De AI Act en AI-agents: wat een maak- of handelsbedrijf moet regelen

Wat is de AI Act, en ben je aanbieder of gebruiksverantwoordelijke?

De AI-verordening, Verordening (EU) 2024/1689, regelt AI-systemen naar risico. Ze onderscheidt de aanbieder, die een AI-systeem ontwikkelt of laat ontwikkelen en onder eigen naam of merk in de handel brengt of in gebruik stelt, en de gebruiksverantwoordelijke, die een AI-systeem onder eigen verantwoordelijkheid gebruikt. Een bedrijf dat een agent in zijn bedrijfsvoering gebruikt, is in elk geval gebruiksverantwoordelijke.

Wie aanbieder is van een agent die een externe partij bouwt en die jij onder je eigen merk inzet, hangt af van de opzet, bijvoorbeeld wie het doel bepaalt en wiens naam erop staat. Laat dat voor jouw situatie beoordelen; de verplichtingen verschillen per rol.

Welke data gelden nu?

De AI-verordening is op 1 augustus 2024 in werking getreden en gaat in fasen gelden. De Digitale omnibus inzake AI, Verordening (EU) 2026/1744 van 8 juli 2026, van kracht sinds 27 juli 2026, verschoof de data voor hoog risico: 2 december 2027 voor toepassingen uit bijlage III en 2 augustus 2028 voor AI in producten onder bijlage I.

Data van de AI-verordening na de Digitale omnibus inzake AI (stand oktober 2026)

Moet een chatbot of AI-agent zeggen dat hij AI is?

Ja. Volgens artikel 50 moeten AI-systemen die direct met mensen communiceren zo zijn ontworpen dat mensen weten dat ze met AI te maken hebben, tenzij dat duidelijk is. De richtsnoeren van de Commissie van 20 juli 2026 noemen chatbots in de klantenservice uitdrukkelijk, en helpdeskchatbots kunnen zich niet beroepen op de uitzondering dat het duidelijk is. Volgens de Commissie moeten AI-agents ook melden namens wie ze handelen.

• Hoe: bijvoorbeeld een chatbot die het gesprek opent met de melding dat hij op AI draait, een AI-label boven een e-mail die een agent verstuurt, of een spraakassistent die het aan het begin zegt.
• Wanneer: uiterlijk bij de eerste interactie.
• De plicht om dit in het ontwerp te regelen ligt bij de aanbieder; als gebruiksverantwoordelijke zorg je dat de agent die je gebruikt het doet.
• Medewerkers die AI gebruiken om klanten te schrijven, en het gecontroleerde bericht zelf versturen, vallen niet onder directe interactie met AI.
• Volgens de Commissie vallen productomschrijvingen en reclameteksten die met AI zijn geschreven buiten de labelplicht voor gepubliceerde tekst; claims over bijvoorbeeld gezondheid, veiligheid of duurzaamheid vallen niet onder dat voorbeeld, dus controleer die apart.

Wat vraagt AI-geletterdheid van je bedrijf?

Artikel 4, zoals gewijzigd door de Omnibus, verplicht aanbieders en gebruiksverantwoordelijken maatregelen te nemen om de AI-geletterdheid te ondersteunen van personeel en anderen die namens hen AI gebruiken, zonder een bepaald niveau te hoeven waarborgen. Volgens de Commissie zijn een certificaat en een AI-functionaris niet nodig; je kunt trainingen intern vastleggen.

• Het geldt ook voor dagelijks gebruik: medewerkers die ChatGPT gebruiken voor reclameteksten moeten weten van risico's zoals hallucinaties.
• Het kan ook gelden voor opdrachtnemers, dienstverleners of klanten die namens jou AI gebruiken.
• Alleen de gebruiksaanwijzing laten lezen is vaak niet genoeg, aldus de Commissie. Train op de specifieke risico's van de systemen die je gebruikt.
• Het toezicht ligt bij nationale markttoezichtautoriteiten, vanaf 2 augustus 2026.

Heeft een agent voor verkoop, service of orderstatus een hoog risico?

Niet vanwege dat doel: klantenservice, leadkwalificatie, orderstatus en interne vragen over ERP of CRM staan niet in bijlage III. De indeling volgt het beoogde doel, dus dezelfde agent krijgt een hoog risico als je hem sollicitanten laat filteren. Bijlage III noemt onder meer werving, besluiten over personeel, emotieherkenning en kredietscores van natuurlijke personen.

