AI Act Artikel 4 handhaving vanaf 2 augustus 2026: praktische compliance-gids voor MKB

Vanaf 2 augustus 2026 begint de actieve handhaving van Artikel 4 van de Europese AI-verordening. Elke Nederlandse organisatie waarvan medewerkers AI-systemen gebruiken — inclusief ChatGPT, Microsoft Copilot of Google Gemini — moet dan aantoonbaar zorgen voor een “toereikend niveau van AI-geletterdheid” bij die medewerkers. De Autoriteit Persoonsgegevens (AP) en de Rijksinspectie Digitale Infrastructuur (RDI) zijn de coördinerende toezichthouders, aangevuld met sectorale autoriteiten als de AFM, DNB en IGJ. Boetes kunnen oplopen tot €15 miljoen of 3 procent van de wereldwijde jaaromzet. En de urgentie is reëel: uit TNO-onderzoek van 2025 blijkt dat slechts 23 procent van de Nederlandse bedrijven concrete stappen heeft genomen om aan de AI Act te voldoen. Ruim drie kwart van de MKB’ers loopt dus mogelijk achter. Deze gids legt uit wat er precies verandert, welke stappen je nu moet nemen, en wat je bij een controle moet kunnen laten zien.

Artikel 4 is niet nieuw. Sinds 2 februari 2025 is de AI-geletterdheidsplicht juridisch van kracht. Wat verandert op 2 augustus 2026 is de handhavingsbevoegdheid: vanaf dat moment kunnen de Nederlandse toezichthouders daadwerkelijk boetes en corrigerende maatregelen opleggen. In de eerste fase (H2 2026) start de AP met oriënterende controles en sectoronderzoeken. Vanaf 2027 volgt proactieve handhaving. Daartussen: doorlopende klachtgerichte handhaving — een medewerker of klant kan op elk moment een melding doen.

Voor eerder gepubliceerde uitleg over wat Artikel 4 precies inhoudt zie ons artikel over AI-geletterdheid onder de AI Act en de complete uitleg van de EU AI Act. In deze compliance-gids gaan we dieper in op de praktische kant: hoe organiseer je AI-geletterdheid concreet, en wat moet je aantoonbaar hebben liggen bij een audit?

Wat verandert er op 2 augustus 2026?

Vanaf die datum kunnen de Nederlandse toezichthouders handhavend optreden tegen organisaties die niet voldoen aan Artikel 4. Concreet betekent dit drie dingen:

1. Bevoegdheid tot boete-oplegging Sinds 2 augustus 2025 hebben de toezichthouders formeel de bevoegdheid om boetes op te leggen onder de AI Act. Voor Artikel 4 (dat sinds februari 2025 gold als inspanningsverplichting) start de actieve handhaving op 2 augustus 2026. Voor overtredingen kunnen boetes oplopen tot €15 miljoen of 3 procent van de wereldwijde jaaromzet — waarbij het hoogste bedrag geldt voor grote bedrijven, en het laagste bedrag voor MKB.

2. Uitrol van andere transparantie-verplichtingen Naast Artikel 4 start op 2 augustus 2026 ook de handhaving van Artikel 50 — de algemene transparantieverplichtingen. Gebruikers moeten weten wanneer ze met een AI-systeem communiceren (bijvoorbeeld bij chatbots), deepfakes moeten als zodanig herkenbaar zijn, en systemen met emotieherkenning of biometrische analyse vereisen aanvullende waarschuwingen.

3. Hoog-risico verplichtingen uitgesteld naar 2027 Na het Digital Omnibus-akkoord van 7 mei 2026 zijn de zwaarste verplichtingen (hoog-risico AI-systemen onder Bijlage III) uitgesteld naar 2 december 2027. Voor AI in gereguleerde producten zoals medische apparatuur, liften of speelgoed (Bijlage I) is dit 2 augustus 2028. Voor de meeste MKB’ers is de hoog-risico categorie niet direct relevant — wél de basisverplichting van Artikel 4.

Voor wie geldt Artikel 4?

