AI Act boetes: wat riskeert een klein bedrijf echt?

Dit is het laatste deel van de reeks. De vorige vier gingen over wat er verandert, wat niet mag, wat je team moet weten en wat je vastlegt. Nu de vraag die daar de hele tijd onder ligt: wat gebeurt er eigenlijk als je niets doet?

Het eerlijke antwoord is genuanceerder dan de bedragen doen vermoeden. Er staan getallen in deze wet waar je van schrikt, en tegelijk is de kans dat een kleine ondernemer daarmee te maken krijgt beperkt. Beide dingen zijn waar.

Welke boetes staan er in de wet?

Er zijn drie niveaus, afhankelijk van wat je fout doet. De bedragen staan in de wettekst zelf.

Het bovenste niveau gaat over de toepassingen uit deel 2, zoals emotieherkenning bij personeel of sollicitanten. Het middelste dekt de transparantieplicht uit deel 1 en de kennisplicht uit deel 3. Het onderste laat zien dat liegen tegen de controleur een aparte overtreding is.

Voor een gemiddelde ondernemer is het middelste niveau het meest relevant, want daar vallen de regels onder die echt voor jou gelden.

Gelden die bedragen ook voor een eenmanszaak?

Nee, en dit is de belangrijkste nuance van dit hele artikel. Bij grote bedrijven pakt de toezichthouder het hoogste van de twee bedragen. Bij het MKB en bij startups is het precies andersom: daar geldt het laagste van het vaste bedrag en het percentage.

Voor een klein bedrijf betekent dat het percentage, niet het miljoenenbedrag. Hoe dat uitpakt zie je verderop in dit artikel.

Daar komt bij dat toezichthouders verplicht zijn rekening te houden met de omvang van je bedrijf, je financiële draagkracht en of je het überhaupt kunt overleven. Een boete die een klein bedrijf omver duwt is niet het doel.

Wie controleert dit in Nederland?

De Autoriteit Persoonsgegevens is de belangrijkste toezichthouder voor de AI-verordening. Dezelfde organisatie die ook op privacy toeziet. Daarnaast houdt de Rijksinspectie Digitale Infrastructuur zich bezig met producten waar AI in zit.

Dat de AP dit doet is veelzeggend. Die organisatie werkt vrijwel altijd op basis van klachten en signalen, niet door willekeurig bedrijven langs te gaan. Hun capaciteit is beperkt en gaat naar zaken met de meeste impact.

Wat kost het je in de praktijk?

Reken het door, dan wordt het concreet. Steeds op basis van het middelste niveau, waar de meeste ondernemers onder vallen, met de rekenregel voor het MKB.

Let op dat dit maxima zijn, geen bedragen die je krijgt. Een eerste overtreding waarbij je meewerkt eindigt vrijwel nooit bovenin, en de toezichthouder moet kijken naar wat je kunt dragen.

Let ook op het patroon: het risico groeit mee met je bedrijf. Juist daarom is het slim om het nu te regelen, terwijl het weinig voorstelt, in plaats van over drie jaar als er meer op het spel staat.

Hoe groot is de kans dat jij aan de beurt bent?

Klein, als je eerlijk kijkt. Er is geen inspecteur die de bakkerijen in Groningen afgaat om chatbots te controleren. De aandacht gaat naar grote partijen, naar leveranciers van AI-systemen en naar zaken waar mensen schade lijden.

Het risico voor een klein bedrijf ontstaat langs een andere route, en die is wel reëel:

• Een medewerker die klaagt. Ontdekt iemand dat je software zijn stem of gezicht analyseert, dan is dat een melding die serieus wordt genomen.
• Een sollicitant die afgewezen wordt. Dit is de meest waarschijnlijke bron van gedoe. Wie denkt dat een computer hem onterecht heeft afgewezen, stapt tegenwoordig snel naar een toezichthouder.
• Een klant die zich misleid voelt. Bijvoorbeeld iemand die dacht met jou te chatten en later merkte dat het een computer was.
• Iets anders dat misgaat. Dit is het patroon dat je bij alle regelgeving ziet. Er komt zelden iemand kijken naar één regel, maar zodra er om een andere reden onderzoek loopt, wordt de rest ook bekeken.

Wat gebeurt er als er echt een melding komt?

Er wordt niet meteen een boete opgelegd. Zo werkt toezicht in Nederland zelden.

Wat er meestal gebeurt: je krijgt een brief of een mail met vragen. Welke systemen gebruik je, waarvoor, en wat heb je geregeld? Je krijgt tijd om te antwoorden. Op dat moment bepaalt wat je kunt laten zien vrijwel alles wat daarna volgt.

Kun je aantonen dat je nagedacht hebt, dan eindigt het vaak met een aanwijzing: los dit binnen een termijn op. Doe je dat, dan is het klaar. Boetes komen in beeld bij bedrijven die niets kunnen laten zien, die de zaak op zijn beloop laten of die verkeerde informatie geven. Dat laatste is niet voor niets een aparte overtreding met een eigen boetecategorie.

Het is dus geen alles of niets. De vraag is niet of je perfect voldoet, maar of je aantoonbaar bezig bent. Dat verschil is voor een kleine ondernemer het hele verhaal.

Wat laat je zien als er iemand vraagt?

Dit is waar het echt om draait. Niet of je alles perfect hebt, maar of je kunt laten zien dat je erover hebt nagedacht. Vier stukken zijn genoeg en die heb je in een halfuur bij elkaar.

• Je overzicht van AI-hulpmiddelen. Welke tools je gebruikt en waarvoor.
• Je pagina met afspraken, zoals in deel 4 staat, met een datum erop.
• Een notitie over de uitleg aan je team. Wie, wanneer, wat besproken.
• De vermelding op je website, als je een chatbot of AI-content hebt.

Een bedrijf dat dit kan tonen, wordt anders behandeld dan een bedrijf dat zegt dat het allemaal wel meevalt. Toezichthouders kijken naar de houding minstens zo goed als naar de administratie.

Waar begin je?

Als je deze reeks in één keer hebt gelezen, is dit de volgorde die het meeste oplevert:

• Controleer eerst of er ergens verboden AI draait, want dat is het enige dat direct moet stoppen. Zie deel 2.
• Zet daarna een vermelding bij je chatbot en bij AI-content, want dat is de regel die op 2 augustus ingaat. Zie deel 1.
• Plan een uur met je team en leg het vast. Zie deel 3 en deel 4.

Bij elkaar ben je er een dagdeel mee bezig. Daarna kun je aantonen dat je het serieus neemt, en dat is precies wat er van je gevraagd wordt.

Loop je vast of wil je dit gewoon één keer goed doorlopen voor je eigen bedrijf, kijk dan bij AI-integratie en workshops. Dan doen we het samen en weet je binnen een dagdeel waar je staat.