Waarom Nederland een eigen uitvoeringswet nodig heeft
De AI Act regelt wat wel en niet mag met AI, maar laat het aan de lidstaten over om toezichthouders aan te wijzen en sanctiebevoegdheden toe te kennen. Zonder nationale wet kan een Nederlandse toezichthouder geen boete opleggen op grond van artikel 99 van de verordening.
Staatssecretaris Aerdts (Digitale Economie en Soevereiniteit) bracht daarom op 20 april 2026 de Uitvoeringswet AI-verordening in internetconsultatie. De consultatie liep tot en met 1 juni 2026. Daarna worden de reacties verwerkt, adviseert de Raad van State en gaat het voorstel naar de Tweede en Eerste Kamer. Het kabinet heeft zelf aangegeven dat de wet later in werking treedt dan 2 augustus 2026, de datum waarop de transparantieverplichtingen van de verordening ingingen.
De wet regelt drie dingen: welke toezichthouders bevoegd zijn, welke onderzoeks- en sanctiebevoegdheden zij krijgen, en de inrichting van een AI regulatory sandbox.
Wie houdt toezicht op wat: het hybride model
Het kabinet koos bewust niet voor één nieuwe AI-autoriteit. In plaats daarvan houden tien bestaande toezichthouders toezicht op AI binnen hun eigen domein, zodat sectorkennis behouden blijft en bedrijven te maken houden met de toezichthouder die ze al kennen. De verdeling op hoofdlijnen:
- Autoriteit Persoonsgegevens (AP): verboden AI-praktijken, transparantieverplichtingen en de meeste high-risk toepassingen, plus alle sectoren zonder eigen toezichthouder
- Rijksinspectie Digitale Infrastructuur (RDI): AI in draadloze apparaten en digitale kritieke infrastructuur, en de rol van nationaal contactpunt richting de Europese Commissie
- AFM en DNB: de financiële sector, bijvoorbeeld AI voor kredietbeoordeling en verzekeringspremies
- Inspectie Gezondheidszorg en Jeugd (IGJ): medische hulpmiddelen met AI
- Nederlandse Arbeidsinspectie: AI op de werkvloer, zoals cv-screening en monitoring van medewerkers
- NVWA: productveiligheid
- Inspectie Leefomgeving en Transport (ILT): transport en leefomgeving
- Inspectie van het Onderwijs: AI bij toelating en beoordeling van leerlingen en studenten
Voor AI in de rechtspraak geldt een aparte route via de procureur-generaal bij de Hoge Raad en de voorzitter van de Afdeling bestuursrechtspraak van de Raad van State. Het toezicht op general purpose AI-modellen, zoals de grote taalmodellen, ligt niet bij Nederland maar exclusief bij de Europese Commissie en het AI Office.
De AP en de RDI krijgen daarnaast een coördinerende rol: zij stemmen het toezicht tussen alle betrokken instanties af en delen kennis, zodat een bedrijf niet met tegenstrijdige interpretaties te maken krijgt.
Welke bevoegdheden en boetes de toezichthouders krijgen
De boetehoogtes staan al vast in de Europese verordening. De uitvoeringswet maakt ze in Nederland toepasbaar:
- Verboden AI-praktijken (artikel 5): tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet, waarbij het hoogste bedrag geldt
- Overige verplichtingen, waaronder de transparantieregels van artikel 50: tot 15 miljoen euro of 3 procent van de wereldwijde jaaromzet
- AI-geletterdheid (artikel 4): geen boete, wel herstelmaatregelen zoals een last onder dwangsom
Voor mkb-bedrijven gelden lagere maxima. Naast boetes krijgen de toezichthouders onderzoeksbevoegdheden die verder gaan dan bij veel bestaande wetten: zij mogen onderzoek doen onder een fictieve identiteit (vergelijkbaar met mystery shopping), ingrijpen in online interfaces bij ernstige risico's en de kosten van handhaving verhalen.
