Artikel 50 van de EU AI Act geldt in beginsel sinds 2 augustus 2026, met een beperkte overgang voor bepaalde technische markering tot 2 december 2026. Welke verplichtingen jouw bedrijf heeft, hangt af van je rol en toepassing. Ook klanten kunnen vragen welke AI-systemen je gebruikt en waar hun gegevens worden verwerkt.
Niet de toezichthouder is je eerste confrontatie. Het is de inkoper die je jaarlijkse vragenlijst stuurt met een nieuwe regel erin: welke AI-systemen zet u in bij de verwerking van onze gegevens, en waar worden die verwerkt?
Wie daar een goed antwoord op heeft, wint aanbestedingen. Wie het niet weet, verliest ze — nog voordat er over prijs is gesproken. Dit artikel gaat over dat antwoord.
Wat er sinds augustus 2026 precies geldt
De AI Act wordt gefaseerd van kracht. Het beeld is de afgelopen maanden wel verschoven, dus even de stand van zaken zoals die nu is:
Schuif de tabel opzij om alle kolommen te bekijken.
| Verplichting | Sinds / vanaf | Raakt dit het MKB? |
|---|---|---|
| Oorspronkelijke verboden AI-praktijken (art. 5) | 2 februari 2025 | Afhankelijk van de toepassing, bijvoorbeeld social scoring |
| AI-geletterdheid (art. 4) | Sinds 2 februari 2025; inhoud gewijzigd per 27 juli 2026 | Ja — maatregelen ter ondersteuning van AI-geletterdheid |
| Regels voor algemene AI-modellen (GPAI) | 2 augustus 2025 | Alleen als je zelf modellen aanbiedt |
| Transparantie (art. 50) | 2 augustus 2026; beperkte overgang art. 50(2) tot 2 december 2026 | Ja — chatbots, AI-content, deepfakes |
| Hoog-risico, bijlage III | 2 december 2027 | Alleen bij bijv. werving, kredietbeoordeling |
| AI ingebed in producten, bijlage I | 2 augustus 2028 | Alleen bij gereguleerde producten |
Begin met je rol, systemen en gegevensstromen. Waar de informatieplicht geldt, maak je duidelijk dat iemand met AI communiceert. Aanbieders en gebruiksverantwoordelijken nemen daarnaast maatregelen die de ontwikkeling van AI-geletterdheid ondersteunen, passend bij medewerkers en gebruikscontext. Artikel 4 vraagt geen garantie van een bepaald individueel kennisniveau.
De nuance die je in veel samenvattingen mist
De algemene toepassingsdatum van artikel 50 is 2 augustus 2026. Voor aanbieders van bepaalde synthetische audio-, beeld-, video- en tekstsystemen die vóór die datum op de markt zijn gebracht, geldt voor de technische markering onder artikel 50(2) een overgang tot 2 december 2026. Dit is geen algemeen uitstel van alle transparantieverplichtingen. Zie de officiële implementatietijdlijn.
Een gewone chatbottoepassing valt niet automatisch onder de volledige hoog-risicoverplichtingen. Controleer eerst de concrete toepassing en jouw rol. Andere verplichtingen, waaronder privacyregels en toepasselijke transparantieregels, blijven afzonderlijk relevant.
De vraag die klanten gaan stellen
De AVG kende die vraag al: wie verwerkt onze gegevens en waar? De AI Act maakt hem urgenter, omdat er nu een tweede laag bij komt: en welk model kijkt ernaar?
Bij een automatiseringsplatform in de cloud is het eerlijke antwoord meestal: je data loopt door de infrastructuur van de leverancier, onder diens verwerkersovereenkomst, met de doorgifteafspraken die daarbij horen. Dat mag. Maar het is wel een schakel in je keten waar jij geen controle over hebt en die je moet kunnen uitleggen.
Schuif de tabel opzij om alle kolommen te bekijken.
| Onderdeel | Cloudplatform | Zelf beheerde n8n-omgeving |
|---|---|---|
| Automatisering | Infrastructuur van de platformleverancier | Gekozen eigen infrastructuur |
| Gekoppelde diensten | AI, CRM, mail en opslag afzonderlijk beoordelen | AI, CRM, mail en opslag afzonderlijk beoordelen |
| Locatie en juridische rol | Per verwerking vastleggen | Per verwerking vastleggen |
Self-hosting geeft regie over de infrastructuur waarop n8n draait. Gegevens kunnen nog steeds naar gekoppelde AI-modellen, CRM-, mail-, opslag- en andere leveranciers gaan. Leg per koppeling vast welke gegevens worden verwerkt, waar en onder welke afspraken.
