Waar zit AI al in uw bedrijf?

De meeste organisaties gebruiken AI zonder het te weten. Niet omdat ze het verbergen, maar omdat het bijna nooit zo heet. In de brochure staat "slim", "automatisch" of "suggestie" — en dat leest niemand als iets waar een Europese wet op van toepassing is.

Dit overzicht laat zien waar het meestal zit. Niet om u bang te maken: de meeste van deze toepassingen zijn laag risico en mogen gewoon. Maar u kunt alleen laten zien dat u ermee omgaat als u weet dat u ze heeft.

Acht plekken waar het meestal zit

1. Boekhouding, salaris en belastingaangifte

• Bonnetjes en facturen die vanzelf worden herkend en uitgelezen
• Een grootboekrekening of btw-code die het pakket zelf voorstelt
• Aangiftesoftware die posten zelf invult of overneemt uit de administratie
• Een controle die vooraf signaleert dat een aangifte vragen zal oproepen
• Salarissoftware die loonheffingen, toeslagen of verlofrechten zelf berekent
• Een signaal uit de salarisverwerking dat een mutatie afwijkt van het patroon
• Een melding dat een boeking afwijkt van wat gebruikelijk is
• Automatische herkenning van dubbele of verdachte betalingen

Dit is de plek waar het bij administratie- en accountantskantoren vrijwel altijd zit, en waar vrijwel niemand het AI noemt. Let op de aangifte- en salarissoftware in het bijzonder: wat die voorstelt gaat onder uw naam de deur uit, en de klant rekent u erop af — niet de leverancier. Bij salaris komt er bovendien bij dat het om persoonsgegevens van medewerkers gaat, dus ook de privacywetgeving kijkt mee.

2. Mail, agenda en documenten

• Samenvattingen van lange mails of vergaderingen
• Voorgestelde antwoorden of een eerste opzet van een tekst
• Automatische notulen en transcripties van gesprekken
• Een assistent die meeschrijft in Word, Excel of PowerPoint

Microsoft Copilot, Google Gemini en ChatGPT vallen hieronder — ook als een medewerker ze op eigen initiatief gebruikt, zonder dat de organisatie het weet.

3. Uw website, marketing en online vindbaarheid

• Een chatbot of geautomatiseerde assistent
• Een telefoonmenu dat spraak herkent
• Vertalingen die vanzelf verschijnen
• Aanbevelingen of zoekresultaten die per bezoeker verschillen
• SEO-software die zelf teksten, paginatitels of metabeschrijvingen schrijft
• Zoekwoord- en contentsuggesties op basis van wat anderen publiceren
• Automatisch gegenereerde blogs, nieuwsberichten of productteksten

Hier merkt de klant het als eerste. Hij hoort of ziet dat hij niet met een mens praat, en de AI Act vraagt dat u daar open over bent. Bij SEO-teksten komt daar een tweede ding bij: ze verschijnen onder uw naam, en u bent verantwoordelijk voor wat er staat — ook voor de zin die de tool erbij verzon.

4. De creatieve hoek: beeld, geluid, video en ontwerp

Ontwerp en beeld

• Ontwerptools als Canva of Adobe, met knoppen die "Magic", "Generative" of "AI" heten
• Een afbeelding die wordt gemaakt op basis van een beschrijving
• Foto's waarin iets of iemand wordt weggepoetst, bijgemaakt of vervangen
• Achtergronden die worden losgeknipt, uitgebreid of ingevuld
• Oude of kleine beelden die worden opgeschaald of "hersteld"
• Logo-, kleur- of lay-outvoorstellen die het programma zelf aandraagt
• 3D-, CAD- of interieursoftware die varianten of plattegronden genereert

Geluid en muziek

• DJ- en muzieksoftware die zang van instrumenten scheidt, tempo en toonsoort bepaalt, zelf mixt of de volgende track voorstelt
• Muziek, zang of een stemkloon die door software is gemaakt
• Podcast- en audiobewerking die ruis, stopwoorden of stiltes weghaalt
• Een ingesproken stem of voice-over die niet van een mens komt

Video en presentatie

• Een presentator of avatar die niet bestaat
• Automatische ondertiteling, vertaling of nasynchronisatie
• Montage die zelf de beste fragmenten kiest of een korte versie maakt
• Presentaties die zichzelf opmaken of met tekst en beeld vullen

Dit is de categorie waar de meeste mensen het wél zien en er niets achter zoeken, omdat het "gewoon een knop in Canva" is — of omdat het al tien jaar in hun DJ-software zit en gewoon "stem splitsen" heet. De AI Act rekent dit tot beperkt risico: verboden is het niet, maar u moet er open over zijn — mensen moeten kunnen weten dat beeld, geluid of tekst door AI is gemaakt of bewerkt. Die verplichting is niet uitgesteld. Bij muziek speelt daarnaast iets wat los staat van de AI Act: auteursrecht, en bij een stemkloon ook het recht van de persoon wiens stem het is.

