AI Act risicoklasse bepalen: praktische gids voor MKB-contentteams

De EU AI Act trad op 1 augustus 2024 in werking en raakt ook organisaties die AI niet zelf bouwen, maar wel gebruiken (Iris One). Voor MKB-contentteams die dagelijks werken met tekstgeneratoren, beeldtools en chatbots is de eerste vraag niet "moeten wij iets?", maar "hoe wordt ons AI-gebruik onder de verordening behandeld?"

Dit artikel legt uit hoe de risicogebaseerde aanpak van de AI Act werkt, welke verplichtingen typisch spelen bij contentwerk, en hoe je als klein team een werkbare eerste beoordeling maakt — als voorbereiding op het gesprek met een jurist, niet als vervanging ervan.

Disclaimer: dit artikel is algemene informatie, geen juridisch advies. Raadpleeg voor je eigen situatie de verordening zelf, de guidance van de Europese Commissie en de toezichthouder (in Nederland: de Autoriteit Persoonsgegevens), en bij twijfel een gespecialiseerd jurist.

De risicogebaseerde aanpak in het kort

De AI Act hanteert een risicogebaseerde aanpak: hoe hoger het risico voor mensen of de samenleving, hoe strenger de regels (Autoriteit Persoonsgegevens). In uitleg over de wet worden meestal vier niveaus onderscheiden. Let wel: dit is een gangbaar uitlegmodel; de verordening zelf kent geen formeel, uitputtend etiket voor elke denkbare toepassing.

Onaanvaardbaar risico. Deze systemen zijn verboden (artikel 5). De Autoriteit Persoonsgegevens noemt als voorbeeld toepassingen die de keuzevrijheid van mensen inperken. Het verbod geldt voor iedereen die zulke systemen aanbiedt of inzet.

Hoog risico. Systemen in specifiek benoemde toepassingsgebieden (artikel 6 en bijlage III) met significante impact op rechten, veiligheid of welzijn. Hier gelden de zwaarste verplichtingen, vooral voor de partijen die deze systemen ontwikkelen en op de markt brengen.

Transparantieverplichtingen (vaak 'beperkt risico' genoemd). Voor bepaalde toepassingen — zoals chatbots en bepaalde synthetische output — gelden specifieke informatieplichten uit artikel 50. Welke precies, hangt af van de gebruikssituatie; daarover hieronder meer.

Overige toepassingen (vaak 'minimaal risico' genoemd). Voor toepassingen die buiten de bovenstaande categorieën vallen, gelden geen categoriespecifieke eisen. Horizontale verplichtingen — zoals AI-geletterdheid — en andere wetgeving zoals de AVG blijven wel van toepassing.

Provider of deployer: bepaal eerst je rol

Voordat je verplichtingen inventariseert, moet je weten welke pet je op hebt. De AI Act maakt onderscheid tussen partijen die AI-systemen ontwikkelen en op de markt brengen (providers) en organisaties die ze gebruiken (deployers).

Een contentteam dat werkt met een bestaande tekstgenerator is in de regel deployer, geen provider. Dat scheelt aanzienlijk: de zwaarste eisen — zoals conformiteitsbeoordelingen en technische documentatie — rusten primair op de provider.

Let op de uitzondering: wie een AI-systeem substantieel aanpast of onder eigen naam aanbiedt, kan in de rol van provider schuiven. Een MKB-bedrijf dat een chatbot van een leverancier white-labelt en doorverkoopt, doet er goed aan hier juridisch advies over in te winnen.

Transparantie: wat artikel 50 wel en niet vraagt

De transparantieverplichtingen van artikel 50 zijn preciezer dan de samenvatting "AI-content moet gelabeld" die vaak circuleert. De bepaling onderscheidt verschillende situaties:

• Directe interactie met AI: mensen die met een AI-systeem communiceren (zoals een chatbot) moeten daarover geïnformeerd worden, tenzij dit uit de context al duidelijk is.
• Synthetische output: voor AI-gegenereerde audio, beeld, video en tekst gelden markeringseisen die primair bij de provider liggen.
• Deepfakes: wie AI-gegenereerd of -gemanipuleerd beeld, audio of video publiceert dat als authentiek kan worden opgevat, moet dit kenbaar maken.
• Tekst over aangelegenheden van algemeen belang: hiervoor geldt een openbaarmakingsplicht, met een uitzondering wanneer er menselijke redactionele controle plaatsvindt en een persoon redactionele verantwoordelijkheid draagt.