Voor elke organisatie waarvan medewerkers AI-systemen gebruiken. Dat klinkt vanzelfsprekend maar heeft twee belangrijke gevolgen:

“Gebruiksverantwoordelijke” is de organisatie, niet de medewerker Artikel 4 richt zich op de gebruiksverantwoordelijke — dat is de organisatie die het AI-systeem inzet, niet de individuele medewerker. De werkgever is aansprakelijk voor het waarborgen van AI-geletterdheid. Als een medewerker per ongeluk klantgegevens lekt via ChatGPT, is de organisatie verantwoordelijk voor het feit dat de medewerker onvoldoende was voorbereid.

Ook bij gebruik van commerciële tools als ChatGPT Sommige MKB’ers denken dat Artikel 4 alleen geldt voor bedrijven die hun eigen AI ontwikkelen. Dat is een misvatting. Zodra medewerkers commerciële tools als ChatGPT, Copilot, Perplexity, Claude of Google Gemini gebruiken in hun werk, valt de organisatie onder de definitie van gebruiksverantwoordelijke. De ontwikkelaar (OpenAI, Microsoft, Google) heeft eigen verplichtingen; de gebruikende organisatie heeft die van Artikel 4.

Ook bedrijven buiten de EU vallen onder Artikel 4 als hun AI-systemen of de uitkomsten daarvan in de EU worden gebruikt. Amerikaanse SaaS-bedrijven met Nederlandse klanten kunnen dus ook onder de wet vallen.

Het Nederlandse toezicht: tien autoriteiten

Nederland heeft een uniek hybride toezichtsmodel voor de AI Act, met circa tien toezichthouders die elk een specifiek domein bewaken:

Coördinerend:

• Autoriteit Persoonsgegevens (AP) — primaire coördinator via de Directie Coördinatie Algoritmes (DCA), speciale Algoritme- en AI-kamer (AAK) sinds 2025
• Rijksinspectie Digitale Infrastructuur (RDI) — technisch coördinator, valt onder Ministerie van EZK

Sectoraal:

• AFM — gedragstoezicht financiële sector
• DNB — prudentieel toezicht financieel en stablecoins (in samenhang met MiCA)
• IGJ — Inspectie Gezondheidszorg en Jeugd (AI in zorg)
• ACM — consumentenbescherming en concurrentie
• NVWA — Voedsel- en Warenautoriteit (AI in voedselveiligheid)
• Arbeidsinspectie — AI in werkomgeving
• Onderwijsinspectie — AI in onderwijs
• Nationale Ombudsman — overheids-AI

Wat betekent dit voor jouw MKB? Bij een klacht of controle wordt de zaak toegewezen aan de relevante sectorale autoriteit. Een zorginstelling wordt door de IGJ gecontroleerd, een bank door AFM/DNB, een supermarkt door NVWA (voor AI in voedselveiligheid) of ACM (voor prijs-algoritmen). Voor de meeste MKB’ers buiten die sectoren is de AP de primaire toezichthouder — en de AP heeft in 2025 al een speciaal AI-team opgericht.

Het wetsvoorstel Uitvoeringswet AI-verordening (UAIV) werd op 20 april 2026 gepubliceerd voor internetconsultatie (tot 1 juni 2026). Deze wet formaliseert de rolverdeling en geeft de AP en RDI hun definitieve wettelijke bevoegdheden. Tot de aanname operatie de AP feitelijk als coördinerend toezichthouder.

Boetes en sancties: de drie niveaus

De AI Act kent drie sanctie-niveaus onder Artikel 99:

Categorie 1: verboden AI-praktijken (Artikel 5)

• Maximum boete: €35 miljoen of 7 procent van de wereldwijde jaaromzet — welke hoger is (voor MKB: welke laager is)
• Wat valt eronder: social scoring door overheden, biometrische identificatie in openbare ruimte zonder toestemming, emotieherkenning op werkplek of school, manipulatie van kwetsbare groepen

Categorie 2: overtreding van Artikel 4 en andere kernverplichtingen

• Maximum boete: €15 miljoen of 3 procent van de wereldwijde jaaromzet
• Wat valt eronder: ontbreken AI-geletterdheid, ontbreken van transparantie-mechanismen (Artikel 50), foutieve risicoclassificatie van hoog-risico systemen
• Dit is de categorie waar de meeste MKB-overtredingen onder vallen