Waarom dit blok het langst is

Omdat hier de grootste blinde vlek van allemaal zit, en die zit juist bij organisaties die denken dat creatief werk hen niet aangaat.

Er is steeds minder budget voor een ontwerper, een fotograaf of een videomaker. Dus maakt iemand het zelf: een collega die handig is met Canva, een adviseur die thuis video's monteert, een beleidsmedewerker die een kaartje in elkaar zet. Prima mensen met prima resultaten — maar het is niet hun vak, en ze doen het buiten elk proces om. Er is geen inkooptraject, geen leverancier, geen contract en geen regel die zegt wat wel en niet mag. Het staat op een privé-account, in een tool die niemand heeft beoordeeld, en het verschijnt vervolgens wel onder de naam van de organisatie.

Dat is geen verwijt aan die collega. Het is precies het soort gebruik dat nergens wordt vastgelegd, en dus ook nergens opduikt als iemand vraagt welke AI u gebruikt. Zet u het wél op de lijst, dan is het meestal in vijf minuten geregeld: een afspraak over wat er met de naam van de organisatie naar buiten mag, en een notitie in uw register.

5. Personeel en inhuur

• Software die cv’s voorsorteert of scoort
• Een systeem dat kandidaten aandraagt of juist laat afvallen
• Roosters die vanzelf worden ingedeeld
• Tools die prestaties of aanwezigheid in de gaten houden

Dit is de enige categorie in dit rijtje die in de AI Act apart genoemd wordt als hoog risico. Hier gelden zwaardere eisen dan bij de rest.

6. Uw vakspecifieke software

• Dossier-, zaak- of praktijksoftware met een "slimme" functie
• Software die een aangifte, aanvraag of rapport zelf opstelt of controleert
• Een module die risico’s inschat of een prioriteit toekent
• Een nieuwe knop die er vorig jaar nog niet zat

Juist hier zit de blinde vlek: deze software is gekocht om het vak te ondersteunen, niet als AI-product, en de AI-functie is er in een update bij gekomen.

7. Stuurinformatie en rapportage

• Dashboards die zelf een trend, afwijking of uitschieter aanwijzen
• Prognoses van omzet, verzuim, bezetting of voorraad
• Een "insight" of verklaring die het pakket zelf bij een cijfer schrijft
• Klant- of dossiersegmentatie die het systeem zelf maakt
• Een rapportage die in gewone taal samenvat wat de cijfers volgens de software betekenen

Business intelligence voelt als rekenen, en rekenen is geen AI. Het verschil zit in het moment dat het pakket niet alleen een getal geeft maar ook een richting: dit valt op, dit gaat stijgen, deze klant is een risico. Dat is een analyse die een besluit voorbereidt — en daarmee precies waar de AI Act naar kijkt.

8. Toegang, beveiliging en inloggen

• Inloggen met gezicht of vingerafdruk
• Software die beoordeelt of een inlogpoging verdacht is — ander apparaat, ongebruikelijke locatie, raar tijdstip — en dan om extra verificatie vraagt
• Spamfilters en phishingdetectie die zelf bijleren
• Beveiligingssoftware die afwijkend gedrag op het netwerk signaleert
• Camerasystemen die personen of kentekens herkennen
• Identiteitscontrole op afstand, waarbij een gezicht wordt vergeleken met een identiteitsbewijs

Een authenticator-app die alleen een code genereert is géén AI: dat is rekenkunde zonder model. Hetzelfde geldt voor een wachtwoordmanager. Het kantelt bij gezichtsherkenning en bij software die een inlogpoging beoordeelt — dat laatste zit standaard in Microsoft Entra en in de meeste moderne beveiligingspakketten, meestal aangezet zonder dat iemand het als AI heeft geregistreerd.

