EU AI-verordening voor het Maastrichtse MKB: wat je nu moet regelen

De EU AI-verordening is op 1 augustus 2024 in werking getreden. Twee jaar na inwerkingtreding, dus per 2 augustus 2026, moeten deployers van hoog-risico AI-systemen volledig compliant zijn. Geen abstracte Brusselse regel. Dit geldt voor het bedrijf op de Brusselsestraat dat AI-tools gebruikt voor HR-screening, de zorginstelling in Randwyck die patiëntdata verwerkt, en de fintech-spinoff uit Tapijn die kredietscores berekent.

Maastricht heeft een bijzonder profiel. De stad herbergt een van de grootste universiteiten in het zuiden van Nederland, een cluster van zorgorganisaties rondom het MUMC+, en een groeiende groep technologiebedrijven die direct of indirect bouwen op AI. Die mix maakt de AI-verordening hier relevanter, en concreter, dan in veel andere middelgrote steden.

# Wat deployers precies verplicht zijn

Kijk, de verordening maakt onderscheid tussen providers (die AI-systemen bouwen) en deployers (die ze inzetten). De meeste Maastrichtse MKB-bedrijven vallen in de tweede categorie: ze kopen een SaaS-tool, koppelen die aan hun werkprocessen, en gebruiken de output om beslissingen te nemen.

Als deployer heb je verplichtingen die staan beschreven in Artikel 26 van de EU AI-verordening. De kern: je mag een hoog-risico systeem alleen inzetten voor het doel waarvoor het ontworpen is, je moet zorgen voor menselijk toezicht, en je moet instructies van de provider opvolgen. Klinkt behapbaar. Maar er zijn vier concrete verplichtingen die de meeste bedrijven nu niet hebben geregeld.

Één: AI-geletterdheid. Artikel 4 verplicht je medewerkers die met AI-systemen werken een passend begrip bij te brengen van hoe die systemen werken en waar de risico's zitten. Niet een eenmalige presentatie, maar aantoonbare, gedocumenteerde training. Wie heeft wat geleerd, wanneer? Artikel 4 zegt letterlijk dat je dit moet afstemmen op de functie, het AI-systeem, en de context.

Twee: mensentoezicht. Als je een hoog-risico systeem inzet, moet je de output actief controleren. Een HR-systeem dat kandidaten rankt? Iemand moet die ranking begrijpen en kunnen overrulen. Niet als formaliteit, maar als werkend proces.

Drie: incidentregistratie. Gaat er iets mis met een AI-beslissing die impact heeft op een persoon? Dat moet je registreren. En afhankelijk van de ernst, melden bij de toezichthouder. De Autoriteit Persoonsgegevens (AP) speelt hierin een rol, zeker wanneer er ook persoonsgegevens in het spel zijn.

Vier: een register. Hoog-risico systemen die je inzet als deployer moeten geregistreerd staan in de EU-database. Dit geldt voor systemen die vallen onder Bijlage III van de verordening.

# De drie sectoren die in Maastricht extra opletten

# Zorg en welzijn

Maastricht heeft een dichte concentratie van zorginstellingen. Thuiszorg, GGZ, ziekenhuiszorg, revalidatie. AI-systemen die worden ingezet voor klinische beslissingen, triagering, of diagnostiek vallen vrijwel zeker onder de hoog-risico categorie. Maar ook HR-tools die roosters plannen op basis van medewerkerdata of tools die patiënttevredenheid analyseren, kunnen relevant zijn.

Bij zorginstellingen speelt de AVG ook een zware rol. Een AI-systeem dat gezondheidsdata verwerkt vereist in de meeste gevallen een DPIA (gegevensbeschermingseffectbeoordeling). De AP heeft richtsnoeren gepubliceerd over AI en gegevensverwerking die je als startpunt kunt gebruiken. Combineer die met de AI-verordening en je hebt een behoorlijk compliance-programma te doorlopen.

Eén praktisch punt: als zorginstelling ben je al gewend aan dossiervorming en verantwoording. Gebruik die infrastructuur. Een bestaand kwaliteitsmanagementsysteem is een goede basis voor AI-registratie en incidentlogging.

# Financiële dienstverleners

Financieel adviseurs, hypotheekverstrekkers, en kleine kredietverstrekkers in de regio Maastricht hebben te maken met een dubbele toezichtstructuur. Enerzijds vallen AI-systemen die creditwaardigheid beoordelen expliciet onder Bijlage III van de AI-verordening. Anderzijds is er prudentieel toezicht vanuit DNB en AFM.

Dit is een sector waar de boetes serieus zijn. Artikel 99 van de verordening noemt boetes tot 15 miljoen euro of 3% van de wereldwijde omzet voor overtredingen rondom hoog-risico systemen, en tot 35 miljoen euro of 7% voor verboden toepassingen. Voor een MKB-bedrijf met 50 werknemers is zelfs de lagere categorie existentieel.