Categorie 3: administratieve fouten

• Maximum boete: €7,5 miljoen of 1 procent van de wereldwijde jaaromzet
• Wat valt eronder: foutieve of misleidende informatie aan toezichthouder, ontbrekende documentatie

Praktijk voor MKB De maximumbedragen klinken indrukwekkend, maar zijn niet realistisch voor kleine bedrijven. In de praktijk zetten toezichthouders eerst in op corrigerende maatregelen, waarschuwingen en verplicht herstel. Boetes worden pas opgelegd bij volharding of ernstige overtredingen. Voor een bedrijf met €50 miljoen omzet is de maximale boete voor een verboden social scoring-systeem €3,5 miljoen. Voor een MKB’er met een chatbot: veel lager.

Belangrijker dan de theoretische boete is de reputatieschade die publieke handhaving met zich meebrengt. De AP publiceert reguliere handhavingsbesluiten — een openbare vermelding kan meer schade toebrengen dan de boete zelf.

Vier stappen naar compliance

Op basis van de meeste aanbevelingen van de AP en Europese Commissie werkt het proces in vier hoofdfasen:

Stap 1: Inventarisatie Breng in kaart welke AI-systemen jouw organisatie gebruikt. Dat is niet triviaal — vrijwel elke moderne SaaS-tool heeft inmiddels AI-functionaliteit ingebouwd. Denk aan:

• Generatieve AI: ChatGPT, Copilot, Claude, Gemini, Perplexity
• Productiviteit: Notion AI, Grammarly, Superhuman
• Design: Canva AI, Adobe Firefly, Midjourney
• HR: recruiting-tools met AI-screening (bijvoorbeeld HireVue)
• Customer service: chatbots, sentiment-analyse
• Marketing: SEO-tools met AI-content, ads-optimalisatie
• Financieel: fraude-detectie, credit scoring

Voor elk systeem noteer je: waar wordt het voor gebruikt, wie gebruikt het, wat is de output-impact.

Stap 2: Categoriseren Bepaal per medewerker(sgroep) welk niveau van AI-geletterdheid nodig is. Een IT-ontwikkelaar heeft een ander niveau nodig dan een baliemedewerker. Zie de rollenmatrix hieronder.

Stap 3: Trainen Zorg dat elke medewerkersgroep een training krijgt die past bij haar rol. Basistraining voor iedereen, gebruikers-training voor actieve gebruikers, en een governance-sessie voor het MT.

Stap 4: Documenteren Leg alles vast. Zonder documentatie kun je bij een audit niet aantonen dat je aan de verplichting voldoet — ook al heb je in werkelijkheid alles gedaan. Dit is het belangrijkste onderdeel voor MKB’ers.

De rollenmatrix in de praktijk

Een rollenmatrix beschrijft per rol/functiegroep welk niveau van AI-geletterdheid nodig is. Voorbeeld voor een MKB-bedrijf:

Belangrijk: de matrix moet specifiek en aantoonbaar zijn. “Iedereen krijgt een cursus” is te vaag. “Alle medewerkers volgen de basiscursus van 90 minuten, gecertificeerd door [aanbieder]” is concreet.

Trainingsprogramma opzetten: drie lagen

Voor MKB’ers is een gelaagd trainingsprogramma het meest praktisch en betaalbaar:

Laag 1: Basistraining voor iedereen (30-90 minuten)

• Wat is AI en generatieve AI in de praktijk
• Welke tools zijn er in gebruik binnen ons bedrijf
• Do’s en don’ts: wat mag wel/niet in AI-prompts
• Bewustzijn van bias en hallucinatie
• Wanneer een collega inschakelen of iets NIET met AI doen

Kosten: gratis materiaal van de AP, ondernemingsplein.nl, of open-source cursussen als “Elements of AI” (gratis online, ~30 uur, Finland).

Laag 2: Uitgebreide training voor actieve gebruikers (2-4 uur)

• Prompt-engineering
• Kritisch evalueren van AI-outputs
• Data-veiligheid en AVG-relatie
• Sector-specifieke risico’s (bijv. juridische fouten, medische mis-info)
• Incident-melding en escalatie

Kosten: €150-€400 per medewerker via externe trainingsbureaus. Interne training door de DPO of IT-manager is een alternatief.

