blijft staan: de verplichting geldt voor aanbieders en gebruiksverantwoordelijken, ongeacht risicoklasse en ongeacht bedrijfsgrootte. Er is geen MKB-uitzondering en geen drempelwaarde. Ook een bedrijf van vier man dat alleen ChatGPT gebruikt, valt eronder.

Het ontbreken van een boetesanctie is de meest voorkomende fout in Nederlandse AI Act-content. Het bedrag van 15 miljoen euro of 3 procent wordt regelmatig aan artikel 4 gekoppeld, terwijl dat plafond in artikel 99 hoort bij een limitatieve opsomming van andere artikelen: 16, 22, 23, 24, 26, 31, 33, 34 en 50.² Artikel 4 staat daar niet tussen.

/ 05Boetes

Boetes: de MKB-regel die zelden wordt genoemd

Het boeteregime van artikel 99 geldt al sinds 2 augustus 2025. Er start op 2 augustus 2026 dus geen nieuw boeteregime, ook al wordt dat wel zo gepresenteerd. De structuur kent drie niveaus: tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet voor verboden praktijken uit artikel 5, tot 15 miljoen euro of 3 procent voor de genoemde verplichtingen van aanbieders en gebruiksverantwoordelijken inclusief de transparantieplicht van artikel 50, en tot 7,5 miljoen euro of 1 procent voor het verstrekken van onjuiste informatie aan toezichthouders.²

Bij die bedragen staat telkens dat het hoogste van de twee geldt. Precies dat is waar de Nederlandse berichtgeving stopt, en precies daar staat de bepaling die voor het MKB het belangrijkst is. Artikel 99 lid 6 bepaalt dat voor MKB en start-ups elke boete geldt tot de genoemde percentages of bedragen, waarbij het laagste van de twee geldt.²

Rekenvoorbeeld. Een bedrijf met 2 miljoen euro jaaromzet dat artikel 5 overtreedt, valt in de zwaarste categorie. Het maximum is dan niet 35 miljoen euro, maar 7 procent van 2 miljoen euro, dus 140.000 euro. Nog steeds serieus geld, en niet iets om luchtig over te doen. Maar het is een andere orde van grootte dan het bedrag dat in vrijwel elke Nederlandse AI Act-presentatie op de eerste sheet staat.

/ 06Toezicht

Nederland: de regels gelden, het toezicht nog niet

Het Nederlandse toezicht op de AI Act is per 30 juli 2026 niet formeel afgerond. De concept Uitvoeringswet AI-verordening ging op 20 april 2026 in internetconsultatie, die consultatie sloot op 1 juni 2026, en het voorstel wacht op advies van de Raad van State voordat het naar de Tweede Kamer gaat.³ Het is dus nog niet in werking.

Het beoogde model is hybride, met circa tien bestaande markttoezichthouders in plaats van een nieuwe AI-autoriteit. De Autoriteit Persoonsgegevens krijgt in dat ontwerp de verboden praktijken van artikel 5, de transparantieverplichting van artikel 50, een groot deel van hoog-risico, plus een vangnetrol voor domeinen zonder duidelijke eigenaar. De RDI wordt het aanspreekpunt richting Brussel en pakt AI in radioapparatuur en digitale kritieke infrastructuur. Sectorale toezichthouders zoals de AFM, DNB, de NVWA, de Nederlandse Arbeidsinspectie en de IGJ pakken hun eigen domein.³

/ 07Wat moet

Wat een MKB-gebruiker echt moet doen

Voor een bedrijf dat AI inkoopt en gebruikt, en dus gebruiksverantwoordelijke is, blijven er drie dingen over. Geen daarvan is een project.