Let hier op één nuance. Alleen bevestigen “bent u deze medewerker” valt niet in de zwaarste categorie. Herkennen wié iemand is vanaf afstand, bijvoorbeeld met een camera in een ruimte, wel. En emotieherkenning is een categorie apart, met eigen regels.

Hoe herkent u het zonder technische kennis?

U hoeft niet te begrijpen hoe het werkt. U hoeft alleen de woorden te herkennen die leveranciers ervoor gebruiken. Zoek in de handleiding, de releasenotes of het instellingenmenu op:

slim · automatisch herkennen · voorspelt · suggestie · assistent · Copilot · AI · generatief · machine learning · scoring · magic · enhance · auto

Vindt u een van die woorden bij een functie die iets voor u invult, beoordeelt of voorstelt? Dan is dat een kandidaat voor uw AI-register.

Drie vragen die in de praktijk het meeste opleveren:

1. Vul ik dit zelf in, of staat het er al? Wat er vanzelf staat, is ergens door iets bedacht.
2. Is hier dit jaar een functie bij gekomen? AI komt zelden binnen als nieuw pakket, meestal als update.
3. Wat gebruiken mijn mensen zelf? Een medewerker met een gratis ChatGPT-account is net zo goed AI-gebruik van uw organisatie.

Wat betekent dit nu voor u?

Het eerlijke antwoord: minder dan veel partijen u willen laten geloven, maar niet niets.

Wat wél geldt. Deze verplichting geldt sinds februari 2025 rechtstreeks en is in juli 2026 herschreven. Uw organisatie moet maatregelen nemen die AI-geletterdheid ondersteunen, afgestemd op de kennis en het werk van uw mensen, en moet kunnen laten zien welke dat zijn. Er is geen ondergrens: of u nu met zes of met zeshonderd mensen bent, als er AI wordt gebruikt geldt het. Dat geldt ook bij laag risico. Dit is artikel 4 van de Europese AI-verordening.

Wat niet geldt. U hoeft niet te garanderen dat iemand een bepaald kennisniveau heeft. U hoeft geen afdeling, geen auditcommissie en geen dik rapport. En de boetes van tientallen miljoenen waarmee geschermd wordt, horen bij verboden toepassingen van AI — niet bij de geletterdheidsplicht. Voor deze verplichting volgen sancties uit de Nederlandse wet, waarbij rekening wordt gehouden met de draagkracht van kleine organisaties.

De categorie zegt niets over de schade. Een voorbeeld dat dat pijnlijk duidelijk maakt. Iedere bank is wettelijk verplicht het betalingsverkeer van klanten te monitoren op ongebruikelijke transacties, en dat gebeurt in de praktijk met modellen die zelf patronen leren herkennen. Het is dus geen uitzondering bij één bank, maar staande praktijk in de hele sector. De wet rekent het beoordelen van de kredietwaardigheid van particulieren tot de zwaarste categorie — maar met een uitzondering: systemen die financiële fraude opsporen vallen er juist buiten. Een ondernemer die wij spreken zag zijn zakelijke rekeningen het afgelopen jaar acht keer geblokkeerd omdat zo’n model aansloeg. Geen fraude, wel acht keer geen betalingsverkeer.

Dat systeem is dus volgens de wet géén hoog risico, en toch is de schade bij de gebruiker aanzienlijk. Daar zit de les voor uw eigen organisatie: de categorie waarin een systeem valt zegt iets over welke verplichtingen de wet oplegt, niet over wat er misgaat als het model ernaast zit. Wie zijn klanten of medewerkers serieus neemt, kijkt naar het tweede. Overigens: dat de AI Act hier weinig biedt, betekent niet dat er niets is — de privacywet geeft bij besluiten die iemand hard raken recht op een mens die ernaar kijkt, en op uitleg.

Waar het echte risico zit is dus niet de boete, maar het moment waarop iemand het vraagt: een klant, een accountant, een aanbestedende partij, een toezichthouder na een incident. Dan is de vraag niet of u AI gebruikt, maar of u kunt laten zien dat u weet welke, en wat u eraan heeft gedaan. Dat kunt u niet voor systemen waarvan u het bestaan niet kende.

Wat nu?

Doe de zelftest. Twaalf vragen, een paar minuten, geen kosten. U krijgt direct een uitslag en per e-mail een rapport met de punten die bij u opvallen.

Of zet het in één keer op orde. Met AI Act Basis krijgt u een ingevuld AI-register, een AI-beleid op naam van uw organisatie en een training met certificaat per medewerker.