De AI-verordening (Verordening (EU) 2024/1689) legt de meeste plichten bij de aanbieder: de partij die een AI-systeem ontwikkelt of laat ontwikkelen en het onder eigen naam op de markt brengt. Bouwt je bureau een chatbot of zoekfunctie onder de naam van de klant, dan is de klant meestal aanbieder en regel jij de techniek.
Verkoop je een eigen AI-product, dan ben je zelf aanbieder. De transparantieregels voor chatbots en gegenereerde content gelden sinds 2 augustus 2026. De regels voor AI met een hoog risico zijn door de Digitale omnibus inzake AI uitgesteld.
De verordening geldt rechtstreeks in Nederland en de hele EU, dus ook voor klanten in België.
Wanneer gelden welke regels?
De verordening gaat in stappen in. De Digitale omnibus inzake AI (Verordening (EU) 2026/1744) is op 27 juli 2026 in werking getreden en heeft een deel van de data verschoven.
| Wat | Vanaf |
|---|---|
| Verboden AI-praktijken (artikel 5) en AI-geletterdheid (artikel 4) | 2 februari 2025 |
| Plichten voor aanbieders van AI-modellen voor algemene doeleinden | 2 augustus 2025 |
| Transparantie voor chatbots en gegenereerde content (artikel 50) | 2 augustus 2026 |
| Markering van content door generatieve systemen die al vóór die datum op de markt waren | uiterlijk 2 december 2026 |
| Nieuwe verboden van de omnibus, zoals apps die zonder toestemming naaktbeelden maken | 2 december 2026 |
| Hoog risico, losse systemen uit bijlage III | 2 december 2027 |
| Hoog risico, AI in producten uit bijlage I (machines, medische hulpmiddelen) | 2 augustus 2028 |
Is mijn bureau aanbieder of gebruiksverantwoordelijke?
De verordening kent twee hoofdrollen (artikel 3 punt 3 en 4 AI-verordening):
- Aanbieder. Ontwikkelt een AI-systeem of laat het ontwikkelen en brengt het onder eigen naam of merk op de markt of stelt het in gebruik, betaald of gratis. Draagt de meeste plichten.
- Gebruiksverantwoordelijke. Gebruikt een AI-systeem onder eigen verantwoordelijkheid in zijn bedrijf. Heeft vooral plichten bij systemen met een hoog risico en bij deepfakes.
| Situatie | Wie is aanbieder |
|---|---|
| Je bouwt een AI-assistent in de app van de klant, onder zijn merk | De klant |
| Je verkoopt een eigen SaaS-product met AI-functies | Je bureau |
| Je levert een AI-component dat je aan meerdere klanten in licentie geeft | Afhankelijk van onder wiens naam het systeem op de markt komt; leg het vast in de licentie |
| Je gebruikt AI-tools intern om sneller code te schrijven | Je bureau is gebruiksverantwoordelijke |
Welke regels gelden voor een chatbot of generatieve AI?
Artikel 50 AI-verordening raakt de functies die bureaus het vaakst bouwen:
- Chatbots en assistenten. De aanbieder zorgt dat mensen weten dat ze met een AI-systeem praten, tenzij dat voor een oplettende gebruiker al duidelijk is (lid 1).
- Gegenereerde tekst, beeld, audio en video. De aanbieder zorgt dat de output in een machineleesbaar formaat is gemarkeerd als kunstmatig gegenereerd of gemanipuleerd (lid 2). Kleine bewerkingen, zoals standaard tekstcorrectie, vallen erbuiten.
- Emotieherkenning en biometrische categorisering. De gebruiksverantwoordelijke informeert de mensen die eraan worden blootgesteld (lid 3).
- Deepfakes en tekst over zaken van algemeen belang. De gebruiksverantwoordelijke maakt bekend dat de content kunstmatig is (lid 4).
Wanneer is een AI-toepassing hoog risico?
Hoog risico zijn onder meer AI-systemen voor de toepassingen uit bijlage III van de verordening:
- biometrie, voor zover toegestaan;
- kritieke infrastructuur;
- onderwijs en beroepsopleiding, zoals toelating en beoordeling;
- werk en personeel, zoals cv-screening en beoordeling van medewerkers;
- toegang tot essentiële diensten en uitkeringen, zoals kredietwaardigheid;
- rechtshandhaving, migratie, rechtspraak en democratische processen.
Voor zulke systemen moet de aanbieder onder meer risicobeheer, eisen aan trainingsdata, technische documentatie, logging, menselijk toezicht en nauwkeurigheid regelen (artikelen 9 tot en met 15 AI-verordening). Kmo’s mogen de technische documentatie in vereenvoudigde vorm aanleveren, en sinds de omnibus geldt dat ook voor kleine midcaps (artikel 11 lid 1 AI-verordening).
Wat moet je bureau nu al doen?
- Maak een lijst van alle AI-functies die je bureau bouwt of beheert, per klant.
- Bepaal per functie de aanbieder. Onder wiens naam draait het? Leg het vast in het contract.
- Check artikel 50. Melding bij chatbots, markering van gegenereerde content, vooral bij systemen die al voor 2 augustus 2026 live stonden.
- Check op hoog risico. Zit er iets tussen dat mensen beoordeelt voor werk, onderwijs of krediet? Dan geldt vanaf 2 december 2027 een zwaar regime.
- Regel AI-geletterdheid. Sinds de omnibus moeten aanbieders en gebruiksverantwoordelijken maatregelen nemen om de AI-kennis van hun mensen te ondersteunen. Een vast niveau is niet meer vereist (artikel 4 AI-verordening). Een korte interne training met een vastgelegd verslag is een begin.
Hoe hoog zijn de boetes?
| Overtreding | Maximale boete |
|---|---|
| Verboden AI-praktijken (artikel 5) | 35 miljoen euro of 7% van de wereldwijde jaaromzet, als dat hoger is |
| Plichten van aanbieders en gebruiksverantwoordelijken, transparantie (artikel 50) | 15 miljoen euro of 3% van de wereldwijde jaaromzet, als dat hoger is |
Voor kmo’s geldt het laagste van de twee bedragen (artikel 99 lid 6 AI-verordening).
Wat betekent dit voor de code van je bureau?
AI-code die je bureau zelf bezit, wordt meer waard als de rollen helder zijn. Drie punten:
- Eigen AI-componenten. Een RAG-pipeline, een classificatiemodule of een promptlaag die je bij meerdere klanten inzet, kun je in licentie geven. Schrijf in de licentieovereenkomst wie aanbieder is en wie de markering en melding uit artikel 50 regelt.
- Documentatie als bezit. Technische documentatie, testsets en logging die je nu voor de AI-verordening maakt, horen bij de code en verhogen de waarde bij verkoop of licentie.
- Je code als trainingsdata. Wil een AI-bedrijf je code gebruiken om modellen te trainen, dan is dat een aparte deal. Zie code voor AI-training.
Wat AI verder verandert aan je bureau, lees je op AI en bureaus. Wat je bestaande code waard is, staat op wat is code waard.