De EU AI Act legt aan bedrijven die een AI-chatbot inzetten in hun klantenservice concrete verplichtingen op, maar de zwaarte daarvan hangt af van het risiconiveau van de chatbot. Voor de meeste klantenservice-chatbots gelden in de eerste plaats transparantieverplichtingen: gebruikers moeten weten dat ze met een AI communiceren. Hieronder beantwoorden we de meest gestelde vragen over wat de AI Act precies betekent voor jouw organisatie.
Welke verplichtingen legt de AI Act op aan bedrijven die chatbots inzetten?
De AI Act legt aan bedrijven die een AI-chatbot inzetten minimaal een transparantieplicht op: gebruikers moeten altijd weten dat ze met een AI-systeem communiceren en niet met een mens. Afhankelijk van het risiconiveau van de chatbot komen hier zwaardere verplichtingen bij, zoals risicobeheersing, technische documentatie en menselijk toezicht.
Als deployer, de partij die een AI-systeem onder eigen verantwoordelijkheid inzet, ben je verplicht het systeem te gebruiken zoals de aanbieder het heeft bedoeld. Verder moet je menselijk toezicht toewijzen aan bekwame en getrainde medewerkers, logs minimaal zes maanden bewaren en je medewerkers informeren voordat het systeem in gebruik wordt genomen. Dit staat beschreven in Artikel 26 van de verordening.
Belangrijk om te weten: wanneer je een bestaand AI-systeem zo ingrijpend aanpast dat het een nieuw doel krijgt, of wanneer je je eigen naam op het systeem zet, word je juridisch gezien zelf aanbieder. Dat brengt aanzienlijk zwaardere verplichtingen met zich mee, zoals het opstellen van technische documentatie, het uitvoeren van een conformiteitsbeoordeling en het aanbrengen van een CE-markering.
Welk risiconiveau krijgen klantenservice-chatbots onder de AI Act?
De meeste klantenservice-chatbots vallen onder de categorie beperkt risico in de AI Act. Dit betekent dat ze niet verboden zijn en ook niet aan de strenge eisen voor hoog-risico AI hoeven te voldoen, maar wel aan lichtere transparantieverplichtingen. Alleen chatbots die beslissingen nemen over toegang tot essentiële diensten, zoals krediet of verzekeringen, worden als hoog-risico aangemerkt.
De AI Act onderscheidt vier risiconiveaus: onaanvaardbaar risico (verboden), hoog risico (streng gereguleerd), beperkt risico (transparantieverplichtingen) en minimaal risico (vrijwel ongereguleerd). Een standaard chatbot die vragen beantwoordt, klanten doorverwijst of informatie geeft, valt doorgaans in de categorie beperkt risico.
Let wel op: zodra een chatbot profilering van individuele klanten uitvoert, is hij automatisch hoog-risico. Dat geldt ook als de chatbot een rol speelt bij beslissingen over toegang tot diensten die als essentieel worden aangemerkt, zoals noodoproepen of verzekeringen. In die gevallen gelden de volledige hoog-risicoverplichtingen, inclusief risicomanagementsysteem, technische documentatie en conformiteitsbeoordeling.
Wat is de transparantieplicht voor chatbots en hoe werkt die in de praktijk?
De transparantieplicht houdt in dat je gebruikers duidelijk en tijdig moet informeren dat ze met een AI-systeem communiceren, niet met een mens. Dit moet gebeuren op het moment dat de interactie begint, zodat de gebruiker een bewuste keuze kan maken over hoe hij verder gaat. Je mag dit niet verbergen in kleine lettertjes of ergens onderaan een pagina.
In de praktijk betekent dit dat je chatbot bij de start van een gesprek expliciet aangeeft dat het om een AI gaat. Een melding als "Je chat nu met onze virtuele assistent" of "Dit is een geautomatiseerde AI-chatbot" voldoet aan de vereisten. De melding moet begrijpelijk zijn voor de gemiddelde gebruiker, dus geen technisch jargon.
Er is één uitzondering: als de gebruiker zelf heeft gevraagd om een AI in te schakelen, of als het gebruik ervan voor de gebruiker vanzelfsprekend duidelijk is, vervalt de verplichting tot expliciete melding. In de meeste klantenservice-omgevingen is die duidelijkheid echter niet vanzelfsprekend, dus is een expliciete melding de veiligste aanpak.
Geldt de AI Act ook voor chatbots die al in gebruik zijn?
Ja, de AI Act geldt ook voor bestaande AI-chatbots, maar er is een overgangsperiode. Systemen die vóór 2 augustus 2025 al op de markt waren, hoeven pas uiterlijk op 2 augustus 2027 volledig conform te zijn. De transparantieplicht en de verboden praktijken gelden echter al respectievelijk vanaf augustus 2025 en februari 2025.
Dit betekent dat je nu al actie moet ondernemen, ook als je chatbot al jaren draait. De eerste stap is het inventariseren van alle AI-systemen binnen je organisatie en bepalen welke rol je daarin vervult: ben je deployer, aanbieder, importeur of distributeur? Vervolgens beoordeel je per systeem het risiconiveau en welke verplichtingen daaruit volgen.
Organisaties doen er verstandig aan een intern AI-register bij te houden. Daarin leg je vast welke systemen je gebruikt, wat hun doel is, wie verantwoordelijk is voor toezicht en wanneer de relevante compliance-deadlines gelden. Dit register helpt je ook bij eventuele vragen van toezichthouders.
Wat zijn de gevolgen als een organisatie de AI Act niet naleeft?
