Verboden AI: wat mag jouw bedrijf niet meer gebruiken?

De meeste regels uit de AI-verordening vragen je om iets te doen: melden, labelen, uitleggen. Bij verboden AI is dat anders. Daar zegt de wet gewoon nee. Geen toestemming die helpt, geen contract dat het repareert, geen uitzondering voor kleine bedrijven.

Dit deel gaat over die harde grens. Het klinkt als iets voor techbedrijven, maar juist een klein bedrijf loopt hier risico, omdat het via gewone software binnensluipt. Lees eerst deel 1 over wat er in 2026 verandert als je het grote plaatje mist.

Wat betekent verboden precies?

Verboden betekent dat het niet mag, punt. Bij de meeste privacyregels kun je iets rechtzetten door mensen om toestemming te vragen. Hier niet. Zelfs als je hele team een formulier tekent waarin ze akkoord gaan, blijft het verboden.

Er is ook geen overgangsperiode meer. Deze regels gelden al sinds 2 februari 2025. Draait er vandaag zo'n systeem in je bedrijf, dan ben je nu in overtreding.

Welke zeven toepassingen zijn verboden?

De wet noemt zeven categorieën, vastgelegd in artikel 5 van de verordening. Vier daarvan gaan over overheid en opsporing en zul je nooit tegenkomen. Drie kunnen wel je bedrijf raken.

• Software die emoties meet op de werkvloer of in het onderwijs. Denk aan een systeem dat via de camera of de stem bepaalt of iemand gestrest, ongeïnteresseerd of boos is. Alleen medische toepassingen en echte veiligheidsdoelen zijn uitgezonderd, bijvoorbeeld vermoeidheidsdetectie bij een chauffeur.
• Software die mensen indeelt op gevoelige kenmerken via hun lichaam. Dus AI die uit een gezicht afleidt wat iemands afkomst, geloof, politieke voorkeur of seksuele geaardheid is.
• Manipulatieve systemen. AI die mensen onbewust stuurt of die misbruik maakt van iemands leeftijd, beperking of financiële nood.

De vier andere gaan over sociale kredietsystemen, live gezichtsherkenning in de openbare ruimte, voorspellend politiewerk en het ongericht van internet plukken van gezichten voor een herkenningsdatabank.

Welke daarvan raakt een gewoon bedrijf?

In de praktijk vrijwel altijd de eerste: emotieherkenning. Meestal komt die binnen via software die je hebt gekocht voor iets heel anders.

Er zijn drie plekken waar het naar binnen komt:

• Sollicitatiesoftware die videogesprekken analyseert en kandidaten een score geeft op basis van hun gezichtsuitdrukking, stem of oogbewegingen. Bij sollicitanten is dit extra streng, het mag onder geen enkele voorwaarde.
• Personeelstools die welzijn meten. Programma's die claimen betrokkenheid, werkdruk of stress te meten via stemanalyse of camerabeelden.
• Klantcontactsoftware die tijdens een gesprek de emotie van je medewerker leest om die te coachen of te beoordelen.

Merk op dat het steeds gaat om systemen die je hebt ingekocht. Je hoeft niets zelf te bouwen om in overtreding te zijn.

Zo gaat het meestal: je zoekt een handiger manier om sollicitaties te verwerken en je komt uit bij een pakket dat belooft de beste kandidaten voor je te filteren. In de demo zie je een overzichtelijk scherm met scores. Wat je niet ziet, is dat een deel van die score komt uit een analyse van de gezichtsuitdrukking in het opgenomen gesprek. De verkoper noemt het geen emotieherkenning maar een inschatting van motivatie. Het resultaat is hetzelfde en de wet kijkt naar wat het systeem doet, niet naar hoe het genoemd wordt.

Mag ik dan helemaal niets meer met emoties?

Jawel, en dit onderscheid is belangrijk. Het verbod geldt alleen wanneer de software je lichaam uitleest, dus je gezicht, je stem of je hartslag. Dat heten biometrische gegevens.

Analyseert een programma alleen geschreven tekst, dan valt het er niet onder. Een tool die klantmails leest en meldt dat iemand ontevreden klinkt, is gewoon toegestaan. Datzelfde geldt voor een enquête waarin je je team vraagt hoe het gaat.