Wat self-hosting wél en niet oplost
Hier ben ik graag precies, want er wordt te makkelijk gedaan alsof zelf hosten een vrijbrief is.
Schuif de tabel opzij om alle kolommen te bekijken.
| Vraagstuk | Lost self-hosting dit op? | Toelichting |
|---|---|---|
| Waar staat mijn data fysiek? | Per inrichting beoordelen | De n8n-installatie staat op de gekozen infrastructuur; andere gegevensstromen worden apart beoordeeld. |
| Hoeveel verwerkers zitten in mijn keten? | Per inrichting beoordelen | Afhankelijk van de inrichting: hosting, beheer, opslag en gekoppelde diensten kunnen afzonderlijke partijen zijn. |
| Doorgifte buiten de EER | Niet automatisch | Beoordeel alle diensten, toegangspaden en eventuele doorgiften, niet alleen het AI-model. |
| Wie kan bij mijn logs? | Per inrichting beoordelen | Bewaarlocatie, toegang en bewaartermijn van logs worden per inrichting vastgelegd. |
| Transparantieplicht (art. 50) | Nee | De toepasselijke verplichtingen blijven gelden; jouw verantwoordelijkheid hangt af van je rol en toepassing |
| AI-geletterdheid van je team | Nee | Dat is opleiding, geen infrastructuur |
| Menselijk toezicht op AI-beslissingen | Nee | Dat ontwerp je in de flow, niet in de server |
| Beveiliging en updates | Nee — wordt jouw taak | Slecht beheerde self-hosting is slechter dan cloud |
Het aantal betrokken partijen hangt af van hosting, beheer, opslag en externe koppelingen. Breng voor elke gekozen inrichting de rollen, gegevensstromen en afspraken in kaart; er bestaat geen vast aantal schakels voor self-hosting.
Zonder updates, monitoring, back-ups en hersteltests neemt het risico toe. Regel beheer zelf, via een derde of via een afgebakend onderhoudspakket. Bekijk mijn prijzen en pakketgrenzen en onderhoudsvoorwaarden.
Wat je deze maand concreet kunt regelen
Deze vijf stappen zijn een praktisch begin. De benodigde tijd en verdere maatregelen hangen af van jouw systemen, risico’s en rol.
- Maak een AI-register. Eén spreadsheet: welke AI-tool, waarvoor, welke leverancier, welke data gaat erin. Vijf kolommen is genoeg om te beginnen.
- Maak bij de eerste interactie duidelijk dat de bezoeker met AI communiceert, waar die informatieplicht geldt. Zorg voor een duidelijke en toegankelijke melding. Controleer daarnaast welke andere onderdelen van artikel 50 voor jouw rol en toepassing gelden.
- Leg vast waarvoor medewerkers AI mogen gebruiken, welke gegevens zij mogen invoeren en wanneer menselijke controle nodig is. Bespreek de regels met medewerkers en richt gebruik, toegang en opvolging daarop in.
- Ondersteun AI-geletterdheid. Kies training en begeleiding die passen bij de gebruikte systemen, risico’s en ervaring van medewerkers. Leg de maatregelen vast; een korte sessie is niet automatisch voldoende voor iedere situatie. Zie de uitleg van de Europese Commissie.
- Breng je datastromen in kaart. Welke gegevens verlaten je omgeving, via welk systeem, naar welk land? Dit is het antwoord dat je straks in een vragenlijst nodig hebt.
Waarom dit ook zonder wet verstandig is
Los van elke verplichting: elk van deze vijf stappen maakt je bedrijf beter bestuurbaar. Je weet welke tools er gebruikt worden, wie waar bij kan en wat er misgaat als een leverancier omvalt. Dat is gewoon goed ondernemerschap — de wet is hier eens niet de reden, maar de aanleiding.
Hoe ik het inricht
Ik bouw op n8n, self-hosted, met drie vaste principes:
- Logging passend bij proces en risico. Leg noodzakelijke gebeurtenissen, tijdstippen en uitkomsten vast, met afgesproken toegang en bewaartermijnen. Sla niet automatisch volledige gevoelige invoer of uitvoer op.
- Beslissingen met impact krijgen een mens. Een AI-stap stelt voor; een mens bevestigt. Zie wanneer een AI-agent en wanneer een gewone flow.
- Data blijft waar hij hoort. Ik leg vooraf vast welke gegevens in de eigen omgeving blijven en welke via AI-, CRM-, mail- of andere gekoppelde diensten worden verwerkt.
De afweging tussen self-hosted en cloud, inclusief kosten, staat uitgewerkt in de vergelijking van n8n, Zapier en Make. Hoe ik zelf met gegevens omga lees je in mijn privacyverklaring, en de bredere onderbouwing op waarom n8n.
