AI-regelgeving en MKB: wat je moet weten over de AI Act
De Europese AI Act is vanaf augustus 2024 van kracht. Voor kleine bedrijven klinkt dat misschien alarmerend: nóg een stapel regels. Maar de wetgeving houdt juist rekening met de praktijk van het MKB. Er staan concrete vrijstellingen in, kostenvoordelen en ondersteuningsmechanismen. Hieronder vind je wat dit voor jouw bedrijf betekent.
Valt jouw bedrijf onder de MKB-definitie?
De AI Act gebruikt de standaard EU-definitie. Je valt eronder als je minder dan 250 werknemers hebt én een omzet onder de €50 miljoen of een balanstotaal onder de €43 miljoen. Kleinere categorieën:
- Klein bedrijf: minder dan 50 mensen, omzet/balanstotaal onder €10 miljoen
- Micro-onderneming: minder dan 10 mensen, omzet/balanstotaal onder €2 miljoen
- Start-ups: vallen expliciet onder MKB, zonder aparte drempel
Dat is relevant. De wetgeving noemt MKB-bedrijven 38 keer, vaker dan termen als ‘industrie’ (7×) of ‘civil society’ (11×). De regelgever is zich bewust van de uitdagingen voor kleinere partijen.
Sandboxes: gratis testomgeving voor AI
Een regulatory sandbox is een testomgeving waar je innovatieve AI-toepassingen uitprobeert onder toezicht van een autoriteit, maar buiten de normale regeldruk. Voor MKB-bedrijven geldt:
- Gratis toegang: geen administratieve kosten
- Prioriteit: je komt eerder aan de beurt dan grote partijen
- Praktische voordelen: de documentatie die je maakt tijdens het testen geldt als bewijs van compliance
- Geen boetes bij goede trouw: als je je aan het sandboxplan houdt, krijg je geen administratieve sancties (wel aansprakelijkheid voor schade aan derden)
Luxemburg, Spanje en Litouwen hebben al AI-sandboxes. In het Verenigd Koninkrijk leverde een fintech-sandbox bedrijven gemiddeld 6,6 keer hogere investeringen op na succesvolle testing. 40% van de deelnemers kreeg sneller marktautorisatie dan via de standaardprocedure.
Boetes aangepast aan je omvang
De AI Act hanteert een ander boetesysteem voor MKB-bedrijven. Normaal gesproken geldt de hoogste van een vast bedrag of een percentage van de wereldwijde omzet. Voor MKB geldt de laagste van beide. Dat scheelt.
Ook conformiteitsbeoordelingen zijn proportioneel aan bedrijfsgrootte en marktomvang. De Europese Commissie voert regelmatig assessments uit om die kosten verder te verlagen. Lidstaten moeten documentatie accepteren in breed begrepen talen, zodat je minder vertaalkosten maakt.
Vereenvoudigde documentatie voor micro-ondernemingen
Heb je minder dan 10 mensen in dienst? Dan mag je bepaalde onderdelen van het kwaliteitsmanagementsysteem vereenvoudigd naleven. De Commissie ontwikkelt speciale formulieren voor technische documentatie, afgestemd op kleine en micro-ondernemingen. Nationale autoriteiten moeten die accepteren bij conformiteitsbeoordelingen.
Dat scheelt tijd en geld. In plaats van een uitgebreide audit volstaat een korter format.
Training en communicatiekanalen per lidstaat
Lidstaten moeten bewustmakings- en trainingsactiviteiten organiseren, specifiek gericht op MKB-bedrijven. Ook moeten ze speciale communicatiekanalen opzetten waar je terecht kunt met vragen over de implementatie. Oostenrijk heeft bijvoorbeeld al een Austrian Service Desk for AI.
Dat is geen vrijblijvend aanbod. De wetgeving verplicht lidstaten om begeleiding te bieden en ervoor te zorgen dat die begeleiding consistent is over verschillende regio’s.
General-purpose AI: wat betekent het voor jou?
General-purpose AI-modellen zijn systemen die breed inzetbaar zijn voor uiteenlopende taken. Denk aan GPT-4o of Mistral Large 2. Volgens gegevens van Epoch (februari 2025) zijn er wereldwijd slechts 15 modellen die boven de drempel van 10^25 FLOP vallen, de grens voor ‘systemic risk’-modellen. Voorbeelden van kleinere modellen: GPT-3.5, Deepseek-V3, Aleph Alpha’s Pharia-1-LLM-7B.
Als je zo’n model gebruikt in je bedrijf en niet zelf ontwikkelt, dan maakt het onderscheid tussen gewone en systemic risk-modellen voor jou niet uit. Je verplichtingen hangen af van hoe je het model inzet en welk risico die toepassing met zich meebrengt. Bouw je bijvoorbeeld een chatbot voor klantenservice met GPT-4o, dan kijk je naar de risico’s van díe chatbot. Niet naar de rekenkracht waarmee GPT-4o is getraind.
Voor aanbieders van general-purpose modellen gelden wel extra eisen: transparantie (artikel 53) en voor systemic risk-modellen ook evaluatie, testing en incidentrapportage (artikel 55). Er komt een Code of Practice, ontwikkeld in een multi-stakeholderproces. Die code houdt rekening met bedrijfsgrootte en hanteert aparte Key Performance Indicators voor MKB-bedrijven versus grotere spelers.
Participatie in standaardisatie
De Commissie en lidstaten moeten MKB-deelname aan standaardontwikkeling faciliteren. MKB-bedrijven moeten ook vertegenwoordigd zijn in het AI advisory forum, dat advies geeft aan de European AI Board en de Commissie. Dat klinkt misschien abstract, maar het betekent dat je branchegenoten inspraak hebben in hoe de regels concreet vorm krijgen.
Wat kun je deze week doen?
Check of je bedrijf in aanmerking komt voor een sandbox. Luxemburg, Spanje en Litouwen hebben er al een lopen. Vraag bij je nationale autoriteit of er plannen zijn voor Nederland of België. Als je AI wilt inzetten in een risicovolle toepassing (personeelsselectie, kredietbeoordeling), levert zo’n testomgeving je bruikbare documentatie op. Het bespaart je later gedoe.
Gebruik je al een general-purpose model in je dagelijkse werk? Inventariseer dan welke risico’s je toepassing met zich meebrengt. Niet het model zelf. Dat helpt je inschatten of je onder strengere regels valt.
