EU AI Act: wat Belgische kmo's moeten weten in 2026

De EU AI Act: de AVG van artificiële intelligentie

De Europese verordening inzake artificiële intelligentie (Verordening (EU) 2024/1689, de "AI Act") is op 1 augustus 2024 in werking getreden en wordt gefaseerd toegepast. Op 27 juli 2026 werd ze gewijzigd door Verordening (EU) 2026/1744, de zogenaamde "Digital Omnibus". Die schuift een aantal deadlines op en versoepelt de verplichting rond AI-geletterdheid.

Vaak vergeleken met de AVG qua omvang en impact, is de AI Act het eerste volledige juridische kader voor artificiële intelligentie in de Europese Unie.

De AI Act is van toepassing op elk bedrijf dat AI-systemen ontwikkelt, op de markt brengt of gebruikt binnen de Europese Unie, ook op Belgische kmo's.

Tijdlijn: waar staan we?

De AI Act wordt gefaseerd toegepast. Na de Digital Omnibus ziet de kalender er zo uit:

• 2 februari 2025: verbod op AI-praktijken met onaanvaardbaar risico en toepassing van artikel 4 (AI-geletterdheid)
• 2 augustus 2025: verplichtingen voor aanbieders van AI-modellen voor algemene doeleinden (GPAI), governance en sanctieregime
• 2 augustus 2026: transparantieverplichtingen (artikel 50). Aanbieders van generatieve systemen die al op de markt waren, hebben tot 2 december 2026 voor de markering van gegenereerde inhoud
• 2 december 2027: verplichtingen voor AI-systemen met hoog risico uit bijlage III (werving, krediet, onderwijs…), oorspronkelijk gepland op 2 augustus 2026
• 2 augustus 2028: AI-systemen met hoog risico die in gereguleerde producten zijn ingebouwd (bijlage I, bijvoorbeeld medische hulpmiddelen of machines)

Welke Belgische autoriteit welk toezicht krijgt, is nog in opbouw. Het BIPT, de FOD Economie en de Gegevensbeschermingsautoriteit nemen al deel aan het Europese overleg tussen (potentieel) bevoegde AI-autoriteiten.

De vier risicocategorieën

De AI Act deelt AI-systemen in volgens risiconiveau, met evenredige verplichtingen.

Onaanvaardbaar risico (verboden)

Sinds februari 2025 zijn onder meer verboden:

• Sociale scoring van personen
• Manipulatieve technieken die schade veroorzaken
• Uitbuiting van kwetsbaarheden door leeftijd, handicap of sociale situatie
• Emotieherkenning op de werkplek en in het onderwijs (behalve om medische of veiligheidsredenen)
• Realtime biometrische identificatie op afstand in openbare ruimten voor rechtshandhaving (behoudens uitzonderingen)

De Digital Omnibus voegt daar twee verboden aan toe: intieme deepfakes zonder toestemming en het genereren van materiaal van seksueel misbruik van kinderen.

Hoog risico (sterk gereguleerd)

Dit is de categorie met de meeste impact voor bedrijven. Het gaat om AI-systemen die worden gebruikt in:

• Personeelsbeleid: cv-screening, beoordeling van kandidaten, beslissingen over promotie of ontslag
• Financiële diensten: kredietwaardigheid van particulieren, risicobeoordeling en prijszetting bij levens- en ziekteverzekeringen
• Onderwijs: toelating, beoordeling van studenten, toezicht tijdens examens
• Kritieke infrastructuur: veiligheidscomponenten in het beheer van energie-, water- of verkeersnetwerken

Voor deze systemen uit bijlage III gelden de verplichtingen vanaf 2 december 2027: conformiteitsbeoordeling en technische documentatie (voor de aanbieder), menselijk toezicht, logbestanden en informatie aan de betrokkenen (voor de gebruiker). Medische hulpmiddelen met AI vallen onder bijlage I, met als datum 2 augustus 2028.

Beperkt risico (transparantieverplichtingen)

Sinds 2 augustus 2026 moeten chatbots duidelijk maken dat de gebruiker met een AI-systeem praat, en moeten deepfakes als dusdanig worden gemarkeerd.

