Een lijst van je AI-toepassingen
Welke tools worden waarvoor gebruikt, door wie en met welke gegevens. Zonder dit overzicht kun je geen enkele vraag van een klant of toezichthouder beantwoorden.
AI Act voor het MKB: wat je echt moet regelen
De AI Act klinkt als iets voor grote techbedrijven, maar hij geldt ook als je gewoon een chatbot op je website zet of cv's laat voorsorteren. Het goede nieuws: voor de meeste MKB-toepassingen blijft het bij transparantie en een paar afspraken op papier. Hieronder wat er voor jou geldt en wat je concreet regelt. Dit is een praktische uitleg en geen juridisch advies.
Vier categorieen, en waar jij waarschijnlijk in valt
De wet kijkt naar het risico van de toepassing, niet naar de techniek. Dezelfde tool kan in het ene proces onschuldig zijn en in het andere zwaar gereguleerd.
| Categorie | Voorbeelden | Wat het van je vraagt |
|---|---|---|
| Verboden | Emotieherkenning op de werkvloer, sociale scoring | Niet gebruiken, ongeacht toestemming |
| Hoog risico | Selectie van sollicitanten, kredietbeoordeling, toegang tot voorzieningen | Risicobeoordeling, menselijk toezicht, logging en documentatie |
| Transparantieplicht | Chatbots, gegenereerde teksten, beelden en video | Duidelijk maken dat het om AI gaat en gegenereerd materiaal markeren |
| Minimaal risico | Samenvatten, sorteren, concepten schrijven, documenten doorzoeken | Geen specifieke verplichtingen, wel gewoon de AVG |
Zes dingen die je vastlegt
Zichtbaar melden dat het AI is
Bij chatbots en gegenereerde content. Eén regel tekst volstaat, maar hij moet er staan voordat iemand het gesprek begint.
Verwerkersovereenkomsten
Met elke leverancier waar persoonsgegevens doorheen lopen. Leg ook vast of jouw data gebruikt mag worden om modellen te trainen, en zet dat standaard uit.
Menselijk toezicht op zwaardere beslissingen
Bij alles wat gevolgen heeft voor een persoon moet een mens de eindbeslissing nemen en die ook kunnen onderbouwen.
Logging van wat het systeem deed
Bewaar invoer, uitvoer en het tijdstip, zodat je achteraf kunt reconstrueren waarom iets is besloten. Ook handig als het systeem gewoon een fout maakt.
Basiskennis bij je medewerkers
Iedereen die met AI werkt moet weten wat het systeem wel en niet kan en wat er niet in mag. Een dagdeel training plus een korte richtlijn is voor het MKB voldoende.
Waar de AI Act de AVG raakt
In de praktijk levert de AVG voor MKB-bedrijven vaker problemen op dan de AI Act zelf. Zodra je klantgegevens, personeelsgegevens of gespreksopnames door een AI-dienst haalt, is dat een verwerking waar je een grondslag en een overeenkomst voor nodig hebt.
Let vooral op drie punten: waar de verwerking fysiek plaatsvindt, hoe lang gegevens bewaard blijven bij de leverancier en of jouw invoer gebruikt wordt voor training. Zakelijke abonnementen zetten dat laatste meestal uit, gratis accounts vaak niet.
Voor gevoelige gegevens, bijvoorbeeld in de zorg, is verwerking binnen de EU of een eigen omgeving vaak de eenvoudigste route. Dat kost meer, maar scheelt een discussie die je anders elk jaar opnieuw voert.
Drie hardnekkige misverstanden
De AI Act verbiedt AI in het MKB
Verreweg de meeste MKB-toepassingen vallen onder minimaal risico of transparantie. Verboden toepassingen zijn een korte, specifieke lijst.
Mijn leverancier regelt het wel
Als gebruiker heb je een eigen verantwoordelijkheid voor hoe je het systeem inzet. Een leverancier kan dat niet volledig van je overnemen.
Het geldt pas over een paar jaar
De verplichtingen komen gefaseerd, maar het regelen van je overzicht, overeenkomsten en transparantie kost weinig en voorkomt haastwerk later.
Veelgestelde vragen
Val ik onder hoog risico als ik AI gebruik bij werving?
Systemen die sollicitanten filteren of rangschikken worden als hoog risico gezien. Gebruik je AI alleen om een vacaturetekst te schrijven, dan niet. De grens ligt bij het beoordelen van personen.
Moet ik een AI-register bijhouden?
Een formeel register is niet voor iedereen verplicht, maar een eenvoudig overzicht van toepassingen, doelen en leveranciers is het minimum om aantoonbaar in control te zijn. Een spreadsheet volstaat.
Mag ik ChatGPT gebruiken met klantgegevens?
Met een zakelijk abonnement, een verwerkersovereenkomst en training uitgeschakeld kan dat vaak. Met een gratis privéaccount vrijwel nooit. Leg intern vast welk account gebruikt mag worden.
Wat als een AI-systeem een fout maakt richting een klant?
Je blijft als organisatie verantwoordelijk. Zorg daarom dat je kunt terugzien wat er is gebeurd, dat er een mens tussen zit bij gevolgen die ertoe doen, en dat het systeem stopt in plaats van gokt bij twijfel.
Twijfel je of jouw toepassing binnen de lijnen blijft?
Vertel in twintig minuten wat je wilt inzetten en met welke gegevens, dan lopen we samen de categorieen en de praktische maatregelen langs.
Liever mailen? hello@triplebird.nl