Deze transparantieregels gelden in beginsel vanaf 2 augustus 2026. Cruciaal onderscheid voor de praktijk: een intern conceptdocument dat een redacteur volledig herschrijft en waarvoor de redactie verantwoordelijkheid draagt, valt anders uit dan een automatisch gepubliceerd nieuwsbericht zonder menselijke tussenkomst.

Wanneer is contentwerk 'minimaal risico' — en wanneer niet?

Grammaticacontrole, vertaalhulp of samenvattingstools klinken onschuldig, maar de juridische behandeling volgt niet uit de toolsoort. Bepalend zijn het doel en de context van het gebruik.

Dezelfde tekstgenerator kan in het ene proces buiten de specifieke verplichtingen vallen en in het andere transparantie-eisen of zelfs hoog-risicoregels raken. Classificeer daarom per toepassing, niet per tool — en documenteer de conclusie, ook als die 'geen specifieke verplichtingen' luidt.

Wanneer schuift contentwerk richting hoog risico?

De hoog-risicocategorie is gekoppeld aan specifieke toepassingsgebieden uit bijlage III, zoals werving en selectie of toegang tot bepaalde diensten. Een contentteam raakt die grens niet snel, maar er zijn grensgevallen. Gebruik je AI-gegenereerde teksten in geautomatiseerde sollicitatiecommunicatie of kredietinformatie? Dan verdient de classificatie een serieuze toets door een jurist — het toepassingsgebied bepaalt de behandeling, niet de tool zelf.

AI-geletterdheid: de verplichting die nu al geldt

Los van de risicobehandeling van individuele toepassingen geldt sinds 2 februari 2025 de verplichting rond AI-geletterdheid (artikel 4) (Mason Hayes & Curran). Organisaties die AI-systemen inzetten, moeten zorgen dat medewerkers voldoende begrijpen hoe de systemen werken en welke beperkingen ze hebben.

Voor een contentteam betekent dit concreet: redacteuren die AI-tools gebruiken, moeten weten dat modellen feiten kunnen verzinnen, dat output verificatie nodig heeft, en waar de grenzen van verantwoord gebruik liggen.

Een interne richtlijn plus een korte training is een logisch startpunt, maar geen garantie dat aan de verplichting is voldaan. Wat 'passend' is, hangt af van de kennis en ervaring van medewerkers, de context van het gebruik en de personen op wie de AI-systemen worden toegepast. Herbeoordeel dus wat je team nodig heeft naarmate het gebruik verandert.

Een werkbare classificatie-workflow voor kleine teams

Je hebt geen compliance-afdeling nodig om een eerste beoordeling te maken. De volgende stappen zijn geen wettelijk voorschrift, maar een praktische aanpak die het latere gesprek met jurist of toezichthouder aanzienlijk vergemakkelijkt.

Stap 1 — Inventariseer. Maak een lijst van alle AI-tools die het team gebruikt, inclusief functies binnen bestaande software (AI-assistenten in tekstverwerkers, geautomatiseerde beeldbewerking).

Stap 2 — Bepaal per tool je rol. Gebruik je de tool zoals geleverd? Dan ben je in de regel deployer. Pas je het systeem substantieel aan of bied je het onder eigen naam aan? Dan mogelijk provider — en dan verandert je verplichtingenpakket wezenlijk.

Stap 3 — Beoordeel per toepassing, niet per tool. Kijk naar doel, context en publiek. Raadpleeg primair de verordening zelf en de uitleg van de Autoriteit Persoonsgegevens. Aanvullend bestaan er zelfbeoordelingstools, zoals die van Trail — behandel zo'n uitkomst als eerste indicatie, nooit als juridisch oordeel.

Stap 4 — Documenteer. Leg per toepassing vast: de tool, de rol, de ingeschatte behandeling, de onderbouwing en de datum van beoordeling. Zo'n register is geen expliciete wettelijke eis voor elke deployer, maar wel je onderbouwing als een toezichthouder of klant vragen stelt.

