AI Compliance Checklist voor het MKB

Je gebruikt ChatGPT voor klantenservice, een AI-tool voor leadscoring, en een geautomatiseerd systeem dat facturen verwerkt. Maar heb je ooit gecontroleerd of dat allemaal mag? En zo ja — of je het op de juiste manier doet?

De EU AI Act is van kracht. De AVG geldt al sinds 2018. Samen vormen ze een web van verplichtingen waar elk bedrijf dat AI inzet mee te maken heeft. Het probleem: de meeste MKB-bedrijven weten niet precies wat ze moeten doen. De wetgeving is complex, de richtlijnen zijn vaag, en de boetes zijn hoog.

Dit artikel geeft je een concrete checklist van tien stappen. Geen juridisch jargon, maar actiepunten die je deze maand kunt uitvoeren. Loop ze stuk voor stuk door en je weet precies waar je staat.

Waarom je dit nu moet doen

De EU AI Act kent een gefaseerde invoering. De eerste verplichtingen gelden al. Hoog-risico AI-systemen moeten aan strenge eisen voldoen, en de handhaving wordt de komende maanden opgeschaald. De boetes zijn niet mals: tot 7% van je jaarlijkse wereldwijde omzet of €35 miljoen — het hoogste van de twee. De deadline van augustus 2026 nadert snel — lees onze specifieke AI Act deadline 2026 checklist voor een maand-voor-maand actieplan.

Maar compliance is niet alleen boetevermijding. Het is ook klantvertrouwen. Bedrijven die transparant en verantwoord met AI omgaan, worden door klanten en zakenpartners als betrouwbaarder gezien. En dat vertaalt zich direct in meer omzet.

Lees voor de volledige juridische context ons uitgebreide overzicht van de EU AI Act en AI-wetgeving in Nederland.

De checklist: 10 stappen naar AI compliance

Stap 1: Maak een inventarisatie van al je AI-systemen

Wat: Breng in kaart welke AI-tools en -systemen je bedrijf gebruikt. Alles. Ook de tools die medewerkers "even snel" zijn gaan gebruiken zonder formeel goedkeuringsproces.

Hoe:

• Stuur een enquête naar alle afdelingen: "Welke AI-tools gebruik je in je dagelijks werk?"
• Check je software-abonnementen en facturen op AI-gerelateerde tools
• Inventariseer ook AI die embedded zit in bestaande software (je CRM heeft misschien AI-functies die je niet bewust gebruikt)
• Maak een spreadsheet met: toolnaam, leverancier, doel, welke data het verwerkt, welke afdeling het gebruikt

Waarom dit ertoe doet: Je kunt niet compliant zijn met iets waarvan je niet weet dat het bestaat. De meeste MKB-bedrijven die we spreken, ontdekken bij deze stap dat ze twee tot drie keer zoveel AI-tools gebruiken als ze dachten. Vooral ongeautoriseerd AI-gebruik door medewerkers — ook wel shadow AI — is een veelvoorkomend compliancerisico dat bij deze inventarisatie naar boven komt.

Als je wilt weten welke AI-tools populair zijn bij het MKB en hoe ze zich verhouden, lees dan ons artikel over ChatGPT zakelijk inzetten.

Stap 2: Classificeer elk systeem op risiconiveau

Wat: De EU AI Act deelt AI-systemen in vier risicocategorieën: onacceptabel, hoog risico, beperkt risico, en minimaal risico. Jouw verplichtingen hangen af van de categorie.

Hoe:

• Onacceptabel risico (verboden): social scoring, manipulatie van kwetsbare groepen, biometrische identificatie in real-time. Gebruik je dit? Stop ermee.
• Hoog risico: AI die wordt ingezet voor HR-selectie, kredietbeoordeling, toegang tot essentiële diensten, of rechtshandhaving. Vereist conformiteitsbeoordelingen, documentatie, en menselijk toezicht.
• Beperkt risico: Chatbots, deepfake-generatoren, emotieherkenning. Vereist transparantieverplichtingen (gebruikers moeten weten dat ze met AI te maken hebben).
• Minimaal risico: Spamfilters, AI in games, aanbevelingssystemen. Geen specifieke verplichtingen, wel algemene zorgvuldigheid.

