De handhaving is deze week begonnen. Vier dingen moet je kunnen laten zien, en aan drie ervan wordt meestal voorbijgelopen.
Sinds 2 augustus 2026 kunnen de Nederlandse toezichthouders optreden op artikel 4 van de AI Act. De plicht zelf bestond al sinds februari 2025, dus wat er verandert is niet de regel maar de consequentie. In de gesprekken die wij deze weken voeren gaat het bijna altijd over hetzelfde misverstand: dat je eraan voldoet door een training in te kopen.
Vier dingen, niet één
- Weten welke AI-systemen er in je organisatie gebruikt worden, inclusief wat er niet via inkoop is binnengekomen.
- Per rol bepalen welk niveau daarbij past, want het risico verschilt per functie.
- Daarop trainen.
- Vastleggen wat er gebeurd is en of het niveau daadwerkelijk veranderde.
Wie een cursus inkoopt begint bij stap drie. Dat is niet verkeerd, het is onvolledig, en het is precies de reden dat een deelnemerslijst achteraf zo weinig waard is. Een lijst bewijst aanwezigheid. De plicht gaat over geletterdheid.
De schaduwlijst
Stap één levert bij vrijwel elke organisatie een verrassing op. De officiële lijst bevat Copilot en misschien een vertaaldienst. De echte lijst bevat daarnaast de gratis ChatGPT-accounts, de AI-functie in het HR-pakket die vorig jaar stilletjes is aangezet, en de plug-in die iemand op de marketingafdeling handig vond. Die schaduwlijst is geen incident maar de norm.
Het goede nieuws is dat je die inventarisatie sowieso wilt hebben, los van de wet. Je kunt geen zinnig gesprek voeren over wat AI je oplevert als je niet weet wat er gebruikt wordt. De compliance is in dat geval een bijproduct en geen aparte kostenpost.
Wat een toezichthouder waarschijnlijk doet
De boete van maximaal 15 miljoen euro of 3% van de jaaromzet wordt op dit moment veel geciteerd, en dat geeft een vertekend beeld. De eerste jaren van een nieuwe verordening gaan doorgaans over hoogrisicotoepassingen: selectie bij sollicitaties, kredietbeoordeling, gezichtsherkenning. Een gemeente die Copilot heeft uitgerold zonder rollenanalyse staat niet boven aan die lijst.
Dat is geen reden om te wachten, maar wel om het rustig te doen. De plicht duikt eerder op in een aanbesteding, een audit of een vraag van de ondernemingsraad dan in een inspectiebrief. Op die momenten is een meting met een datum eronder een sterker antwoord dan een goede intentie.