Laag 3: Governance-werksessie voor MT (halve dag)

• Wettelijke context AI Act en Artikel 4
• Rollenmatrix vaststellen
• AI-beleid schrijven en accorderen
• Incident-meldproces
• Jaarlijkse herijking

Kosten: €500-€1.500 voor externe begeleiding. Alternatief: MT-leden lezen samen de AP-handreiking en werken zelf aan governance-documenten.

Praktisch alternatief voor kleine MKB’ers Een MKB’er met 5-20 medewerkers hoeft niet drie afzonderlijke cursussen aan te schaffen. Vaak volstaat:

• Één ochtendsessie (2 uur) voor iedereen samen
• Extra uur voor actieve gebruikers
• MT-lid neemt governance-rol op zich

Belangrijk is dat de inspanning evenredig is met de risico’s. Voor een architectenbureau dat ChatGPT gebruikt voor tekst is minder training nodig dan voor een zorgorganisatie dat AI inzet voor triage.

Documentatie: wat je aantoonbaar moet hebben

Bij een controle van de AP of andere toezichthouder krijg je meestal 4-6 weken om documentatie aan te leveren. Zorg dat je hebt:

1. AI-systemen overzicht Een lijst van alle AI-tools in gebruik, wie er toegang heeft, waar de tool voor gebruikt wordt. Bijgewerkt in de afgelopen 6-12 maanden.

2. AI-beleid (schriftelijk) Een document van 2-5 pagina’s dat vastlegt:

• Welke AI-tools zijn goedgekeurd voor gebruik
• Welke data mag wel/niet in AI-prompts
• Wanneer een collega geraadpleegd moet worden
• Incident-melding-proces
• Verantwoordelijkheden per rol

3. Rollenmatrix Zoals hierboven beschreven, met per functie het vereiste niveau.

4. Bewijs van training Deelnamelijsten met datums, cursussen die zijn gevolgd, certificaten (indien beschikbaar). Voor eigen interne training: presentatiedecks, agenda’s, aanwezigheidslijsten.

5. Periodieke evaluaties Bewijs dat je minstens jaarlijks het AI-beleid en trainingsprogramma herzieben. Notulen van vergaderingen waarin dit is besproken.

6. Incident-registratie Als er AI-gerelateerde incidenten zijn geweest (data-lekken, onjuiste outputs die tot schade leidden, etc.), moet dit gedocumenteerd zijn.

Voor context over gerelateerde compliance-verplichtingen zie ook ons artikel over datalek melden bij de AP en de bredere AVG-verplichtingen.

Wat te doen bij een controle

De AP werkt in de eerste helft van 2026 aan een handhavingskader. Op basis van hoe eerdere AVG-controles verlopen, kunnen we het volgende verwachten:

Fase 1: Aankondiging Je ontvangt een brief van de AP (of relevante sectorale toezichthouder) met een verzoek om documentatie. De brief specificeert welke stukken je moet aanleveren en binnen welke termijn (meestal 4-6 weken).

Fase 2: Documentatie aanleveren Verzamel de documenten van hierboven. Wees eerlijk en volledig — probeer geen documenten te fabriceren op datum. Toezichthouders herkennen dat en categorie-3 sancties (voor foutieve informatie) volgen dan.

Fase 3: Interview of bezoek De toezichthouder kan aanvullend interviews plannen met medewerkers om te toetsen of het beleid in de praktijk werkt. Trainingen die alleen op papier bestaan komen dan snel aan het licht.

Fase 4: Bevinden De AP publiceert een schriftelijke bevindingenrapport. Dat kan zijn:

• Geen bevindingen: alles in orde
• Corrigerende maatregelen: bepaalde documenten of beleid aanvullen binnen een termijn
• Waarschuwing: expliciete niet-naleving met termijn voor herstel
• Boete: alleen bij structurele of ernstige overtredingen

Rechtsmiddelen Tegen een boete kun je in bezwaar en later beroep. Voor MKB’ers is het meestal verstandiger om corrigerende maatregelen snel op te volgen dan om te procederen — de reputatieschade bij een openbaar geschil is vaak groter dan de boete zelf.