Praktisch: De meeste MKB AI-toepassingen — chatbots, automatisering, contentgeneratie — vallen in de categorie beperkt of minimaal risico. Maar zodra je AI inzet voor personeelsbeslissingen of financiële beoordelingen, betreed je het hoog-risico-domein. Lees meer over AI-risico's en aansprakelijkheid en specifiek over AI in recruitment — een van de meest besproken hoog-risico toepassingen.

Stap 3: Voer een DPIA uit waar nodig

Wat: Een Data Protection Impact Assessment (DPIA) is onder de AVG verplicht wanneer een verwerking waarschijnlijk een hoog risico voor individuen inhoudt. Bij AI-toepassingen is dat vrijwel altijd het geval als je persoonsgegevens verwerkt op schaal.

Hoe:

• Beschrijf wat het AI-systeem doet en welke persoonsgegevens het verwerkt
• Beoordeel de noodzaak en evenredigheid — is AI de minst ingrijpende manier om dit doel te bereiken?
• Identificeer risico's voor betrokkenen (discriminatie, privacy-inbreuk, foutieve beslissingen)
• Documenteer beheersmaatregelen die je neemt om die risico's te beperken
• Betrek je DPO of privacy-adviseur bij de beoordeling

Kosten: Een DPIA kost €2.000 tot €10.000, afhankelijk van de complexiteit. Een forse investering, maar vele malen goedkoper dan een AVG-boete.

Lees ons gedetailleerde artikel over AVG en AI-regels voor de volledige overlap tussen privacy-wetgeving en AI.

Stap 4: Stel een AI-beleid op voor medewerkers

Wat: Een intern document dat vastlegt welke AI-tools medewerkers mogen gebruiken, waarvoor, en onder welke voorwaarden. Zonder zo'n beleid gebruik je AI-tools als het Wilde Westen — iedereen doet maar wat.

Hoe:

• Definieer welke AI-tools zijn goedgekeurd voor gebruik (en welke niet)
• Specificeer welke data wél en niet in AI-tools mag worden ingevoerd (nooit persoonsgegevens in gratis versies)
• Leg vast dat AI-output altijd door een mens wordt gecontroleerd voordat het extern wordt gedeeld
• Beschrijf het proces voor het aanvragen van nieuwe AI-tools
• Communiceer het beleid aan alle medewerkers en zorg voor een handtekening

Tip: Houd het beleid kort en praktisch. Een document van twee A4'tjes dat iedereen leest is beter dan een protocol van dertig pagina's dat niemand opent.

Stap 5: Documenteer je AI-systemen

Wat: De EU AI Act vereist dat bedrijven die hoog-risico AI inzetten uitgebreide documentatie bijhouden. Maar ook voor beperkt-risico systemen is documentatie een best practice die je beschermt bij een audit.

Hoe: Per AI-systeem documenteer je:

• Doel en beoogd gebruik
• Type AI (classificatie, generatief, predictief)
• Welke data wordt gebruikt voor input en training
• Welke beslissingen het systeem neemt of ondersteunt
• Hoe de output wordt gevalideerd
• Wie verantwoordelijk is voor het systeem
• Wanneer het voor het laatst is geëvalueerd

Praktisch: Gebruik een eenvoudige template per systeem. Je hoeft geen roman te schrijven — een gestructureerd A4'tje per tool is voldoende.

Stap 6: Beoordeel je AI-leveranciers

Wat: Als je AI-tools van derden gebruikt (en dat doe je bijna zeker), moet je beoordelen of die leveranciers voldoen aan de relevante regelgeving. Jij bent namelijk medeverantwoordelijk voor wat er met data gebeurt.

