GDPR, AI Act en meer: waar moet je als Nederlandse ondernemer op letten in 2026?

De AI Act begrijpen: wat betekent dit voor jouw bedrijf?

Per 2 februari 2025 gelden de eerste regels van de EU AI Act, de eerste uitgebreide AI-wetgeving ter wereld. Dit klinkt misschien intimiderend, maar voor de meeste MKB-bedrijven valt de impact mee. De wet categoriseert AI-systemen op basis van risico, van verboden toepassingen tot minimaal-risico systemen die vrijwel geen extra eisen kennen.

Het goede nieuws? De meeste AI-tools die jij als MKB'er gebruikt, zoals spamfilters, voorraadoptimalisatie en AI-tekstverwerking, vallen onder 'minimaal risico' en hebben geen specifieke AI Act-vereisten voor het systeem zelf. Wel geldt sinds 2 februari 2025 voor elk bedrijf dat AI inzet een algemene plicht: neem maatregelen die de AI-geletterdheid van je medewerkers ondersteunen. Alleen als je AI inzet voor HR-beslissingen zoals sollicitatiescreening, kredietbeoordelingen of andere 'hoog-risico' toepassingen, gelden vanaf 2 december 2027 strenge documentatie- en toezichtseisen. Gebruik je een chatbot op je website? Dan valt dit onder 'beperkt risico' en is de belangrijkste regel simpel: wees transparant en laat klanten weten dat ze met AI communiceren.

GDPR blijft de basis, ook bij AI

De GDPR (in het Nederlands: de AVG, Algemene verordening gegevensbescherming) is niet verdwenen nu de AI Act er is. Integendeel, beide wetten werken samen en versterken elkaar. Voor AI-toepassingen betekent dit dat je niet zomaar alle klantdata in een slimme tool kunt stoppen zonder na te denken over de rechtsgrondslag. Heb je toestemming van je klanten? Is de dataverwerking noodzakelijk voor je dienstverlening? Dit zijn vragen die je vooraf moet beantwoorden.

De Autoriteit Persoonsgegevens (AP) houdt toezicht op de AVG, ook als je AI gebruikt, en is sinds 2023 bovendien coördinerend toezichthouder op algoritmes en AI. Werk je met AI in een sector waar veel persoonsgegevens verwerkt worden, zoals detailhandel, zorg of financiële dienstverlening, dan is zorgvuldigheid extra belangrijk. De boetes kunnen oplopen tot 20 miljoen euro of 4% van je wereldwijde jaaromzet, als dat hoger is. Voor het MKB kan zo'n boete existentieel zijn. Investeren in compliance is dus geen luxe maar een noodzaak.

Privacy by design en het recht op uitleg

'Privacy by design' klinkt als buzzword, maar het is een harde GDPR-eis die bij AI extra belangrijk wordt. Dit betekent dat je vanaf het allereerste moment van een AI-project privacy moet meenemen in je ontwerp. Denk na: welke data heb je écht nodig? Kun je anonimiseren? Hoe lang bewaar je gegevens? Deze vragen beantwoord je niet achteraf, maar voordat je begint.

Daarnaast krijgt het 'recht op uitleg' extra gewicht bij AI-toepassingen. Als je AI-beslissingen neemt die grote impact hebben op mensen, bijvoorbeeld iemand weigeren voor een dienst, een sollicitant afwijzen of een krediet niet verstrekken, moet je kunnen uitleggen hoe die beslissing tot stand kwam. "De AI zei nee" is geen geldig antwoord meer. Dit betekent dat je moet kunnen achterhalen welke factoren de AI gebruikte en waarom. Voor veel MKB'ers betekent dit: kies voor AI-tools die transparant zijn over hun besluitvorming, of zorg dat er altijd menselijke controle blijft op belangrijke beslissingen.

Bias en discriminatie

Let ook op bias en discriminatie. AI-systemen leren van historische data, en als die data vooroordelen bevat, zal de AI die reproduceren. Een AI-recruitmenttool die getraind is op data van een voornamelijk mannelijk personeelsbestand kan onbewust vrouwelijke kandidaten lager scoren. Als MKB'er ben je verantwoordelijk om dit soort risico's te monitoren en te corrigeren. Test je AI-systemen regelmatig op eerlijke uitkomsten en diversiteit, en documenteer deze tests.

Praktische stappen om compliant te blijven

De theorie is één ding, maar hoe pak je dit praktisch aan? Start met een simpele inventarisatie: welke persoonsgegevens gebruikt jouw AI-systeem precies? Maak een lijst van alle databronnen (klantgegevens, personeelsinfo, leveranciersdata) en bepaal per categorie wat je rechtsgrondslag is. Voor sommige verwerkingen heb je toestemming nodig, voor andere volstaat een gerechtvaardigd belang of contractuele noodzaak.

Documentatie is je beste vriend bij een eventuele controle of klacht. Houd bij waarom je bepaalde AI-keuzes maakt, welke leveranciers je gebruikt, en hoe je systemen werken. Update je privacyverklaring zodat klanten weten dat en hoe je AI inzet. En vergeet je medewerkers niet: zij moeten ook begrijpen wat wel en niet mag met klantdata. Een simpele interne richtlijn over AI-gebruik voorkomt veel problemen. Tot slot: schakel bij twijfel juridische expertise in, vooral als je AI wilt gebruiken voor HR of kredietbeslissingen. De kosten van compliance zijn altijd lager dan die van een boete of reputatieschade.

Concreet kun je deze checklist doorlopen voordat je met AI aan de slag gaat.

1. Voer een Data Protection Impact Assessment (DPIA) uit als je verwerking waarschijnlijk een hoog privacyrisico oplevert, bijvoorbeeld omdat je gevoelige gegevens met AI verwerkt. Dit klinkt ingewikkeld, maar de Autoriteit Persoonsgegevens helpt je op weg met een lijst van verwerkingen waarvoor een DPIA verplicht is, 9 criteria om je risico in te schatten en een DPIA-checklist.
2. Zorg voor heldere opt-in mechanismes als je toestemming nodig hebt: pre-aangevinkte vakjes zijn niet toegestaan.
3. Implementeer technische beveiligingsmaatregelen zoals encryptie, toegangscontroles en regelmatige backups.

Vergeet ook de meldplicht voor datalekken uit de AVG niet. Bij een datalek moet je binnen 72 uur de AP informeren als er risico is voor de rechten en vrijheden van personen. Heb je een incident-response plan klaar voor als je AI-systeem gelekt wordt of gehackt? Wie neemt welke stappen? Hoe communiceer je met getroffen klanten? Voorbereiding scheelt enorm veel stress en mogelijke schade.

Ten slotte: blijf op de hoogte. De AI-wetgeving ontwikkelt zich snel en er komen regelmatig verduidelijkingen en nieuwe richtlijnen bij. Volg nieuwsbronnen over privacy en AI, overweeg lidmaatschap van een branchevereniging die updates deelt, of schakel een privacy-expert in voor een jaarlijkse compliance-check. Investeer je nu in goede processen, dan kun je met een gerust hart profiteren van alle voordelen die AI je bedrijf kan bieden.