Voor de procesgrenzen en menselijke beslismomenten gebruik je het stappenplan voor procesautomatisering. De technische controles op dubbele acties, retries, logging en herstel staan in de gids over een betrouwbare n8n workflow.
De vragenlijst die je gaat krijgen
Dit is geen theorie. Dit zijn de vragen die inkopers, accountants en grotere opdrachtgevers sinds dit jaar in hun leveranciersformulieren opnemen. Zet ze naast je eigen situatie en kijk waar je moet passen.
Schuif de tabel opzij om alle kolommen te bekijken.
| De vraag | Antwoord bij cloudplatform | Antwoord bij self-hosted |
|---|---|---|
| Waar worden onze gegevens verwerkt? | In de infrastructuur van de leverancier — regio afhankelijk van het plan | Op de vastgelegde infrastructuur en bij de vastgelegde gekoppelde leveranciers. |
| Wie zijn de subverwerkers? | Platform + eventueel AI-leverancier + hun onderaannemers | De vastgelegde hosting-, beheer-, opslag- en gekoppelde leveranciers. |
| Vindt er doorgifte buiten de EER plaats? | Mogelijk — vereist toetsing per dienst | Te beoordelen voor alle diensten en toegangspaden. |
| Hoe lang worden uitvoeringsgegevens bewaard? | Volgens het beleid van de leverancier | Volgens ons eigen bewaarbeleid |
| Wie kan bij de logbestanden? | Leverancier heeft technisch toegang | De expliciet bevoegde beheerders en leveranciers volgens de inrichting. |
| Kunt u een verwerkingsregister overleggen? | Ja, met externe schakels erin | Ja, met alle toepasselijke rollen en schakels. |
| Is er een mens betrokken bij AI-beslissingen? | Afhankelijk van jouw ontwerp | Afhankelijk van jouw ontwerp |
Een overzichtelijke keten helpt pas als iedere betrokken dienst en gegevensstroom werkelijk is vastgelegd.
De optie die bijna niemand overweegt: het model óók zelf draaien
Ook bij self-hosted automatisering kunnen meerdere externe diensten betrokken zijn. Bij een extern taalmodel wordt de inhoud van de modelaanroep bij die leverancier verwerkt; dat beoordeel je naast hosting, CRM, mail, opslag en beheerstoegang.
Voor veel toepassingen is dat prima, mits je het netjes regelt en er transparant over bent. Maar er is een derde weg die zelden ter sprake komt: een taalmodel op je eigen infrastructuur draaien. De open modellen van de afgelopen twee jaar zijn goed genoeg geworden voor het soort werk dat het MKB nodig heeft — classificeren, samenvatten, structureren, opstellen.
Schuif de tabel opzij om alle kolommen te bekijken.
| Extern model | Eigen model | |
|---|---|---|
| Kwaliteit bij redeneren | Hoger | Voldoende tot goed |
| Kwaliteit bij classificeren en samenvatten | Hoog | Vergelijkbaar |
| Kosten | Per bericht, schaalt met volume | Infrastructuur, beheer en eventuele licenties; capaciteit kan meegroeien. |
| Data verlaat je omgeving | Bij de modelleverancier; overige koppelingen apart beoordelen | Afhankelijk van overige koppelingen en inrichting |
| Beheerslast | Leveranciersbeheer, gebruikscontrole en integratiebeheer blijven nodig | Eigen infrastructuur en modelbeheer blijven nodig |
| Geschikt voor | Complexe, wisselende taken | Hoog volume, herhaalbaar werk |
Lokale verwerking kan een externe gegevensstroom vermijden. De overige leveranciers en koppelingen blijven afzonderlijk te beoordelen. De keuze tussen lokale en externe modellen leg ik vooraf per stap vast.
Je AI-register in vijf kolommen
Een intern AI-overzicht helpt om systemen, doelen, leveranciers en gegevensstromen te inventariseren. De tabel hieronder is een praktisch startpunt, geen bewijs dat daarmee aan alle wettelijke register- of documentatieplichten is voldaan. Welke plichten gelden, hangt af van jouw rol, systeem en verwerking.