De realiteit: veel financieel adviseurs gebruiken tools die hun softwareleverancier heeft gebouwd. Dat ontslaat jou als deployer niet van verantwoordelijkheid. Je moet weten of dat systeem hoog-risico is, en zo ja, de documentatie kunnen opvragen bij de provider.

# Techbedrijven voortgekomen uit Maastricht University

Maastricht University heeft een actief spinoff-programma. Een deel van die bedrijven bouwt AI-producten, maar een ander deel gebruikt AI puur intern voor operaties, HR, of klantprocessen. Die tweede groep wordt deployer zodra ze een hoog-risico toepassing inzet.

Bijzonder aandachtspunt hier: academische spinoffs hebben vaak geen dedicated compliance-functie. De CTO is ook hoofd IT-beveiliging en de CEO doet de HR. Dat is begrijpelijk, maar de AI-verordening accepteert het niet als excuus. Overweging 79 maakt expliciet dat ook kleine organisaties gebonden zijn aan de verplichtingen, hoewel proportionaliteit een rol speelt bij de uitwerking.

# Hoe je compliance inpast naast je hoofdactiviteit

Dit is de kern van wat Maastrichts MKB bezighoudt. Je hebt geen compliance-afdeling. Je hebt misschien één HR-persoon, een office manager, en een directeur die zeven dingen tegelijk doet. Hoe doe je dit dan?

Eerlijk gezegd: door het klein te beginnen en systematisch op te bouwen.

Stap één: inventariseer welke AI-systemen je inzet. Niet wat je denkt dat AI is, maar alles wat geautomatiseerde beslissingen neemt die mensen raken. Dat is de brutale eerste vraag. Maak een lijst met: naam van het systeem, leverancier, voor welk doel ingezet, welke data het gebruikt, en of het beslissingen neemt over mensen.

Stap twee: beoordeel het risiconiveau. Staat de toepassing in Bijlage III? Dan is het hoog-risico. Denk aan: CV-selectie en kandidaatbeoordeling (categorie 4), kredietscoring (categorie 5b), beslissingen over toegang tot gezondheidsdiensten. Als je twijfelt, ga je uit van hoog-risico totdat het tegendeel bewezen is.

Stap drie: vraag documentatie op bij je leverancier. Providers van hoog-risico systemen zijn verplicht technische documentatie en gebruiksinstructies te leveren. Heb je die niet? Vraag erom. Weigert de leverancier? Dat is een rood vlag die je serieus moet nemen.

Stap vier: regel het mensentoezicht. Wijs één persoon aan die verantwoordelijk is voor het controleren van AI-output in een specifiek proces. Leg dat vast. Geen complexe structuur, gewoon: wie, wat, hoe vaak.

Stap vijf: documenteer en train. Zorg dat medewerkers die het systeem gebruiken kunnen aantonen dat ze begrijpen wat het doet en wat de risico's zijn. Een korte interne sessie met een gespreksverslag is al een begin.

Dit alles hoeft geen voltijdbaan te zijn. Een systematische aanpak van een halve dag per maand, gecoördineerd door één verantwoordelijke, brengt de meeste MKB-bedrijven een heel eind.

# De Limburgse context en grensoverschrijdende bedrijven

Maastricht ligt op loopafstand van België en Duitsland. Bedrijven die grensoverschrijdend opereren, of die klanten hebben in meerdere EU-landen, moeten weten dat de AI-verordening als Europese verordening direct van toepassing is in alle lidstaten. Er is geen extra nationale implementatiewet nodig.

Dat betekent ook: als je een AI-systeem inkoopt van een Belgische leverancier, gelden dezelfde regels. De toezichthouder in Nederland is de AP. De Belgische tegenhanger, de GBA (Gegevensbeschermingsautoriteit), houdt toezicht op Belgische organisaties. Jurisdictie wordt bepaald door waar de deployer gevestigd is en waar de betrokkenen zich bevinden.

# Waar je nu mee begint

De deadline van augustus 2026 klinkt ver weg. Maar een gedegen AI-inventarisatie, leveranciersdocumentatie ophalen, en basistraining opzetten neemt maanden. Begin met de inventarisatie. Zet een spreadsheet op, loop je processen door, en markeer alles wat automatisch beslissingen neemt over mensen.

Daarna is de volgende logische stap een gestructureerde compliance-check. Khairos AI Comply biedt een gratis 2-minuten compliance-check via comply.khairos.ai waarmee je in één overzicht ziet waar je staat en wat je prioriteit zou moeten zijn. Maastrichts MKB hoeft dit niet in het wilde weg uit te zoeken.