Zolang de uitvoeringswet er niet is, kan de AP geen AI Act-boete opleggen. Wel treedt de AP al op via bestaande bevoegdheden uit de AVG, en die raken de meeste AI-toepassingen die persoonsgegevens verwerken. Wie nu de transparantieplichten negeert omdat het Nederlandse boetesysteem nog ontbreekt, bouwt dus een achterstand op die straks wel geraakt kan worden.
Kritiek uit de consultatie: de AFM wil scherpere taakverdeling
De consultatie leverde ook kritiek op. De AFM liet op 12 juni 2026 in een uitvoeringstoets weten dat de wet uitvoerbaar is, maar dat gerichte aanpassingen nodig zijn voor effectief toezicht. De belangrijkste punten:
- Een duidelijkere taakverdeling tussen de AFM (gedragstoezicht, consumentenbescherming) en DNB (prudentieel toezicht) bij verboden en high-risk toepassingen
- Voldoende capaciteit en middelen voor de nieuwe taken
- Een helder kader voor gegevensdeling tussen toezichthouders en een geheimhoudingsregime dat aansluit op het bestaande financiële toezichtrecht
Ook het kabinet zelf geeft aan dat de extra middelen voor toezichthouders nog worden beoordeeld. Reken er dus op dat de definitieve taakverdeling nog kan verschuiven en volg de behandeling in de Tweede Kamer als je in een gereguleerde sector werkt.
Wat er nu al geldt, ook zonder Nederlandse wet
De belangrijkste misvatting is dat de AI Act pas bindend wordt zodra Nederland zijn uitvoeringswet heeft. Dat klopt niet. Een verordening werkt rechtstreeks, en drie onderdelen gelden nu al:
- Verboden AI-praktijken (artikel 5) sinds 2 februari 2025, zoals social scoring en manipulatieve AI
- AI-geletterdheid (artikel 4) sinds 2 februari 2025: medewerkers die met AI werken moeten voldoende kennis hebben
- Transparantieverplichtingen (artikel 50) sinds 2 augustus 2026: chatbots moeten zich als AI bekendmaken en AI-gegenereerde media moeten gemarkeerd worden
Wat er precies onder die transparantieplichten valt, lees je in ons artikel over de EU AI Act verplichtingen per 2 augustus 2026. De high-risk verplichtingen zijn door de Digital Omnibus verschoven naar 2 december 2027 en 2 augustus 2028; de details staan in ons artikel over de Digital Omnibus.
Wat je nu kunt regelen richting een toezichthouder
Een toezichthouder die langskomt wil in de eerste plaats documentatie zien. Dat kun je vandaag al op orde brengen, ongeacht wanneer de uitvoeringswet wordt aangenomen:
- Een AI-register: welke AI-systemen gebruik je, met welk doel, in welke risicocategorie en wie is intern eigenaar
- Bewijs van AI-geletterdheid: welke medewerkers zijn getraind en waarin
- Risicodocumentatie per systeem, inclusief de afweging waarom iets wel of niet high-risk is
- Conformiteitsverklaringen en documentatie van je leveranciers voor high-risk toepassingen
- Logging van wat AI-systemen doen, zodat je bij een vraag kunt laten zien wat er wanneer is gebeurd
Dat laatste punt is de reden waarom wij AI-agents standaard bouwen met audit-trails en goedkeuringsstappen. Bedrijven die hun data en modellen binnenshuis houden, bijvoorbeeld met een lokale AI-omgeving zoals IntraGPT, hebben het bij een controle eenvoudiger: zij weten precies welke data waar naartoe gaat en kunnen dat aantonen.
Twijfel je onder welke toezichthouder jouw toepassing valt, of wil je je documentatie laten toetsen, plan dan een AI-compliance check. We lopen je AI-landschap langs en benoemen wat er nu en richting december 2027 geregeld moet zijn.