Sector-specifieke uitdagingen

Zorg (IGJ als toezichthouder) Als AI wordt gebruikt voor triage, diagnose-ondersteuning of patiëntcommunicatie, gelden strengere eisen. Vanaf 2 december 2027 vallen medische AI-systemen bovendien onder de hoog-risico verplichtingen van Bijlage III. Zorgorganisaties moeten nu al inventariseren en trainen — de tijd tot 2027 is beperkt.

Financiële sector (AFM/DNB als toezichthouder) Banken, verzekeraars en betaaldienstverleners moeten zowel Artikel 4 (voor eigen medewerkers) als bredere AI-governance eisen implementeren. AI in credit scoring, fraude-detectie en beleggingsadvies valt vaak onder hoog-risico. Voor MiCA-gerelateerde crypto-diensten zie ons artikel over MiCA-Verordening.

HR en recruiting AI-tools voor CV-screening zijn expliciet hoog-risico onder Bijlage III (verschoven naar 2 december 2027). Voor Artikel 4 betekent dit dat HR-medewerkers een verhoogd niveau van AI-geletterdheid moeten hebben. Bias in recruiting-AI is één van de meest kritieke risico’s.

Onderwijs AI-tools in onderwijs (bijvoorbeeld cheat-detectie of adaptieve leerplatformen) vallen deels onder hoog-risico. Docenten en administratieve medewerkers hebben verschillende geletterdheidsniveaus nodig.

Overige MKB (AP als toezichthouder) Voor MKB’ers zonder specifieke sectorale toezichthouder is de AP de primaire autoriteit. Verwacht wordt dat de AP zich in H2 2026 vooral richt op:

• Grote bedrijven met veel AI-systemen
• Sectoren met veel klachten (bijv. HR-AI)
• Aselecte steekproeven

Kleine MKB’ers met beperkt AI-gebruik komen waarschijnlijk pas in 2027 aan de beurt. Maar wachten is geen strategie — bij een klacht van een medewerker of klant kan de handhaving eerder komen.

Lees ook

• AI-geletterdheid onder de AI Act: wat verandert er in 2026?
• De EU AI Act uitgelegd voor Nederlandse ondernemers
• Cybersecurity in Nederland
• NIS2-richtlijn en de gevolgen voor Nederlandse bedrijven
• Cyberverzekering in 2026: welke bescherming heb je nodig?
• Bestuurdersaansprakelijkheidsverzekering (D&O) in 2026
• MiCA-Verordening 2026: crypto-regelgeving voor Nederlandse ondernemers

Veelgestelde vragen

Wanneer start de handhaving van Artikel 4 precies?

De actieve handhaving door Nederlandse toezichthouders start op 2 augustus 2026. Artikel 4 zelf is al sinds 2 februari 2025 juridisch verplicht — vanaf augustus 2026 kunnen toezichthouders daadwerkelijk boetes en corrigerende maatregelen opleggen bij niet-naleving. In de eerste maanden (H2 2026) start de AP met oriënterende controles en sectoronderzoeken. Vanaf 2027 volgt proactieve handhaving op hoog-risico AI-systemen.

Geldt Artikel 4 ook voor mijn MKB als we alleen ChatGPT of Copilot gebruiken?

Ja. Zodra je medewerkers commerciële AI-tools zoals ChatGPT, Microsoft Copilot, Google Gemini of Claude gebruiken in hun werk, valt jouw organisatie onder de definitie van “gebruiksverantwoordelijke” en dus onder Artikel 4. Het maakt niet uit dat je de AI niet zelf hebt gebouwd — als werkgever ben je verantwoordelijk voor het waarborgen van AI-geletterdheid bij je medewerkers.

Welke training of hoeveel uren schrijft Artikel 4 voor?

De wet schrijft geen vast aantal uren, geen specifieke cursus en geen verplicht certificaat voor. Artikel 4 vraagt om een “toereikend niveau van AI-geletterdheid” dat past bij de rol van de medewerker. Voor een IT-ontwikkelaar is een ander niveau vereist dan voor een baliemedewerker. De norm is proportioneel en verschilt per functie. Belangrijk is dat je inspanning aantoonbaar is — leg altijd vast wie welke training heeft gevolgd.