Hoe:

• Controleer of de leverancier een verwerkersovereenkomst aanbiedt (verplicht onder de AVG)
• Vraag waar de data wordt opgeslagen en verwerkt (EU of daarbuiten?)
• Check of de leverancier een privacy- en beveiligingsbeleid heeft
• Beoordeel of de leverancier transparant is over hoe het AI-model werkt
• Vraag of data wordt gebruikt voor modeltraining (veel gratis AI-tools doen dit)

Rode vlaggen:

• Geen verwerkersovereenkomst beschikbaar
• Data wordt buiten de EU verwerkt zonder adequaat beschermingsniveau
• Geen duidelijkheid over dataretentie en -verwijdering
• Gebruikersdata wordt gebruikt voor modeltraining zonder opt-out

Voor een uitgebreide gids over het beschermen van bedrijfsdata bij AI-gebruik — inclusief encryptie, verwerkersovereenkomsten en veilige implementatiemodellen — lees ons artikel over AI en databeveiliging.

Stap 7: Zorg voor transparantie naar klanten

Wat: Onder de EU AI Act ben je verplicht om gebruikers te informeren wanneer ze met een AI-systeem interacteren. Concreet: als je een chatbot hebt, moeten bezoekers weten dat ze met AI praten.

Hoe:

• Voeg een duidelijke melding toe aan je chatbot: "Je praat met een AI-assistent. Een medewerker is beschikbaar als je dat wilt."
• Update je privacyverklaring met informatie over AI-gebruik
• Informeer klanten als AI een rol speelt in beslissingen die hen raken (prijsstelling, risicobeoordeling, service-toewijzing)
• Als je AI-gegenereerde content publiceert, overweeg dan een vermelding

Waarom dit ook commercieel slim is: Transparantie over AI-gebruik verhoogt het vertrouwen. Onderzoek laat zien dat klanten positiever reageren op bedrijven die eerlijk zijn over AI dan op bedrijven waar ze later ontdekken dat ze onbewust met AI hebben geinteracteerd. Voor een uitgebreide uitleg van welke meldingen verplicht zijn per type AI-systeem, lees ons artikel over de AI-transparantieplicht.

Stap 8: Richt menselijk toezicht in

Wat: Bij elke AI-toepassing die beslissingen neemt of beïnvloedt die mensen raken, moet er een mogelijkheid zijn voor menselijke tussenkomst. Dit is geen optie — het is een wettelijke eis.

Hoe:

• Bepaal per AI-systeem welk niveau van menselijk toezicht nodig is
• Voor hoog-risico beslissingen: een mens moet elke AI-aanbeveling goedkeuren vóór uitvoering
• Voor beperkt-risico: een escalatieroute waarbij een klant of medewerker kan vragen om menselijke heroverweging
• Train de medewerkers die toezicht houden op AI-systemen — ze moeten begrijpen hoe het systeem werkt en waar het kan falen
• Documenteer het toezichtproces

Ben je benieuwd of je bedrijf klaar is voor het verantwoord inzetten van AI? Lees dan Is je bedrijf klaar voor AI?.

Stap 9: Stel een audit trail in

Wat: Een audit trail is een logboek van alle beslissingen die een AI-systeem neemt. Het stelt je in staat om achteraf te controleren wat er is gebeurd, waarom, en of het correct was.

Hoe:

• Log per AI-interactie: input, output, tijdstip, en welke versie van het model is gebruikt
• Bewaar logs minimaal zo lang als wettelijk vereist (voor de meeste verwerkingen: minimaal de bewaartermijn van de onderliggende data)
• Zorg dat logs niet achteraf kunnen worden aangepast
• Richt monitoring in op afwijkend gedrag: als het systeem plotseling andere patronen vertoont, wil je dat weten
• Test periodiek of je kunt reconstrueren waarom een specifieke beslissing is genomen

Praktisch: De meeste AI-platforms bieden logging aan als feature. Zorg dat je het aanzet en dat de data in de EU blijft.