• Werk: AI om mensen te werven of te selecteren, sollicitaties te analyseren en te filteren, of te beslissen over promotie of ontslag, taken toe te wijzen op basis van gedrag of kenmerken, of prestaties en gedrag van medewerkers te monitoren en te beoordelen.
• Krediet: AI die de kredietwaardigheid van natuurlijke personen beoordeelt. Kredietchecks op rechtspersonen vallen buiten dit punt; een eenmanszaak is een natuurlijk persoon.
• Uitzonderingen in artikel 6, lid 3: een systeem uit bijlage III heeft geen hoog risico als het de uitkomst niet wezenlijk beïnvloedt, bijvoorbeeld bij een beperkte procedurele taak. Een systeem uit bijlage III dat personen profileert, heeft altijd een hoog risico.
• Gebruiksverantwoordelijken van systemen met een hoog risico moeten onder meer de gebruiksaanwijzing volgen, menselijk toezicht opdragen aan bekwame mensen, het systeem monitoren, logs ten minste zes maanden bewaren en medewerkers informeren voordat ze het op de werkvloer inzetten.
• Fabrikanten: de Omnibus verplaatste machines naar afdeling B van bijlage I, waardoor de AI-eisen voor machines via de Machineverordening komen (gedelegeerde handelingen die uiterlijk 2 augustus 2028 gelden) en niet rechtstreeks uit de AI-verordening. AI die alleen dient voor niet-veiligheidsaspecten zoals gebruikersondersteuning, efficiëntie of kwaliteitscontrole is geen veiligheidscomponent, tenzij een storing de gezondheid of veiligheid in gevaar brengt.

• Human in the loop: welke acties van een agent goedkeuring vragen

Welke AI-toepassingen zijn verboden?

Sinds 2 februari 2025 onder meer: AI die mensen manipuleert of misleidt op een manier die aanzienlijke schade veroorzaakt, AI die kwetsbaarheden zoals leeftijd of iemands economische situatie uitbuit met aanzienlijke schade, sociale scoring, en AI die emoties van medewerkers op de werkvloer afleidt, behalve om medische of veiligheidsredenen.

Voor een verkoop- of serviceagent betekent dat: geen manipulatieve of misleidende technieken die klanten tot schadelijke beslissingen duwen die ze anders niet zouden nemen, en geen analyse van de stemming van je eigen medewerkers tijdens gesprekken.

Hoe hoog zijn de boetes?

Tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet voor verboden praktijken, en tot 15 miljoen euro of 3 procent bij overtreding van genoemde verplichtingen, waaronder transparantie (artikel 50) en de plichten van gebruiksverantwoordelijken van systemen met een hoog risico (artikel 26). Voor het mkb geldt het laagste van de twee bedragen. De precieze nationale sancties volgen uit de Nederlandse uitvoeringswet.

Wie houdt toezicht in Nederland?

Dat ligt nog niet in de wet vast. Het kabinet stelt tien bestaande toezichthouders voor, met de Autoriteit Persoonsgegevens (AP) en de Rijksinspectie Digitale Infrastructuur (RDI) in een coördinerende rol, en de AP als toezichthouder op de transparantieregels. De uitvoeringswet staat gepland voor indiening bij de Kamer in het tweede kwartaal van 2027. De verplichtingen gelden toch al, omdat de verordening rechtstreeks werkt.

• De RDI is voorgesteld als centraal contactpunt voor burgers en bedrijven.
• De AVG blijft naast de AI-verordening gelden, ook de regels over geautomatiseerde besluiten over personen.
• Sommige overheidspagina's tonen nog data van vóór de Omnibus. De data op deze pagina volgen de gewijzigde verordening.

Wat regel je nu voor een AI-agent?

1. 01

   Breng je AI-gebruik in kaart

   Welke agents en AI-tools gebruik je, waarvoor, en wie is aanbieder en wie gebruiksverantwoordelijke? Kijk of een doel in bijlage III staat.

2. 02

   Zeg dat mensen met AI praten

   Zorg dat elke chatbot en agent voor klanten dat bij de eerste interactie meldt, bijvoorbeeld met een AI-label op e-mails die een agent zelf verstuurt.

3. 03

   Regel AI-geletterdheid

   Geef medewerkers die met AI werken een korte training over de risico's en leg die vast.

4. 04

   Houd grip op acties

   Goedkeuring voor acties met impact en een log van wat de agent doet passen bij het doel van menselijk toezicht, ook waar de AI-verordening het niet eist.

5. 05

   Controleer de AVG

   Persoonsgegevens in gesprekken vallen nog steeds onder de AVG, inclusief een verwerkersovereenkomst met elke leverancier die namens jou persoonsgegevens verwerkt.

• Human in the loop: welke acties van een agent goedkeuring vragen