1. Controleer artikel 5. De verboden praktijken gelden al sinds 2 februari 2025. Praktisch vertaald: geen emotieherkenning op de werkvloer, geen social scoring van klanten of medewerkers, geen manipulatieve AI. De meeste MKB-bedrijven doen hier niets van. Dit is een controle van vijf minuten.
2. Neem maatregelen rond AI-geletterdheid. Een interne gebruiksinstructie, uitleg aan het team, een korte instructiesessie waarin je vastlegt wat de tools wel en niet kunnen en welke data er wel en niet in gaat. Geen certificaat, geen urenaantal, geen voorgeschreven cursus. Wat je daarin wilt afspreken over bedrijfsdata staat uitgewerkt in ChatGPT op het werk: mag het, en wat met je data.
3. Kijk of artikel 50 je raakt per 2 augustus 2026. Publiceer je AI-gegenereerd beeld, audio of video dat voor echt kan doorgaan, dan hoort daar een vermelding bij. Zo niet, dan verandert er voor jou niets.

Wat hier nadrukkelijk naast staat en niet uit de AI Act komt: je verwerkersovereenkomsten en je verwerkingsregister. Die vallen onder de AVG. Voor de meeste MKB-bedrijven is dat het dossier met de grootste praktische impact, niet de AI Act. Die kant staat uitgewerkt in AVG en je AI-werkplek: wat moet je geregeld hebben.

/ 08Wat niet

Wat je niet hoeft, en wat wordt bijverkocht

Onderstaande tabel gaat uit van de meest voorkomende situatie: een MKB-bedrijf dat AI gebruikt maar geen hoog-risico-systeem inzet en geen AI-systemen onder eigen naam op de markt brengt. Voor die situatie is de linkerkolom compleet.

Niets in de rechterkolom is verboden of zinloos. Een gestructureerd overzicht van je AI-gebruik is nuttig, en een team dat weet wat een taalmodel wel en niet kan werkt beter. Het bezwaar is de framing: deze zaken worden verkocht als wettelijke verplichting met een boete erachter, en dat zijn ze voor deze doelgroep niet.

/ 09Correcties

Zes fouten in Nederlandse AI Act-content

Onderstaande zes beweringen komen structureel terug in Nederlandse artikelen, webinars en offertes. Ze waren deels al onjuist, en zijn dat na 27 juli 2026 alle zes.

1. "Vanaf 2 augustus 2026 gelden de hoog-risico-verplichtingen." Onjuist sinds Verordening (EU) 2026/1744. Annex III schuift naar 2 december 2027, Annex I naar 2 augustus 2028.
2. "Op overtreding van de AI-geletterdheidsplicht staat een boete van 15 miljoen euro of 3 procent." Onjuist. Artikel 4 komt in de boetebepaling van artikel 99 niet voor.
3. "Een AI-register is verplicht." Onjuist voor private gebruiksverantwoordelijken. Artikel 26 kent geen registerplicht. De registratieplicht die er wel is, geldt voor overheidsinstanties en EU-instellingen bij hoog-risico, en is uitgesteld tot 2 december 2027.
4. "Je MKB-bedrijf riskeert boetes tot 35 miljoen euro." Onvolledig tot misleidend. Artikel 99 lid 6 bepaalt dat voor MKB en start-ups het laagste van bedrag of percentage geldt.
5. "De Autoriteit Persoonsgegevens is dé Nederlandse AI-toezichthouder." Onjuist. Het beoogde model is hybride met circa tien toezichthouders, waarbij de RDI het aanspreekpunt richting Brussel wordt. En de uitvoeringswet is nog niet in werking, dus formeel is er nog niets aangewezen.
6. "Elke AI-gegenereerde tekst op je website moet gelabeld worden." Onjuist. De tekstverplichting is beperkt tot publicaties die het publiek informeren over zaken van algemeen belang, en kent een uitzondering bij menselijke redactionele controle en verantwoordelijkheid.

