AI-geletterdheid art 4 mkb: aantoonbaar voldoen zonder overkill

AI-geletterdheid art 4 mkb is sinds 2 februari 2025 formeel verplicht, en handhaving door nationale toezichthouders start op 2 augustus 2026. Voor de meeste mkb-organisaties betekent dat: een register van AI-tools, een beleid van één tot twee pagina’s, een training-programma dat past bij de rollen, en een jaarlijkse evaluatie. Niet ingewikkeld, wel aantoonbaar. Deze brief is educatief en geen juridisch advies; voor toetsing van je concrete AI-beleid en trainingsprogramma hoort een AI-jurist of privacy-jurist erbij.

Wat deze pagina niet doet: een generiek “template dat overal past” verkopen. Wat hij wél doet: rol-matrix, register-template en een 30/60/90-minuten programma waar je zelf mee vooruit kunt, plus een eerlijke duiding van waar de wet ophoudt en gezond verstand begint. Bronnen: Verordening (EU) 2024/1689 via EUR-Lex, de Europese Commissie en de Autoriteit Persoonsgegevens.

AI-geletterdheid art 4 mkb: wat verplicht is (en wat niet)

Art 4 van de AI Act legt “aanbieders en gebruiksverantwoordelijken van AI-systemen” op om ervoor te zorgen dat hun personeel en andere personen die AI-systemen namens hen bedienen, over voldoende AI-geletterdheid beschikken. Rekening houdend met technische kennis, ervaring, opleiding en de context waarin de systemen worden gebruikt.

Wat de wet niet doet: een exacte cursusduur voorschrijven, een verplicht certificaat aanwijzen, of een specifieke inhoud dicteren. Het is een inspanningsverplichting met een aantoonbaarheidseis. Voor mkb-organisaties is dat goed nieuws: je kunt het zelf invullen op maat, mits je kunt bewijzen dat het gebeurt.

Wat de wet wél doet: je verantwoordelijk maken voor het niveau. “We hebben een YouTube-video rondgestuurd” is aantoonbaar te weinig. “We hebben op deze data, met deze mensen, deze onderwerpen behandeld, en houden dit jaarlijks bij” is aantoonbaar voldoende, mits inhoud en rol matchen.

Voor de concrete juridische invulling van jouw context hoort een AI-jurist of privacy-jurist erbij. Deze brief is educatief en vervangt dat niet.

Sinds wanneer geldt art 4 en wanneer wordt gehandhaafd

Twee datums om uit elkaar te houden:

• 2 februari 2025: art 4 (samen met een aantal andere bepalingen zoals verboden AI-praktijken uit art 5) is formeel van kracht. Vanaf die datum ben je juridisch verplicht.
• 2 augustus 2026: nationale toezichthouders zijn dan operationeel voor de bredere set verplichtingen. In Nederland is de Autoriteit Persoonsgegevens algoritmes en AI de coördinerende toezichthouder voor AI Act-onderwerpen.

Praktisch: art 4 leeft al ruim een jaar en handhaving-praktijk begint zich in de tweede helft van 2026 te ontwikkelen. Boete-beleid en concrete toetsingsvormen zijn nog in ontwikkeling; verwacht meer richtlijnen na de zomer van 2026.

De volledige tekst staat op EUR-Lex Verordening 2024/1689; de Europese Commissie publiceert AI Literacy-toelichtingen op digital-strategy.ec.europa.eu.

4 pijlers van aantoonbaarheid

Voor mkb komt aantoonbaarheid neer op vier documenten of processen die samen het bewijs vormen dat je aan art 4 voldoet.

1. Register: welke AI-tools zijn in gebruik, in welke afdeling, door wie. Dit is de feitelijke inventarisatie.
2. Training: inhoud, doelgroep, duur en bewijs (aanwezigheidslijst met datum en onderwerp).
3. Beleid: schriftelijke gebruiksrichtlijnen, lijst van goedgekeurde tools, escalatie bij twijfelgevallen.
4. Evaluatie: jaarlijkse review van het bovenstaande, plus intake-proces voor nieuwe medewerkers en nieuwe tools.

Samen is dit een A4 beleid, een Notion- of Excel-register, een handvol interne trainingsslides plus deelnemerslijsten, en een agenda-punt bij de jaarlijkse strategie-review. Voor een mkb van 5 tot 50 medewerkers is dit een investering van 6 tot 20 uur eenmalig, plus 2 tot 4 uur onderhoud per jaar.

Rol-matrix: 5 rollen × training-diepte

Niet elke medewerker heeft dezelfde training nodig. Art 4 zelf verwijst naar “technische kennis, ervaring, opleiding en de context” als afweegcriteria. Voor mkb werkt onderstaande matrix in de praktijk:

| Rol | Focus | Duur | |—|—|—| | Directie / MT | strategie, AI Act-verplichtingen, aansprakelijkheid | 60 min | | HR (bij AI-recruitment) | Annex III hoog-risico, bias, art 26-verplichtingen | 90 min | | Marketing / Sales | prompt-hygiëne, brand voice, geen persoonsgegevens in prompts | 45 min | | Finance / Admin | data-classificatie, geen bijzondere data in cloud-AI | 45 min | | IT / Developer | aanbieder vs. gebruiksverantwoordelijke, logging, evaluatie | 90 min |

Voor rollen die niet met AI werken (bijvoorbeeld magazijnmedewerkers zonder tool-toegang): geen aparte training, wel opname in het algemene beleid dat medewerkers verwijst naar de aanspreekpunten.

Voor de specifieke recruitment-context zie AI cv screening AI Act; daar staat de HR-verplichting rond hoog-risico AI-recruitment uitgewerkt.