Stap 5 — Herhaal periodiek. Tools veranderen, use cases verschuiven en de uitwerking van de AI Act ontwikkelt zich — denk aan de transparantieregels die in beginsel vanaf augustus 2026 gelden. Een jaarlijkse herbeoordeling plus een check bij elke nieuwe tool is een verstandige vuistregel.

Rolverdeling en governance in de praktijk

Ook in een klein team helpt een duidelijke taakverdeling. Onderstaande verdeling is een aanbeveling, geen wettelijk voorschrift:

• Redactie signaleert nieuwe AI-tools en -toepassingen en meldt ze aan voor het register.
• Een aangewezen verantwoordelijke (contentmanager of operationeel directeur) beheert het register en beoordeelt classificaties.
• Compliance of externe jurist toetst grensgevallen, met name alles wat richting hoog risico neigt of waar de provider/deployer-rol onduidelijk is.
• Directie draagt in de praktijk de eindafweging: het is verstandig de uiteindelijke beslissing over AI-gebruik niet bij een individuele redacteur of een tool te beleggen.

Versiebeheer op het register is hierbij geen bureaucratie maar zelfbescherming: je wilt kunnen aantonen wat je wanneer wist en besloot.

Kader: waar past contentvalidatie in dit plaatje? Risicobeoordeling onder de AI Act gaat over het systeem en de toepassing; de kwaliteit van individuele content-output is een aparte laag. Een signaleringsinstrument als C37 markeert in een concepttekst welke beweringen onderbouwing vragen en geeft een indicatie van het publicatierisico. Dat vervangt de wettelijke beoordeling niet en verifieert claims niet tegen externe bronnen: de redacteur controleert wat gemarkeerd is en beslist zelf over publicatie. Juist die menselijke redactionele controle is ook in artikel 50 een relevant element.

Steunmaatregelen: de AI Act is niet alleen maar last

De verordening bevat maatregelen die specifiek zijn ontworpen om compliance voor het MKB te vereenvoudigen (Small Businesses' Guide to the AI Act). Het bekendste instrument zijn de regulatory sandboxes: gecontroleerde experimenteeromgevingen waarin bedrijven onder begeleiding van autoriteiten kunnen aantonen dat ze aan de regels voldoen.

Voor contentteams die als deployer bestaande tools gebruiken, zijn sandboxes doorgaans niet aan de orde. Maar wie AI-functionaliteit gaat doorontwikkelen of aanbieden, kan documentatie uit een sandbox-traject gebruiken om compliance aan te tonen. Dat vergroot de juridische zekerheid bij markttoegang.

Checklist: eerste beoordeling in vijf vragen

1. Bouwen of gebruiken we? Deployer-verplichtingen zijn lichter dan provider-verplichtingen; substantiële aanpassing kan je rol veranderen.
2. Raakt de toepassing een hoog-risicodomein uit bijlage III (werving, kredietbeoordeling, toegang tot diensten)? Zo ja: juridisch advies inwinnen.
3. Interacteert AI direct met publiek of publiceren we synthetische output? Check dan artikel 50 — inclusief de uitzondering bij menselijke redactionele controle en de ingangsdatum (in beginsel 2 augustus 2026).
4. Is het intern hulpgereedschap? Beoordeel doel en context, trek geen automatische conclusie — en documenteer de uitkomst.
5. Is AI-geletterdheid geregeld? Deze verplichting geldt sinds 2 februari 2025, en wat passend is hangt af van team, context en toepassing.

De eerste stap: een AI-register van één pagina

Begin deze week met een simpel overzicht: één spreadsheet met per AI-tool de toepassing, je rol (deployer of provider), de ingeschatte behandeling onder de AI Act en een korte onderbouwing. Plan een uur met het team om de lijst compleet te maken.

Dat document is geen eindpunt en geen wettelijke verplichting op zich, maar het fundament onder elke volgende stap: van AI-geletterdheidstraining tot het gesprek met een jurist over grensgevallen. Wie zijn AI-gebruik kent, kan er verantwoord over beslissen — en staat sterker wanneer klanten of toezichthouders vragen stellen.