De AI-verordening en je personeel: wat er sinds 27 juli 2026 werkelijk geldt
Laatst gecontroleerd: 17 augustus 2026
Heb je de afgelopen maanden iets over de AI-verordening gelezen, dan is de kans groot dat het niet meer klopt. Er staat op dit moment veel op internet dat verwijst naar een wettekst die sinds 27 juli 2026 niet meer bestaat.
Deze pagina zet op een rij wat er wél geldt. Zonder dreigende boetebedragen die nergens op slaan, en zonder de suggestie dat je morgen in de problemen zit.
Wat er op 27 juli 2026 veranderde
Op 24 juli 2026 is de Digital Omnibus gepubliceerd — Verordening (EU) 2026/1744 — en op 27 juli 2026 trad die in werking. Daarmee is artikel 4 van de AI-verordening, de bepaling over AI-geletterdheid, herschreven.
Verplichtte organisaties om naar beste vermogen een toereikend niveau van AI-geletterdheid te waarborgen bij hun personeel.
Vraagt om maatregelen te nemen ter ondersteuning van de ontwikkeling van AI-geletterdheid. Daaraan is een zin toegevoegd die geen ruimte laat voor misverstand: de bepaling vereist niet dat je enig specifiek niveau van AI-geletterdheid bij enig individu garandeert.
Kort gezegd: een resultaatsverplichting is een inspanningsverplichting geworden. Je moet iets doen. Je hoeft geen uitkomst te garanderen.
Vier dingen die je waarschijnlijk verkeerd hebt gelezen
“Je moet aantoonbare AI-geletterdheid kunnen bewijzen.”
Niet meer. Sinds 27 juli 2026 staat het tegenovergestelde in de verordening: de bepaling vereist niet dat je enig specifiek niveau van AI-geletterdheid bij enig individu garandeert. Wie je vandaag een certificaat verkoopt als wettelijk bewijsstuk, verkoopt je iets op basis van een tekst die is vervallen.
“Er staat een boete van 15 miljoen euro op artikel 4.”
Nee. Artikel 4 staat niet in de boetecategorieën van artikel 99 en heeft dus geen zelfstandige boetegrondslag. Het bedrag van 15 miljoen euro of 3% van de wereldwijde jaaromzet hoort bij andere artikelen, onder meer bij de transparantieverplichtingen van artikel 50. Dat zijn twee verschillende onderwerpen die in de markt voortdurend door elkaar worden gehaald.
“Er is sinds 2 augustus 2026 een Nederlandse toezichthouder die hierop handhaaft.”
Genuanceerder dan dat. De verordening werkt sinds die datum rechtstreeks, en het kabinet heeft de verdeling van het toezicht over sectorale toezichthouders bekendgemaakt, met een coördinerende rol voor de Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur. Maar de Uitvoeringswet AI-verordening — die het nationale sanctiekader regelt — lag tot 1 juni 2026 in consultatie en was bij onze laatste controle nog niet in werking. Controleer dit punt zelf: hier verandert het snelst iets.
“De regels voor hoog-risico AI gaan deze zomer in.”
Uitgesteld. Dezelfde omnibus schoof de verplichtingen voor losstaande hoog-risicotoepassingen op van 2 augustus 2026 naar 2 december 2027. Voor AI die is ingebouwd in producten onder bestaande productwetgeving zelfs naar 2 augustus 2028. Dat raakt onder meer werving en selectie, dat als hoog-risicotoepassing is aangemerkt.
Waar je wél rekening mee moet houden
Het beeld dat er niets meer geldt, is net zo onjuist als het schrikbeeld. Dit staat overeind.
Artikel 4 bestaat nog steeds
Geen zelfstandige boeteHet geldt sinds 2 februari 2025 voor iedere organisatie die AI inzet — ook als dat alleen Copilot of ChatGPT is. Er is geen uitzondering voor het mkb en geen overgangstermijn. Je moet maatregelen nemen die de ontwikkeling van AI-geletterdheid ondersteunen. Helemaal niets doen voldoet daar niet aan.
De transparantieverplichtingen van artikel 50
Boete: tot 15 miljoen euro of 3% van de wereldwijde jaaromzetDie gelden sinds 2 augustus 2026 en zijn niet uitgesteld. Ze raken bijvoorbeeld chatbots, klantcontact en AI-gegenereerde of gemanipuleerde inhoud. Wat precies van toepassing is, verschilt per organisatie.
De verboden AI-praktijken van artikel 5
Boete: tot 35 miljoen euro of 7% van de wereldwijde jaaromzetDie gelden al sinds 2 februari 2025, met het zwaarste regime van de hele verordening.
