De meeste AI Act-adviezen zijn geschreven voor organisaties met een compliance-afdeling. Voor een bedrijf met 40 medewerkers, waar de operationeel directeur ook de privacyvragen doet, is dat advies niet verkeerd maar wel onbruikbaar. Het gaat uit van rollen die er niet zijn en van budgetten die niet passen.
Dit stuk gaat over wat AI governance werkelijk vraagt bij 20 tot 250 medewerkers: aan geld, aan doorlooptijd en vooral aan volgorde. Die laatste bepaalt of het traject slaagt.
Waar het mkb wél en niet mee te maken heeft
Begin met wat er niet speelt. De zware verplichtingen rond hoog-risicosystemen uit Bijlage III gelden vanaf 2 december 2027, en veel mkb-organisaties hebben zulke systemen helemaal niet. Wie geen sollicitanten voorsorteert met AI, geen kredietbeslissingen voorbereidt en geen toegang tot essentiële diensten bepaalt, valt daarbuiten.
Wat wél speelt is smaller en concreter. De transparantieplichten uit artikel 50 gelden sinds 2 augustus 2026 en raken iedereen met een chatbot of met AI-gegenereerde content in de communicatie. De plicht uit artikel 4 om maatregelen te nemen die AI-geletterdheid ondersteunen geldt sinds februari 2025 en raakt iedereen met medewerkers die AI gebruiken. En als u AI inkoopt, hebt u een leveranciersvraag te beantwoorden.
Die scoping is de eerste besparing. Organisaties die zich laten meeslepen in een volledig AI-managementsysteem betalen voor verplichtingen die niet op hen rusten.
De realistische volgorde
De volgorde is belangrijker dan het tempo, want elke stap levert de input voor de volgende.
Eerst inventariseren. Welke AI draait er, wie gebruikt het, en bent u aanbieder of gebruiksverantwoordelijke. Zonder dat overzicht kunt u niets prioriteren. Reken op twee tot vier weken doorlooptijd, waarvan het meeste wachttijd is op antwoorden uit de organisatie.
Dan classificeren en afbakenen. Bepaal per systeem welke plichten gelden. Voor de meeste mkb-organisaties eindigt dit met een korte lijst: een paar systemen onder artikel 50, de rest onder het basisregime. Dat is een prettige uitkomst en een goede reden om deze stap niet over te slaan.
Dan uitvoeren wat nu geldt. Artikel 50 is de enige verplichting met handhaving die vandaag speelt, dus die gaat voor. AI-geletterdheid loopt daarnaast door, want dat is een doorlopende plicht en geen project.
Dan pas beleid en documentatie. Veel trajecten beginnen hier, met een AI-beleid als eerste deliverable. Dat is de verkeerde volgorde: beleid dat niet op uw werkelijke AI-gebruik is gebaseerd, beschrijft een organisatie die niet bestaat.
Wat het kost
Eerlijke cijfers, geen bandbreedtes van tien tot honderdduizend euro.
Een organisatie die het volledig zelf doet, is vooral tijd kwijt. Reken op 40 tot 80 uur intern voor inventarisatie, rolbepaling en classificatie, verspreid over meerdere mensen. Dat is haalbaar als iemand het echt oppakt en het bestuur mandaat geeft. Het gaat mis wanneer het erbij komt naast een volle agenda.
Met externe begeleiding start het bij ons met de AI governance scan van 2.950 euro, verrekenbaar bij een vervolgopdracht. Dat levert het register, de rolbepaling, de classificatie en de prioriteiten. Voor veel mkb-organisaties is dat genoeg om daarna zelfstandig verder te kunnen.
Wilt u ook de uitvoering, dus beleid, documentatie en een werkende structuur die na oplevering blijft draaien, dan is de AI Act Readiness Sprint van 9.900 euro de route. Combineert u dat met het bewijsdossier rond AI-geletterdheid, dan komt u uit op de bundel van 21.900 euro.
Waar het budget bij het mkb doorgaans niet heen hoeft: een AI-managementsysteem volgens ISO 42001, tenzij een klant of aanbesteding daar expliciet om vraagt. Certificering levert geen wettelijk vermoeden van conformiteit met de AI Act op. Het is een goede ruggengraat voor wie er om andere redenen naartoe wil, maar het is geen route om aan de AI Act te voldoen.
Weegt u een softwarelicentie nog af tegen externe begeleiding? Vergelijk dan eerst AI Act-software met een consultant voordat u budget aan tooling vastlegt.
Wat u zelf kunt en wat u beter uitbesteedt
Zelf goed te doen: de inventarisatie. Niemand kent uw tools beter dan uw eigen mensen, en het uitbesteden van deze stap is duur en trager.
Zelf lastig: de rolbepaling bij systemen die u hebt aangepast, en de classificatie in twijfelgevallen. Dat is de plek waar een verkeerde inschatting later het meeste kost, omdat alle vervolgstappen erop gebouwd worden.
Zelf niet te doen: de motivering die een toezichthouder overtuigt. Niet omdat het geheime kennis is, maar omdat het schrijven van een verdedigbare afweging een vaardigheid is die u zelden nodig hebt en dus niet ontwikkelt.
De valkuil van wachten
De verschuiving van de hoog-risicoverplichtingen naar 2 december 2027 heeft veel organisaties rustiger gemaakt. Dat is voor het mkb deels terecht, omdat die verplichtingen vaak niet spelen. Maar het heeft ook geleid tot uitstel van de dingen die wél gelden.
De eerstvolgende datum is 2 december 2026, wanneer de overgangstermijn voor machineleesbare markering afloopt en de nieuwe verboden rond deepfakes en niet-consensuele intieme content gaan gelden. Daarna is 2 december 2027 aan de beurt. Wie in 2027 begint met inventariseren, heeft geen tijd meer voor de stappen die daarop volgen.
Slot
AI governance in het mkb is geen kleine versie van het grote traject. Het is een ander traject, met een kortere lijst verplichtingen en een scherpere volgorde. De organisaties die dit goed doen, zijn niet degene die het meest uitgeven. Het zijn degene die eerst hebben uitgezocht wat er echt op hen rust.
De juridische achtergrond bij de verplichtingen staat op het Praxikon. Voor de AI-geletterdheid van uw team levert LearnWize rolgerichte training met een registratie per medewerker.
