ai-act-en-je-website.md
De AI Act en je website: wat moet je als mkb'er echt doen?
Beeld gegenereerd met AI

De AI Act en je website: wat moet je als mkb'er echt doen?

Datum
16-11-2026
Leestijd
7 min
Tags

Wat er sinds augustus veranderd is

"Ik wil de berichten uit m'n contactformulier automatisch laten indelen: prospect, bestaande klant, leverancier of spam. Kan dat, en mag dat eigenlijk nog nu die AI Act er is?"

Die vraag kreeg ik onlangs van een klant, en hij staat niet alleen. Sinds 2 augustus 2026 gelden de transparantieregels uit artikel 50 van de Europese AI Act, in het Nederlands de AI-verordening. Dat staat zwart op wit in de vragen en antwoorden van de Europese Commissie. Sindsdien komt het steeds op hetzelfde neer: moet ik iets met mijn website?

Het eerlijke antwoord is dat het afhangt van wat er op die website gebeurt. Een site met teksten en foto's die mensen hebben gemaakt, en verder geen AI, valt voor zover ik kan zien niet onder de AI Act. De verplichtingen gaan namelijk over AI-systemen: systemen die met mensen praten, systemen die inhoud genereren, en wat je met die gegenereerde inhoud doet.

Dat formulier van de klant valt er grotendeels buiten. Zo'n indeling praat niet met bezoekers en maakt niets wat je publiceert, dus technisch kan het prima en de AI Act vraagt er weinig meer bij dan dat je weet wat het systeem doet. Of het mag, hangt vooral af van de AVG, want in zo'n formulier staan persoonsgegevens. Let dan in elk geval op waar die gegevens heen gaan, en of je een verwerkersovereenkomst hebt met de leverancier van het AI-systeem. Verder gaat dit stuk niet over de AVG; die wet geldt natuurlijk gewoon.

Gebruik je wel AI op of voor je site, dan zijn er drie situaties om op te letten. Los daarvan is er een vierde, die over je mensen gaat in plaats van over je website.

Een chatbot op je site

Praat een AI-systeem rechtstreeks met je bezoekers, dan moeten die vanaf het begin van het eerste gesprek weten dat ze met AI te maken hebben. Alleen als dat voor een normaal geïnformeerde bezoeker overduidelijk is, hoeft het niet. De Commissie zegt er nadrukkelijk bij dat die uitzondering beperkt wordt uitgelegd. Een chatvenster met een menselijke naam en een foto is dus niet "overduidelijk".

Formeel ligt deze plicht bij de aanbieder van het systeem: wie het ontwikkelt of laat ontwikkelen en onder eigen naam aanbiedt. Gebruik je een kant-en-klare chatbot van een leverancier, dan ben je volgens advocatenkantoor Stibbe gebruiksverantwoordelijke, en zou de leverancier de melding moeten regelen. Laat je de chatbot bouwen en zet je hem onder je eigen naam online, dan kun je zelf aanbieder zijn. Dat grensgeval is niet overal even scherp beschreven.

In mijn ogen hoef je daar niet lang over na te denken. Zet een duidelijke regel bovenaan het chatvenster, of controleer dat je leverancier dat doet. Het kost niets en dan zit je goed, welke rol je ook hebt.

Beeld en video gemaakt met AI

Hier ligt de plicht wel bij jou. Publiceer je een deepfake, dan moet je dat zichtbaar of hoorbaar melden, uiterlijk op het moment dat iemand het voor het eerst ziet of hoort. Een onzichtbaar watermerk dat de beeldgenerator erin stopt, telt daarvoor niet.

Wat is een deepfake? Volgens de Commissie is dat AI-beeld, -geluid of -video dat lijkt op bestaande of plausibel bestaande personen, voorwerpen, plaatsen of gebeurtenissen, en dat iemand ten onrechte de indruk geeft dat het echt is. De context telt mee, en ook wat je publiek verwacht. Een realistische foto van een "tevreden klant" die nooit heeft bestaan, valt er in mijn ogen zo onder. Een overduidelijk fantasiebeeld of een satirische tekening krijgt een lichtere regel: een passende melding die het werk niet verpest.

Twee praktische punten. Het machineleesbaar markeren van AI-beeld is de taak van de maker van de generator, niet van jou; bestaande systemen hebben daar nog tot 2 december 2026 voor. En beeld dat vóór 2 augustus 2026 is gemaakt, hoef je volgens de Commissie niet alsnog te labelen, al moedigt ze het waar mogelijk wel aan.

