De EU AI Act, Verordening (EU) 2024/1689, wordt vaak besproken alsof het één toekomstige deadline is. Dat is het niet. De wet geldt in fases, en twee daarvan zijn al ingegaan. Voor een Europees SaaS-bedrijf zijn de onderdelen die vandaag tellen artikel 4 over AI-geletterdheid en artikel 50 over transparantie.
Beide zijn eerder praktisch dan technisch. Beide hebben een eigenaar nodig, en beide worden makkelijk over het hoofd gezien, simpelweg omdat niemand heeft gemerkt hoeveel AI er al in het hele bedrijf wordt gebruikt.
Een opmerking vooraf: dit artikel legt uit wat de regels zeggen en hoe bedrijven er doorgaans op reageren. Het is geen juridisch advies. Raadpleeg voor beslissingen die specifiek zijn voor uw bedrijf een advocaat.
Wat vragen artikel 4 en 50 van de EU AI Act van een SaaS-bedrijf?
Artikel 4, van toepassing sinds 2 februari 2025, vraagt bedrijven maatregelen te nemen zodat de mensen die AI gebruiken over voldoende AI-geletterdheid beschikken; een interne registratie van trainingen volstaat. Artikel 50, van toepassing sinds augustus 2026, vraagt dat AI die met mensen communiceert aangeeft dat het AI is, tenzij dat vanzelfsprekend is, en dat deepfakes worden gemeld.
Geen van beide vraagt om een certificaat of een nieuwe afdeling. In de praktijk vragen ze om bewustzijn, een registratie en eerlijke labeling.
Artikel 4: AI-geletterdheid in de praktijk
Artikel 4 geldt sinds 2 februari 2025, en nationale toezichthouders houden sinds augustus 2026 toezicht op de AI Act. Het vraagt bedrijven maatregelen te nemen zodat de mensen die namens hen met AI werken het goed genoeg begrijpen om het juist te gebruiken: waar het goed in is, waar het faalt en welke data er nooit in mogen.
Twee punten worden vaak verkeerd begrepen. Ten eerste: er is geen certificaat vereist. Er is geen officiële cursus om te kopen en geen examen om te halen. Ten tweede: een interne registratie volstaat: welke training en welke richtlijnen er zijn gegeven, aan wie en wanneer.
Voor een SaaS-bedrijf is de training niet het moeilijke deel. Het moeilijke deel is weten waar AI daadwerkelijk wordt gebruikt. De Work Trend Index 2024 van Microsoft en LinkedIn stelde vast dat 75% van de kenniswerkers generatieve AI op het werk gebruikt, en dat 78% van de AI-gebruikers hun eigen tools meebrengt. In een doorsnee SaaS-bedrijf betekent dat supportmedewerkers die antwoorden opstellen, salesmedewerkers die outreach schrijven, engineers die codeerassistenten gebruiken en finance die cijfers in een chatvenster plakt, vaak zonder goedgekeurde tool en zonder richtlijnen.
Een werkbare aanpak heeft drie stappen:
- Inventarisatie. Breng de AI-tools in gebruik in kaart, goedgekeurd of niet, wie ze gebruikt en welke bedrijfs- of klantdata erin gaan.
- Richtlijnen per rol. Korte, specifieke richtlijnen voor elk team: waarvoor de tools mogen worden gebruikt, welke data erbuiten moeten blijven en hoe u de output controleert. Een supportteam en een financeteam hebben verschillende regels nodig.
- Een registratie. Een gedateerde registratie van wie welke richtlijnen of training heeft ontvangen, bijgewerkt wanneer tools of rollen veranderen.
Dit is ook gewoon goede bedrijfsvoering, wet of geen wet. Een bedrijf dat weet waar zijn data naartoe gaan, is een bedrijf dat de beveiligingsvragenlijst van een klant eerlijk kan beantwoorden.
Artikel 50: mensen laten weten dat ze met AI praten
Artikel 50 geldt sinds augustus 2026. De kern is eenvoudig: een AI-systeem dat met mensen communiceert, moet duidelijk maken dat het AI is, tenzij dat uit de context vanzelfsprekend is. Deepfakes, dat wil zeggen door AI gegenereerde beelden, audio of video die voor echt kunnen doorgaan, moeten worden gemeld.
Voor een SaaS-bedrijf zijn dit meestal de plekken om te controleren:
- De assistent in het product. Een in-app-hulp die gebruikers antwoordt, moet aangeven dat het AI is.
- Website-, sales- en supportchat. Een chat die klanten of prospects antwoordt, heeft een duidelijke vermelding nodig dat de antwoorden van AI komen.
- Stem en video. Een AI-stem in een gesprek, of een door AI gegenereerde presentator in een productvideo of advertentie, moet worden gemeld.
Melding is meer een ontwerptaak dan een juridische taak: een regel in het chatvenster, een label in de interface, een zin aan het begin van een gesprek. Het is het goedkoopst wanneer het vanaf het begin deel uitmaakt van het ontwerp. Hetzelfde geldt voor interne agents: de NordOps AI Agent is gebouwd voor Europese regels, waarbij elke vraag en actie wordt gelogd.
Wat nog niet geldt
Veel van de aandacht rond de wet gaat naar AI met een hoog risico, en voor de meeste SaaS-bedrijven moet dat deel nog komen:
- 2 december 2027: de regels voor de hoogrisicogebieden uit bijlage III, zoals AI bij werving en selectie, worden van toepassing.
- 2 augustus 2028: de regels voor AI die is ingebouwd in gereguleerde producten worden van toepassing.
Deze data volgen de wijziging van de wet uit 2026, die op 27 juli 2026 in werking trad. Een SaaS-bedrijf waarvan het product wordt gebruikt bij werving, of in een ander gebied uit bijlage III, doet er goed aan de tijd te gebruiken om zich voor te bereiden in plaats van af te wachten. Voor alle anderen ligt de prioriteit bij de twee artikelen die al gelden.
Een praktische checklist voor dit kwartaal
- Wijs één eigenaar voor AI in het bedrijf aan, met de tijd om het werk te doen.
- Maak een volledige inventarisatie van de AI in gebruik, inclusief de tools die mensen zelf hebben meegebracht.
- Schrijf korte richtlijnen voor elk team en leg vast wie ze heeft ontvangen.
- Controleer elke plek waar AI met klanten, prospects of het publiek praat, en voeg een duidelijke melding toe waar die ontbreekt.
- Controleer marketingcontent op door AI gegenereerde personen of stemmen, en label die.
- Wordt uw product gebruikt bij werving of in een ander gebied uit bijlage III, begin dan met plannen voor december 2027.
Niets hiervan maakt een Chief AI Officer tot een wettelijke verplichting; het is een rol, geen plicht. Maar het werk heeft een eigenaar nodig, en in de meeste groeiende bedrijven heeft het die nog niet. Dat is een deel van wat een fractional Chief AI Officer op zich neemt, en onze AI Snapshot begint precies met deze inventarisatie en de toets op geletterdheid en transparantie.
Bron: Verordening (EU) 2024/1689, artikelen 4, 50 en 113, zoals gewijzigd in 2026. Dit artikel informeert; het is geen juridisch advies.