AI-geletterdheid: wat is er verplicht voor het MKB?

Sinds 2 februari 2025 geldt artikel 4 van de Europese AI-verordening. Dat artikel verplicht organisaties die AI-systemen aanbieden of zakelijk gebruiken om ervoor te zorgen dat hun medewerkers voldoende AI-geletterd zijn. De regelgeving werkt rechtstreeks in Nederland, zonder tussenkomst van een Nederlandse wet.

Sinds 2 augustus 2026 houden nationale autoriteiten toezicht op dit artikel. In deze blog lees je wat het inhoudt, of jouw bedrijf eronder valt, wat je concreet geregeld moet hebben en wat er gebeurt als je niets doet.

Kort samengevat

• De AI-geletterdheidsplicht geldt sinds 2 februari 2025 voor elke organisatie die AI-systemen aanbiedt of zakelijk gebruikt.
• Ook bedrijven die alleen bestaande tools gebruiken, zoals ChatGPT, Claude of Copilot, vallen eronder.
• In de verordening staat geen boetebedrag voor dit artikel. Nationale toezichthouders kunnen sinds 2 augustus 2026 wel handhaven.
• Een certificaat voor je medewerkers is volgens de Europese Commissie overbodig. Je legt zelf vast wat je gedaan hebt.
  
  

Wat is AI-geletterdheid volgens de AI-verordening?

Artikel 4 vraagt om maatregelen die zorgen voor een toereikend niveau van AI-geletterdheid bij je personeel en bij anderen die namens jou met AI-systemen werken. De wettekst voegt daar twee dingen aan toe. Je doet dit naar beste vermogen, en je houdt rekening met de kennis, ervaring en opleiding van de mensen om wie het gaat, en met de situatie waarin ze de systemen gebruiken.

In de praktijk komt het hierop neer: wie een AI-tool gebruikt, moet begrijpen wat het systeem doet, waar het de fout in gaat en wanneer een uitkomst niet te vertrouwen is. De Europese Commissie noemt hallucinatie als voorbeeld: een taalmodel dat met veel overtuiging iets verzint.

Geldt deze plicht ook voor jouw bedrijf?

De plicht geldt voor aanbieders en voor gebruiksverantwoordelijken. Dat tweede begrip is breed: iedereen die een AI-systeem onder eigen verantwoordelijkheid inzet, uitgezonderd persoonlijk gebruik buiten werk om.

De Europese Commissie geeft zelf dit voorbeeld: een bedrijf waarvan medewerkers ChatGPT gebruiken om advertentieteksten te schrijven of te vertalen. Zo’n bedrijf valt eronder en moet zijn mensen informeren over de risico’s.

Daarmee valt vrijwel elk MKB-bedrijf onder artikel 4. De verkoper die offertes laat opstellen, de HR-medewerker die een tool gebruikt om cv’s voor te sorteren, de klantenservice met een chatbot. Ook uitzendkrachten en ingehuurde specialisten tellen mee: de tekst noemt uitdrukkelijk anderen die namens jou met het systeem werken.

Wat moet je concreet geregeld hebben?

Weet welke AI er gebruikt wordt.

Maak één lijst: welke tool, wie hem gebruikt, waarvoor, en of het bedrijf ervoor betaalt. Denk ook aan wat medewerkers zelf hebben aangeschaft en nergens op een factuur staat: een gratis account op een werkmailadres, of een AI-functie die in bestaande software is meegekomen. Dit is bij de meeste bedrijven de stap die het meeste oplevert.

Bepaal per groep wat mensen moeten weten.

De directie hoort waar AI wel en niet wordt ingezet en wie daarover beslist. Wie er dagelijks mee werkt, hoort wat de tool goed doet, waar hij niet werkt en wat er niet in mag.

Leg uit waar het misgaat.

Gebruik voorbeelden uit hun eigen werk, niet het woord hallucinatie. Een model verzint een bronvermelding: een artikel of uitspraak die niet bestaat, met een keurige verwijzing erbij. Het geeft verouderde informatie, zoals een tarief dat twee jaar geleden klopte. En het levert werk af dat er verzorgd uitziet met een fout erin: een vertaling die het verkeerde woord kiest, een berekening die niet klopt. Spreek af wie nakijkt voordat iets naar een klant gaat.

Maak afspraken over gegevens.

Zet op één A4 wat er niet in mag: klantgegevens, personeelsdossiers, offertes, contracten en inloggegevens. Noem erbij welke tool wel is goedgekeurd, anders wijkt iemand uit naar een gratis alternatief. Persoonsgegevens en klantdata vragen hier extra aandacht, zeker in het licht van de AVG.

Schrijf op wat je gedaan hebt.

Eén document met per sessie de datum, het onderwerp en wie erbij was. Een halve pagina is genoeg, en het is wat je laat zien als een auditor ernaar vraagt. De Commissie verwacht dat je hier zelf een registratie van bijhoudt.

Staat er een boete op, en wie controleert het?

Er staat geen specifiek boetebedrag op. De AI-verordening somt in artikel 99 precies op welke overtredingen beboet worden. Verboden AI-praktijken kunnen 35 miljoen euro kosten of 7% van de wereldwijde jaaromzet. Voor een reeks andere artikelen geldt 15 miljoen euro of 3%. Artikel 4 komt in geen van die lijsten voor.

Het toezicht ligt bij de nationale markttoezichtautoriteiten en is op 2 augustus 2026 begonnen. Zij kunnen wel sancties en andere handhavingsmaatregelen opleggen, naar de ernst van de overtreding.

De praktische druk komt voorlopig ergens anders vandaan. Grote klanten nemen AI-vragen op in hun leveranciersbeoordelingen, auditors vragen ernaar bij een certificering. Wie AI structureel wil inrichten, komt uit bij ISO 42001, de norm voor het beheersen van AI binnen een organisatie. We schreven eerder over wat ISO 42001 voor het MKB betekent.

Hoe pak je het aan?

Begin bij die lijst. Bij de meeste MKB-bedrijven kost dat een ochtend en wordt hij langer dan verwacht.

Organiseer daarna één sessie per groep medewerkers en leg vast dat je die gehouden hebt. Een certificaat is daarbij overbodig: de Europese Commissie schrijft letterlijk dat daar geen behoefte aan is.

Ontbreekt het aan iemand die dit oppakt, dan is dat het echte knelpunt. Een security-expert op afroep kan deze rol invullen zonder dat je er iemand voor aanneemt.