Concreet 30/60/90-minuten programma

Voor wie snel wil starten, drie varianten die je zelf intern kunt draaien:

30-minuten basissessie (voor rollen die AI zijdelings gebruiken):

• Wat is een LLM in één minuut (concept, niet techniek).
• Wat mag wel en niet in een prompt (persoonsgegevens, klantnamen, financiële cijfers).
• Wanneer menselijke controle verplicht is (klanttekst, contracten, cijfers).
• Escalatie: wie is intern aanspreekpunt bij twijfel.

60-minuten sessie (directie / marketing / finance):

• Alles uit de 30-minuten sessie.
• Praktijk-voorbeelden per rol (offerte-concept, campagne-brief, factuur-samenvatting).
• Grenzen: hallucinaties, foutmarges, wat AI niet doet.
• Overzicht van goedgekeurde tools plus data-locatie.

90-minuten sessie (HR bij AI-recruitment, IT / developer):

• Alles uit de 60-minuten sessie.
• Annex III hoog-risico categorieën.
• Rol-inschaling (aanbieder vs. gebruiksverantwoordelijke).
• Praktijk: hoe documenteer je menselijk toezicht, hoe log je activiteit, hoe evalueer je periodiek.

Deelnemerslijst met datum, onderwerp, aanwezigen en trainer bewaar je bij de HR-map. Dat is je bewijs.

Register-template: velden en voorbeeld

Voor het AI-register houdt onderstaande set velden werkbaar en aantoonbaar. Notion, Excel of Google Sheet werkt. Geen dure compliance-tool nodig voor de meeste mkb-organisaties.

• Tool-naam (ChatGPT, Copilot, Claude, Ollama, Notuly, etc.).
• Provider (OpenAI, Microsoft, Anthropic, Ollama-lokaal, Notuly BV).
• Hosting-locatie (US, EU, EU-only, on-premise).
• Categorie (minimaal, beperkt-risico, hoog-risico volgens Annex III).
• Verantwoordelijke eigenaar (naam intern).
• Gebruikers-rollen (marketing, HR, finance).
• Datum ingebruikname.
• Datum laatste risico-review.

Voor een mkb-team van 5 tot 20 personen is dit een tabel van 5 tot 20 rijen. Uitbreiden waar de aard van het werk erom vraagt (bijvoorbeeld: kolom “DPIA-status” voor tools die met persoonsgegevens werken).

Voor de bredere setup rond Copilot en tool-configuratie zie Microsoft Copilot mkb; veel mkb-registers beginnen met Copilot als eerste rij.

Boetes en handhaving

De AI Act kent gelaagde boetes; voor art 4-overtredingen op zichzelf valt de handhaving onder de brede non-compliance-categorie:

• Onjuiste of misleidende informatie aan autoriteiten: tot €7,5 miljoen of 1% (art 99(5)).
• Overige non-compliance waaronder art 4 waar toepasselijk: tot €15 miljoen of 3% (art 99(4)).
• Voor mkb per art 99(6) het lagere bedrag.

Wat handhaving-praktijk betreft: per juli 2026 zijn de eerste jaren toetsings-gericht (steekproef, klacht-gedreven) in plaats van boete-gedreven. Verwacht meer richtlijnen na de zomer van 2026 zodra nationale toezichthouders operationeel worden. Verifieer altijd de actuele boete-tabel bij publicatie van nieuwe richtsnoeren; deze cijfers kunnen wijzigen.

Boete-hoogte is één ding, reputatieschade en zorgplicht-claims van medewerkers of klanten zijn een tweede. Voor bijzondere persoonsgegevens (zorg, financieel) is een DPIA plus juridische toetsing sowieso al vereist onder de AVG.

Wanneer een AI-jurist inschakelen

Deze brief is educatief en geen juridisch advies. Voor de volgende situaties hoort een AI-jurist of privacy-jurist met AI Act-ervaring erbij:

• Voor je beleid en trainingsprogramma live gaat. Laat de invulling toetsen op volledigheid en aantoonbaarheid.
• Bij twijfel over je rol (aanbieder vs. gebruiksverantwoordelijke) voor specifieke tools.
• Bij bijzondere persoonsgegevens in je AI-workflows (zorg, financieel, HR-selectie): DPIA plus juridische toetsing zijn geen keuze.
• Bij een AVG-incident met AI-component: meldplicht en verweer zijn jurist-terrein.
• Bij hoog-risico AI-inzet (recruitment-scoring, kredietbeoordeling, medische ondersteuning): een gespecialiseerde AI-jurist is dan de standaard, geen luxe.

Voor de recruitment-context specifiek zie de aanpalende brief AI cv screening AI Act; Annex III maakt van HR-AI een aparte discipline.

Direct contact: hoe Lypii dit aanpakt

Een art 4-implementatie voor een mkb-team van 5 tot 30 medewerkers kost meestal 8 tot 20 uur. Dat is: intake, register opzetten, beleidsblad schrijven, rol-matrix vaststellen, trainingsmateriaal maken per rol (30/60/90), de sessies zelf voorbereiden en documenteren, plus de aanwezigheidslijsten en het jaarlijkse evaluatie-moment inplannen. Tarief: 70 euro per uur voor uitvoering (register, trainingsmateriaal), 95 euro per uur voor advies (rol-matrix, beleidsdocument, audit-voorbereiding).

Wat ik niet doe: juridische toetsing van je AI-beleid of trainingsprogramma, DPIA-opstelling, en rol-inschaling bij twijfelgevallen. Dat is werk voor een AI-jurist. Deze brief en de implementatie die ik lever zijn educatief en operationeel; ze vervangen geen juridisch advies.

Stuur me het aantal medewerkers en welke AI-tools nu in gebruik zijn. Ik reageer binnen 4 uur op werkdagen.