Schuif de tabel opzij om alle kolommen te bekijken.
| Tool of flow | Waarvoor | Leverancier | Welke data gaat erin | Risiconiveau |
|---|---|---|---|---|
| Mailtriage-agent | Inkomende post classificeren en concept opstellen | eigen n8n + extern model | e-mailinhoud, klantnaam | Beperkt |
| Factuuruitlezing | Velden uit inkoopfacturen halen | eigen n8n + eigen model | factuurdata, leveranciersnaam | Minimaal |
| Chatbot op website | Veelgestelde vragen beantwoorden | eigen n8n + extern model | vraag van bezoeker | Beperkt — meldplicht |
| Tekstassistent | Concepten schrijven | commerciële tool | geen klantdata (afgesproken) | Minimaal |
Waar ik zelf de grens leg
Ik ben geen jurist en dit artikel is geen juridisch advies. Ik leg logging, toegestane acties, foutafhandeling en noodzakelijke menselijke goedkeuring vooraf vast op basis van proces en risico. Ik bewaar niet automatisch volledige gevoelige payloads. Lees de gids over foutafhandeling in n8n.
Twijfel je over jouw specifieke situatie — bijvoorbeeld omdat je met AI meebeslist over werving, kredietverlening of toegang tot een dienst — leg dat dan voor aan een jurist. Dat kost je een uur en het scheelt je mogelijk een categorie verplichtingen waar je nu niet vanaf weet.
Wat dit commercieel oplevert
Tot slot de kant die in compliance-artikelen structureel ontbreekt: dit is niet alleen risicobeheersing. Het is een verkoopargument.
- Je wint aanbestedingen waar anderen op afhaken. Zodra een opdrachtgever datavragen stelt, valt een deel van je concurrentie af omdat ze het antwoord niet hebben.
- Je kunt met partijen werken die anders niet mogen. Zorg, onderwijs, juridische dienstverlening en de publieke sector hebben harde eisen. Wie eraan voldoet, heeft minder concurrentie in dat segment.
- Je bereidt vervolgstappen voor. Voor de betrokken hoog-risicoregels gelden 2 december 2027 en 2 augustus 2028. Een register en passende logging helpen bij de voorbereiding. Welke aanvullende maatregelen nodig zijn, hangt af van je rol, toepassing en de toepasselijke regels; voor bestaande systemen moet ook het overgangsrecht worden beoordeeld.
Dat laatste is het echte argument. Het gaat niet om deze deadline. Het gaat erom dat je bedrijfsvoering uitlegbaar is op het moment dat iemand ernaar vraagt — en dat moment komt.
Veelgestelde vragen
Geldt de AI Act ook voor mijn MKB-bedrijf?
De toepasselijke verplichtingen hangen af van je rol en toepassing. Denk aan transparantie over AI waar dat verplicht is, maatregelen ter ondersteuning van AI-geletterdheid en beoordeling van gegevensbescherming. Self-hosting vervangt die beoordeling niet en een intern register bewijst niet op zichzelf volledige naleving.
Wat moet ik sinds 2 augustus 2026 geregeld hebben?
Artikel 50 geldt in beginsel vanaf 2 augustus 2026. Voor aanbieders van bepaalde al vóór die datum op de markt gebrachte generatieve systemen geldt voor artikel 50(2) een overgang tot 2 december 2026; dit is geen algemeen uitstel. Artikel 4 vraagt maatregelen die de ontwikkeling van AI-geletterdheid ondersteunen. Voor de betrokken hoog-risicoregels gelden 2 december 2027 en 2 augustus 2028, met afzonderlijk overgangsrecht voor bestaande systemen.
Wat is data-soevereiniteit?
Data-soevereiniteit betekent dat jij bepaalt waar je gegevens staan, wie erbij kan en onder welk recht dat valt. Voor een automatiseringsplatform is de kernvraag simpel: verlaat je klantdata je eigen omgeving, en zo ja, naar wie en waarheen?
Lost self-hosting mijn AVG- en AI Act-verplichtingen op?
Nee. Self-hosting bepaalt alleen de gekozen n8n-infrastructuur. Breng hosting, beheer, logging, back-ups en alle gekoppelde leveranciers en gegevensstromen in kaart. De toepasselijke privacy- en AI-verplichtingen hangen af van de feitelijke verwerking en rol; vragen over doorgifte blijven relevant.
Mag ik nog AI-modellen van buiten de EU gebruiken?
Dat moet per verwerking worden beoordeeld. Controleer de gegevens, betrokken leveranciers, verwerkingslocaties, toegang en benodigde afspraken voor eventuele doorgifte buiten de EER. Een eigen n8n-server of een lokaal model vervangt die beoordeling niet. Zie de uitleg van de EDPB over internationale doorgifte.
Dit artikel is algemene informatie en geen juridisch advies. Data over de AI Act-fasering is gebaseerd op de gepubliceerde verordening en de Digital Omnibus (Verordening (EU) 2026/1744). Twijfel je over jouw situatie, leg die dan voor aan een jurist.