Hoe hoog kunnen de boetes voor Artikel 4 oplopen?

Overtredingen van Artikel 4 vallen onder de middencategorie van Artikel 99 van de AI Act. Boetes kunnen oplopen tot €15 miljoen of 3 procent van de wereldwijde jaaromzet, welke het hoogst is (voor grote bedrijven) of het laagste (voor MKB’ers). In de praktijk zetten toezichthouders eerst in op waarschuwingen en corrigerende maatregelen. Boetes worden pas opgelegd bij structurele of ernstige overtredingen.

Wat moet ik bij een controle kunnen laten zien?

Zes dingen zijn essentieel: (1) een overzicht van alle AI-systemen in gebruik, (2) een schriftelijk AI-beleid, (3) een rollenmatrix per functiegroep, (4) deelnamelijsten en certificaten van gevolgde trainingen, (5) bewijs van periodieke evaluaties, en (6) incident-registratie. Zonder documentatie kun je niet aantonen dat je aan Artikel 4 voldoet — ook al heb je in werkelijkheid alles gedaan.

Welke Nederlandse toezichthouder houdt toezicht op mijn bedrijf?

Dat hangt af van je sector. De Autoriteit Persoonsgegevens (AP) en de Rijksinspectie Digitale Infrastructuur (RDI) zijn de coördinerende toezichthouders. Sectorale autoriteiten zijn: AFM en DNB voor de financiële sector, IGJ voor zorg, ACM voor consumentenbescherming, NVWA voor voedselveiligheid, Arbeidsinspectie voor werkomgeving, en Onderwijsinspectie voor onderwijs. Voor MKB’ers buiten deze specifieke sectoren is de AP de primaire toezichthouder.

Wat is het Digital Omnibus-akkoord?

Het Digital Omnibus-akkoord is een politiek akkoord tussen de Europese Raad en het Parlement van 7 mei 2026, dat bepaalde deadlines van de AI Act uitstelt. De verplichtingen voor hoog-risico AI-systemen onder Bijlage III schuiven op naar 2 december 2027 (was 2 augustus 2026), en Bijlage I naar 2 augustus 2028. Artikel 4 (AI-geletterdheid) en Artikel 50 (transparantie) zijn níet uitgesteld — die verplichtingen worden vanaf 2 augustus 2026 gehandhaafd.

Wat is een goede eerste stap voor een MKB-bedrijf van 20 medewerkers?

Vier concrete stappen deze zomer: (1) organiseer een 2-uurs basissessie voor alle medewerkers over verantwoord AI-gebruik, (2) maak een lijst van alle AI-tools die medewerkers gebruiken, (3) schrijf een simpel AI-beleid van 2 pagina’s dat vastlegt wat wel/niet mag, en (4) leg de deelname aan de trainingssessie schriftelijk vast. Dit alles kun je in één maand voor onder de €2.000 aan externe kosten voor elkaar krijgen.

Kan een medewerker mij melden bij de AP?

Ja. Klachtgerichte handhaving is doorlopend mogelijk vanaf 2 augustus 2026. Als een medewerker, klant of andere belanghebbende meent dat jouw organisatie Artikel 4 niet naleeft — bijvoorbeeld omdat er geen training is geweest of omdat de rollenmatrix ontbreekt — kan die persoon een klacht indienen bij de AP. Dat is een van de belangrijkste redenen om intern goed te documenteren.

Waar vind ik meer officiële informatie?

Voor Nederlandse guidance: autoriteitpersoonsgegevens.nl, speciaal de sectie over Algoritmes en AI, en de handreiking van de Directie Coördinatie Algoritmes. Voor de wetstekst zelf: EUR-Lex, Verordening (EU) 2024/1689. Voor sectorale invulling: raadpleeg de website van je relevante sectorale toezichthouder (AFM, DNB, IGJ etc.). Voor de Uitvoeringswet AI-verordening zie de publicatie op internetconsultatie.nl.