/ 10Rol en register

Je rol, en het register dat geen plicht is

De hele beoordeling hangt op de vraag welke rol je hebt. Artikel 25 regelt wanneer je aanbieder wordt: als je een AI-systeem onder je eigen naam of merk op de markt brengt, als je je eigen naam op een bestaand systeem zet, als je het beoogde doel wezenlijk wijzigt, of als je een systeem dat niet hoog-risico is zo aanpast dat het dat wel wordt.² Gewoon ChatGPT, Copilot of een AI-functie in je boekhoudpakket gebruiken maakt je geen aanbieder. Dan ben je gebruiksverantwoordelijke, en dat is een aanzienlijk lichter regime.

Het AI-register wordt vaak als sluitstuk verkocht en is dat niet. Er is geen registerplicht voor een private gebruiksverantwoordelijke. Wij raden het wel aan, om een praktische reden: zonder overzicht van welke AI waar in je bedrijf zit, kun je niet vaststellen of artikel 5 of artikel 50 je raakt. Het register is het gereedschap waarmee je die twee vragen beantwoordt, niet het doel op zich.

Daar komt bij: zodra er persoonsgegevens door AI worden verwerkt, heb je vanuit de AVG al een verwerkingsregister nodig. In de praktijk is dat dezelfde inventarisatie, met een andere kop erboven. Dat is een efficiënte volgorde: begin bij het AVG-register dat toch al moet, en gebruik dezelfde rondgang om je AI-gebruik in kaart te brengen.

/ 11Inrichting

Wat dit betekent voor hoe je AI inricht

Het uitstel verandert niets aan de vraag die er onder ligt: waar staat je data, wie kan erbij, en kun je dat uitleggen. Dat is grotendeels een AVG-vraag en geen AI Act-vraag, en die is niet uitgesteld. Een private opzet, waarbij documenten en modellen binnen je eigen scheidbare omgeving blijven, maakt die uitleg eenvoudiger: je weet welk model waar draait en je kunt EU-datakeuzes hard maken in plaats van ze aan te nemen.

Belangrijk om eerlijk te zijn over de grens daarvan. Private AI is geen vrijstelling van de AI Act en geen vrijstelling van de AVG. Het verandert je risicoklasse niet en het maakt artikel 5 of artikel 50 niet onvindbaar. Wat het wel doet, is de feitelijke vragen beantwoordbaar maken. Hoe die opzet technisch werkt staat in ons dossier private document-AI voor het MKB, en de propositie zelf staat op de Private AI-pagina.

Praktisch gevolg van het uitstel: de zestien maanden extra voor hoog-risico betekenen dat een bedrijf dat wél in Annex III-gebied zit, nu de tijd heeft om het gefaseerd te doen in plaats van in een sprint. Wie in die periode investeert in AI, doet er verstandig aan de fiscale kant mee te nemen. Welke regelingen daarvoor bestaan staat in AI-subsidies en fiscale aftrek voor het MKB in 2026.

/ 12Verder

Wat je deze week doet

Drie stappen, in oplopende mate van moeite. Samen zijn ze voor de meeste MKB-bedrijven een middag werk.

1. Maak het overzicht. Zet op één pagina welke AI-systemen er in je bedrijf worden gebruikt, met welk doel, van welke leverancier en met welke data. Loop daarna per regel de twee vragen langs: artikel 5 en artikel 50. Wil je niet vanaf nul beginnen, dan levert onze gratis AI-kansen scan een eerste inventarisatie op basis van je website en processen.
2. Leg je AI-gebruiksafspraken vast. Eén pagina: wie mag wat, welke data mag er wel en niet in, wie controleert het resultaat. Daarmee dek je artikel 4 af en los je tegelijk het grootste praktische risico op, namelijk gebruik buiten beeld van de werkgever.
3. Zet 2 december 2027 in je agenda, niet 2 augustus 2026. Als je in hoog-risico-gebied zit, is dat je echte horizon. Zit je daar niet in, dan is dit dossier voor jou hiermee gesloten tot er weer iets verandert.