De vuistregel: meet je een mening, dan mag het. Meet je een lichaam, dan wordt het link.

Ben ik aansprakelijk als mijn leverancier dit inbouwde?

Ja. De wet kijkt naar wie het systeem inzet, niet alleen naar wie het maakte. Zet jij software in waar zo'n functie in zit, dan ben je medeverantwoordelijk. Ook als je het niet wist.

Dat klinkt hard, maar het is precies waarom deze regel voor het MKB relevanter is dan hij lijkt. Grote bedrijven hebben een juridische afdeling die inkoopcontracten uitpluist. Een ondernemer met acht man personeel koopt een pakket omdat het handig oogt en gaat ervan uit dat het wel zal kloppen.

Wat riskeer je?

Deze categorie kent de hoogste boetes van de hele wet: tot 35 miljoen euro of 7 procent van je wereldwijde jaaromzet. Ter vergelijking, voor het overtreden van de transparantieplicht uit deel 1 staat 15 miljoen of 3 procent.

Dat verschil is geen toeval. Europa beschouwt deze toepassingen als een aantasting van grondrechten, niet als een administratieve slordigheid.

Schrik overigens niet te hard van die bedragen. Voor het MKB geldt een aparte rekenregel waardoor het percentage telt en niet het miljoenenbedrag.

Krijgt een kleine ondernemer zo'n boete ook echt? Dat is een tweede. In deel 5 over boetes en toezicht ga ik daar nuchter op in, inclusief de rekenregel die speciaal voor het MKB geldt. Het punt hier is dat je dit niet met een vinkje oplost, want als er iemand komt kijken is het te laat.

Wat doe je als je erachter komt dat je het gebruikt?

Niet in paniek raken en ook niet stilletjes doorgaan. Er is een volgorde die werkt.

Zet de functie meteen uit. Vaak zit emotieherkenning in een module die je los kunt uitschakelen, zonder dat je het hele pakket kwijtraakt. Kun je hem niet uitzetten, stop dan met dat onderdeel tot je zekerheid hebt.

Leg vast wat je hebt gedaan. Schrijf op welke datum je het ontdekte, wat je hebt uitgezet en wanneer. Dat is geen bureaucratie maar je bewijs. Een toezichthouder kijkt heel anders naar een bedrijf dat een probleem zag en oploste dan naar een bedrijf dat het liet lopen.

Ga terug naar je leverancier. Vraag schriftelijk om bevestiging dat de functie eruit is of dat het product voldoet aan artikel 5. Krijg je die niet, dan is dat op zichzelf een reden om naar een andere partij te kijken.

Kijk als laatste wat je met de verzamelde gegevens doet. Heeft het systeem maanden emotiescores van je personeel opgeslagen, dan heb je naast dit verbod ook een privacyvraag te beantwoorden. Die gegevens hoor je niet zomaar te bewaren.

Zo controleer je je eigen software

Dit kost je een kwartier. Pak de lijst met programma's die je gebruikt en stel per programma drie vragen.

• Kijkt of luistert dit systeem naar mensen? Gaat het alleen om tekst, cijfers of agenda's, dan ben je klaar. Komt er camera, microfoon of video aan te pas, ga dan door.
• Trekt het conclusies over hoe iemand zich voelt? Zoek in de omschrijving naar woorden als betrokkenheid, sentiment, stemming, stress of enthousiasme in combinatie met beeld of geluid. Dat is het signaal.
• Wordt die uitkomst gebruikt om iemand te beoordelen? Bij sollicitanten of personeel is het dan verboden.

Twijfel je bij een leverancier, stuur dan één mail met de vraag of hun product emotieherkenning of biometrische categorisatie bevat in de zin van artikel 5 van de AI-verordening. Een serieuze leverancier heeft dat antwoord klaarliggen. Krijg je een vaag verhaal terug, dan weet je genoeg.

Wil je dit samen doorlopen voor je eigen bedrijf, kijk dan bij AI-integratie en workshops. Ik loop je software met je door en je weet binnen een uur waar je staat.

In deel 3 gaat het over de verplichting die hierop volgt: je mensen moeten begrijpen waar ze mee werken.