Minimaal risico (geen specifieke verplichting)

De meeste gangbare AI-toepassingen, zoals spamfilters, contentaanbevelingen of logistieke optimalisatie, hebben geen specifieke verplichtingen, buiten de AI-geletterdheid en de AVG als u persoonsgegevens verwerkt. Een vrijwillige gedragscode wordt aangemoedigd.

Wat dit concreet betekent voor Belgische kmo's

Ook als u zelf geen AI ontwikkelt, valt uw bedrijf er waarschijnlijk onder als u tools gebruikt waarin AI zit. Enkele voorbeelden:

• Uitzendbureau in Brussel dat software voor automatische cv-screening gebruikt: hoog risico, met verplichtingen vanaf 2 december 2027 (menselijk toezicht, logbestanden, informatie aan kandidaten)
• Accountantskantoor in Gent dat een AI-tool voor fraudedetectie gebruikt: geen hoog risico, want fraudedetectie is uitdrukkelijk uitgesloten van de categorie "kredietwaardigheid"
• Logistiek bedrijf in Antwerpen met een chatbot voor de klantendienst: beperkt risico, transparantieverplichting
• Bouwbedrijf in Namen dat ChatGPT gebruikt voor offertes: minimaal risico, wel aandacht voor AI-geletterdheid en vertrouwelijke gegevens

Voorziene sancties

Artikel 99 voorziet in:

• Tot 35 miljoen euro of 7 % van de wereldwijde jaaromzet voor verboden praktijken
• Tot 15 miljoen euro of 3 % voor het niet naleven van de meeste andere verplichtingen
• Tot 7,5 miljoen euro of 1 % voor het verstrekken van onjuiste informatie aan de autoriteiten

Voor kmo's geldt telkens het laagste van beide bedragen. De Digital Omnibus breidt die regel uit tot "kleine midcaps". Voor een kmo die gangbare tools gebruikt zonder verboden praktijk, is het grootste risico niet de maximale boete, maar onbewust een systeem met hoog risico gebruiken of niet kunnen aantonen welke maatregelen genomen zijn.

De link met de AVG

De AI Act vervangt de AVG niet, hij vult haar aan. Als uw AI-systeem persoonsgegevens verwerkt (wat bijna altijd zo is), moet u aan beide regels voldoen. Een gegevensbeschermingseffectbeoordeling (DPIA) onder de AVG en een effectbeoordeling op grondrechten onder de AI Act overlappen gedeeltelijk.

Voor bedrijven die al AVG-conform zijn, is dat een voordeel: een deel van de methode (verwerkingsregister, risicoanalyse, governance) is overdraagbaar.

Hoe u uw bedrijf nu al kunt voorbereiden

1. AI-inventaris: breng alle AI-systemen in kaart die in uw bedrijf worden gebruikt, ook die in software van derden
2. Risicoclassificatie: bepaal de risicocategorie van elk systeem
3. Gap-analyse: identificeer de toepasselijke verplichtingen en de huidige tekortkomingen
4. Actieplan: plan de maatregelen voor hoog risico tegen 2 december 2027
5. AI-geletterdheid: maak directie en gebruikers bewust van de mogelijkheden en de risico's, en documenteer wat u doet

TrAInyng begeleidt u naar AI-compliance

TrAInyng heeft een training over de EU AI Act ontwikkeld voor Belgische bedrijven. De aanpak is praktisch en de formats zijn flexibel (lunch & learn, halve dag, conferentie), zodat u uw verplichtingen snel begrijpt en kunt handelen.

Het aanbod omvat:

• Gratis AI-diagnose: evalueer uw maturiteit en uw blootstelling aan de AI Act
• Training EU AI Act: het regelgevend kader en de gevolgen voor uw activiteiten
• Consultancy AI-governance: inventaris, classificatie en AI-charter op maat
• Praktische AI: AI in uw processen integreren binnen het wettelijk kader

Begin met het evalueren van uw situatie via onze gratis diagnose:

Doe uw gratis AI-diagnose

Of ontdek onze AI- en automatiseringsdiensten voor volledige begeleiding.