Tekst geschreven met AI

Voor de meeste mkb-sites is dit het kortste stuk: productpagina's en dienstomschrijvingen vallen er niet onder. De labelplicht voor tekst is namelijk smal. Hij gaat alleen over AI-tekst die je publiceert om het publiek te informeren over onderwerpen van algemeen belang, en de Commissie noemt als voorbeelden politiek, volksgezondheid en consumentenveiligheid.

En zelfs dan is er een uitzondering. Heeft een mens de tekst inhoudelijk beoordeeld, en draagt iemand de eindverantwoordelijkheid voor de publicatie, dan hoeft het label niet. Een spellingscheck of een snelle blik telt niet als beoordeling.

Schrijf je wel over gezondheid of veiligheid, bijvoorbeeld in een blog? Laat zo'n tekst dan nakijken door iemand die er echt verantwoordelijk voor is, of zet er een label bij.

AI-geletterdheid van je mensen

Deze plicht bestaat al langer: sinds 2 februari 2025 vraagt artikel 4 van de AI Act dat organisaties die AI inzetten iets doen aan de AI-kennis van hun mensen. Met de Digital Omnibus, Verordening (EU) 2026/1744, is die tekst sinds 27 juli 2026 aangepast. Je moet nu maatregelen nemen om de AI-geletterdheid van je personeel te ondersteunen, maar je hoeft geen bepaald kennisniveau per persoon te garanderen (Law & Technology, Cooley).

Werk je als zzp'er, dan geld je volgens de Commissie gewoon als gebruiksverantwoordelijke zodra je AI beroepsmatig inzet. De plicht gaat over je personeel en over mensen die namens jou met AI werken, zoals onderaannemers. Werk je helemaal alleen, dan valt er weinig te regelen: zorg dat je zelf weet wat je AI-tools doen en waarvoor je ze inzet, een korte notitie daarvan is een verstandige stap.

Heb je wel mensen in dienst of besteed je werk uit, leg dan kort vast wat je doet: een training, een interne afspraak, een overzicht van welke tools je gebruikt en waarvoor. Ook de Autoriteit Persoonsgegevens raadt aan je aanpak en voortgang vast te leggen (Salaris Vanmorgen over de AP-handreiking).

Wat kost het als je het niet doet

Een overtreding van artikel 50 kan een boete opleveren tot 15 miljoen euro of 3% van de wereldwijde jaaromzet. Voor mkb'ers en start-ups geldt het laagste van die twee (artikel 99). Artikel 4 staat niet in die boetelijst. Dat betekent niet dat er nooit een sanctie op kan staan: lidstaten stellen namelijk zelf de sancties vast voor overtredingen van de verordening, en kunnen dus ook artikel 4 handhaven. Wat Nederland daarmee doet, hangt af van de uitvoeringswet hieronder.

Wie er in Nederland toezicht op houdt, ligt nog niet helemaal vast. Het kabinet bracht in april 2026 de Uitvoeringswet AI-verordening in consultatie. Bestaande toezichthouders gaan AI binnen hun eigen terrein in de gaten houden, de Autoriteit Persoonsgegevens neemt de gebieden zonder duidelijke toezichthouder voor haar rekening, en de AP en de RDI coördineren. In oktober 2026 werd volgens Dutch IT Channel nog aan die wet gewerkt.

Kortom: zo pak je het aan

  • Maak een lijst van alle AI op en achter je site: chatbot, zoekfunctie, gegenereerde teksten, beelden en video.
  • Heb je een chatbot, zorg dan voor een duidelijke AI-melding bij het begin van elk gesprek.
  • Label realistisch AI-beeld van mensen, plekken of gebeurtenissen zichtbaar.
  • Laat AI-teksten over onderwerpen van algemeen belang inhoudelijk nakijken, of label ze.
  • Leg vast wat je doet aan AI-geletterdheid en houd dat bij.

Volgende week loop ik dit lijstje na voor m'n eigen site.

Dit is geen juridisch advies; daarvoor blijft een jurist het juiste adres. Wel is het, denk ik, voor de meeste mkb-websites minder werk dan de verhalen doen vermoeden. Twijfel je bij je eigen site? Stuur me gerust een bericht.

Bronnen