En de AVG is niet veranderd
Geen zelfstandige boeteDit is in de praktijk het vaakst onderschatte punt. Een medewerker die klantgegevens, een dossier of een conceptcontract in een gratis AI-tool plakt, veroorzaakt een datalek. Dat was vóór de AI-verordening al zo en dat blijft zo, ongeacht welke bepaling deze zomer is verzacht.
Waarom je dit dan toch zou oppakken
De eerlijke samenvatting is: de juridische druk is lager dan je waarschijnlijk dacht, en het praktische risico is precies zo hoog gebleven.
In vrijwel elke organisatie wordt AI al gebruikt. Niet als project, maar informeel — door iemand die het handig vond. Er is geen afspraak over welke tools mogen, wat er wel en niet in mag, en wie verantwoordelijk is als er iets naar buiten komt dat er niet uit had gemogen. Dat is het werkelijke vraagstuk. De wet is aanleiding, geen reden.
En er is een tweede overweging. De verplichtingen voor hoog-risicotoepassingen zijn uitgesteld naar 2 december 2027, niet geschrapt. Organisaties die pas dán gaan uitzoeken wat er mag, moeten een werkwijze omgooien die er inmiddels jaren in zit. Wie nu bijstuurt, doet dat aanzienlijk goedkoper.
Wat je concreet kunt doen
- 01Breng in kaart wat er al gebruikt wordt. Niet wat er is ingekocht — wat mensen daadwerkelijk openen. Dat verschilt vrijwel altijd.
- 02Maak één afspraak op papier. Welke tools zijn toegestaan, en wat gaat er nooit in: persoonsgegevens, klantdossiers, broncode, offertes van derden.
- 03Leg uit hoe deze systemen werken. Waarom een verzonnen bronverwijzing geen storing is maar een structureel kenmerk. Zonder dat begrip houdt niemand zich aan afspraak 2.
- 04Kijk naar artikel 50. Als je een chatbot hebt of AI-gegenereerde inhoud publiceert. Dat is het onderdeel waar wél een boetegrondslag onder ligt.
AI Startklaar
Wij maakten een Nederlandstalig basisprogramma voor organisaties die stap 3 willen invullen: tien modules, 36 lessen, ongeveer zes uur. Geschreven en niet gefilmd, met opdrachten op het eigen werk van je deelnemers in plaats van algemene demonstraties.
Na afloop weten je medewerkers wat deze systemen wel en niet betrouwbaar doen, waar de grenzen liggen met vertrouwelijke gegevens, en wanneer een mens moet ingrijpen. Je ontvangt een deelnamedossier en een certificaat per deelnemer — niet als wettelijk bewijsstuk, want dat bestaat voor dit onderwerp niet, maar als intern dossier waarmee je laat zien dat je je zorgplicht serieus neemt.
Veelgestelde vragen
- Is AI-training verplicht?
- Nee. De AI-verordening schrijft geen verplichte training voor, geen minimumaantal uren en geen certificaat. Artikel 4 vraagt om maatregelen die de ontwikkeling van AI-geletterdheid ondersteunen. Een training is een manier om daaraan te voldoen, niet de enige.
- Geldt dit ook voor kleine bedrijven?
- Ja. Artikel 4 kent geen mkb-uitzondering en geen overgangstermijn. Het geldt vanaf de eerste medewerker die namens je organisatie met AI werkt.
- Geldt het ook voor zzp’ers en ingehuurde krachten?
- Ja. De bepaling ziet op iedereen die namens je organisatie met AI-systemen werkt, niet alleen op mensen op je loonlijst.
- Wat gebeurt er als wij niets doen?
- Op artikel 4 zelf staat geen zelfstandige boete. Het praktische risico zit elders: een datalek onder de AVG, een fout die naar buiten komt, of een klant die in een audit vraagt hoe je met AI omgaat. Daarnaast gelden andere delen van de verordening — zoals artikel 50 — die wél beboetbaar zijn.
- Wanneer gaan de regels voor hoog-risico AI in?
- Op 2 december 2027 voor losstaande hoog-risicotoepassingen, en op 2 augustus 2028 voor AI die is ingebouwd in producten onder bestaande productwetgeving. Werving en selectie valt in de eerste categorie.
- Wie houdt hier in Nederland toezicht op?
- Het toezicht is verdeeld over sectorale toezichthouders, met een coördinerende rol voor de Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur. Het nationale sanctiekader staat in de Uitvoeringswet AI-verordening, die bij onze laatste controle nog niet in werking was.
- Voldoen wij aan artikel 4 als onze mensen deze cursus doen?
- Scholing is een van de maatregelen waarmee je invulling geeft aan artikel 4, en je krijgt een deelnamedossier voor je administratie. Of je organisatie voldoet, hangt af van je eigen situatie en die beoordeling maken wij niet voor je. Het certificaat is geen wettelijke erkenning; die bestaat voor dit onderwerp niet.