Stap 10: Plan een jaarlijkse review

Wat: AI compliance is geen eenmalig project. Wetgeving verandert, je AI-gebruik breidt uit, en modellen worden geüpdatet. Een jaarlijkse review houdt je actueel.

Hoe:

• Blok elk jaar een dag in de agenda voor een AI compliance review
• Loop de volledige inventarisatie opnieuw door (stap 1) — er zijn gegarandeerd nieuwe tools bijgekomen
• Herclassificeer systemen als er functionaliteit is gewijzigd
• Update documentatie, beleid en verwerkersovereenkomsten
• Check of er nieuwe wetgeving of richtlijnen zijn gepubliceerd
• Evalueer of je menselijk toezicht nog adequaat is

Tip: Combineer de AI review met je bestaande privacy-audit. De overlap is groot en het bespaart tijd.

De kosten van niet-compliant zijn

Laten we eerlijk zijn over de risico's. De boetes spreken voor zich:

• AVG: Tot €20 miljoen of 4% van de jaarlijkse wereldwijde omzet
• EU AI Act: Tot €35 miljoen of 7% van de jaarlijkse wereldwijde omzet
• Gecombineerd: Als je AI-systeem persoonsgegevens verwerkt en onder hoog risico valt, kun je met beide regelgevingen tegelijk in overtreding zijn

Maar boetes zijn niet het enige risico. Reputatieschade door een datalek of een discriminerend AI-systeem kan veel kostbaarder zijn dan de boete zelf. En het verlies van klantvertrouwen is iets wat je niet met geld kunt repareren.

De investering in compliance — een paar duizend euro aan advies, documentatie en technische aanpassingen — is een fractie van de potentiële schade.

Veelvoorkomende fouten

Fout 1: "Wij zijn te klein voor handhaving." De Autoriteit Persoonsgegevens heeft de afgelopen jaren steeds vaker boetes opgelegd aan kleinere organisaties. De omvang van je bedrijf beschermt je niet.

Fout 2: "We gebruiken alleen gratis AI-tools, dus het valt wel mee." Gratis tools zijn juist risicovol. De data die je invoert wordt vaak gebruikt voor modeltraining. Als dat persoonsgegevens betreft, heb je een AVG-probleem.

Fout 3: "Onze IT-leverancier regelt de compliance." Jij bent als verwerkingsverantwoordelijke eindverantwoordelijk. Je kunt de uitvoering uitbesteden, maar niet de verantwoordelijkheid.

Fout 4: "We hebben eenmalig een DPIA gedaan, dus we zijn klaar." Een DPIA moet worden herhaald wanneer de verwerking significant verandert. Als je een nieuw AI-model gaat gebruiken of de scope van het bestaande systeem uitbreidt, is een update nodig.

Direct aan de slag

Je hoeft niet alle tien stappen deze week af te ronden. Begin met stap 1 (inventarisatie) en stap 4 (AI-beleid voor medewerkers). Die kosten je een dag en geven direct overzicht over je huidige situatie.

Daarna werk je de overige stappen af op een tempo dat past bij je bedrijf. Het belangrijkste is dat je begint — compliance is een proces, geen eindpunt. Met de handhavingsdatum van augustus 2026 in zicht, lees ook ons urgente actieplan voor de AI Act deadline met een maand-voor-maand aanpak.

Ook juridische professionals gebruiken AI steeds vaker — lees meer over AI in de juridische sector en hoe advocaten en juristen met compliance omgaan.

Wil je hulp bij het opzetten van een compliant AI-strategie? Vraag een gratis adviesgesprek aan en we helpen je door de checklist heen. Of bekijk hoe je AI-agents verantwoord kunt inzetten binnen de kaders van de regelgeving.