Bij niet-naleving van de AI Act kunnen forse boetes worden opgelegd. De hoogte hangt af van het type overtreding: overtredingen van de verboden praktijken kunnen leiden tot boetes van maximaal 35 miljoen euro of 7% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Non-conformiteit met andere verplichtingen kan oplopen tot 15 miljoen euro of 3%.
Naast financiële sancties zijn er ook reputatierisico’s. Organisaties die de regels overtreden, riskeren negatieve publiciteit en verlies van klantvertrouwen. Juist in klantenservice, waar vertrouwen centraal staat, kan dat ingrijpende gevolgen hebben voor klantbehoud.
Handhaving verloopt via nationale markttoezichtautoriteiten. Finland was in januari 2026 de eerste lidstaat die handhavingsbevoegdheden formeel heeft toegekend. Andere EU-landen volgen, wat betekent dat handhaving steeds concreter en dichter bij huis wordt. Voor kmo’s geldt overigens altijd het laagste van het vaste bedrag of het percentage, wat enige bescherming biedt voor kleinere organisaties.
Hoe bereid je een klantenservice-chatbot voor op AI Act-compliance?
Je bereidt een klantenservice-chatbot voor op AI Act-compliance door eerst het risiconiveau te bepalen, daarna de bijbehorende verplichtingen in kaart te brengen en vervolgens concrete maatregelen door te voeren. Begin met een AI-inventarisatie, voer een risicoanalyse uit en zorg dat de transparantieplicht direct geregeld is, want die geldt al.
Een praktische aanpak bestaat uit de volgende stappen:
- Inventariseer alle AI-systemen in je klantenservice en leg ze vast in een intern AI-register.
- Bepaal je rol: ben je deployer of word je door aanpassingen ook aanbieder?
- Classificeer het risiconiveau van elke chatbot op basis van zijn functie en de beslissingen die hij ondersteunt.
- Implementeer de transparantieplicht door bij elke interactie duidelijk te melden dat de gebruiker met een AI communiceert.
- Wijs menselijk toezicht toe aan getrainde medewerkers die kunnen ingrijpen wanneer nodig.
- Bewaar logs van AI-interacties minimaal zes maanden.
- Informeer je medewerkers over het gebruik van AI-systemen vóór de ingebruikname.
- Voer een DPIA uit als de chatbot persoonsgegevens verwerkt, in combinatie met je AVG-verplichtingen.
Houd ook de deadlines scherp in de gaten: de meeste verplichtingen voor hoog-risicosystemen worden per 2 augustus 2026 afdwingbaar, maar de transparantieplicht geldt al nu.
Hoe Pegamento helpt met AI Act-compliance voor klantenservice-chatbots
Wij begrijpen dat compliance-vraagstukken rondom een AI-chatbot complex aanvoelen, zeker als je tegelijkertijd ook nog de dagelijkse klantenservice-operatie draaiende moet houden. Bij Pegamento helpen we je om dit overzichtelijk en beheersbaar te maken, zonder kostbaar maatwerk, maar met een slimme combinatie van bewezen modules.
Wat wij voor je kunnen betekenen:
- Risicoclassificatie en inventarisatie van je bestaande en nieuwe AI-toepassingen in klantenservice.
- Implementatie van transparantiemechanismen zodat jouw chatbot direct voldoet aan de meldingsplicht richting gebruikers.
- Inrichten van menselijk toezicht met duidelijke escalatiepaden voor complexe of gevoelige klantvragen.
- Agentic AI-assistenten die niet alleen instructies opvolgen, maar zelfstandig initiatief nemen en handelen, als evolutie van traditionele RPA-bots naar zelfdenkende assistenten die passen binnen de kaders van de AI Act.
- Alles onder één dak: van ontwikkeling en implementatie tot beheer en ondersteuning, zonder silo’s of complex leveranciersmanagement.
Onze oplossingen zijn gebouwd met oog voor veiligheid en compliance. We zijn ISO 27001 (informatiebeveiliging), ISO 9001 en ISO 26000 gecertificeerd, wat betekent dat governance en risicobeheer bij ons geen bijzaak zijn, maar een fundament. Wil je weten hoe jouw organisatie er nu voor staat en wat de volgende stap is? Bekijk onze Agentic AI voor customer service oplossingen of neem contact met ons op voor een vrijblijvend gesprek.
Veelgestelde vragen
Wat is het verschil tussen een deployer en een aanbieder onder de AI Act, en hoe weet ik welke rol mijn organisatie heeft?
Een deployer is een organisatie die een bestaand AI-systeem inzet onder eigen verantwoordelijkheid, zonder het systeem fundamenteel te wijzigen. Je wordt aanbieder zodra je het systeem ingrijpend aanpast, een nieuw doel geeft, of je eigen naam of merk eraan verbindt. Dit onderscheid is cruciaal: als aanbieder ben je verantwoordelijk voor technische documentatie, conformiteitsbeoordeling en CE-markering, verplichtingen die aanzienlijk zwaarder zijn dan die van een deployer. Twijfel je over jouw rol? Laat een juridische of technische expert de situatie beoordelen voordat je het systeem verder aanpast of uitrolt.
Moet mijn chatbot ook voldoen aan de AVG naast de AI Act, en hoe combineer ik die twee?
Ja, de AI Act en de AVG gelden naast elkaar en vullen elkaar aan. Als je chatbot persoonsgegevens verwerkt, zoals namen, e-mailadressen of klanthistorie, ben je ook gehouden aan de AVG-verplichtingen, waaronder het uitvoeren van een Data Protection Impact Assessment (DPIA). In de praktijk kun je beide efficiënt combineren door bij de risicoanalyse voor de AI Act direct ook de privacyrisico's mee te nemen. Een gecombineerde aanpak bespaart tijd en zorgt voor een consistente governance-structuur binnen je organisatie.
Hoe weet ik of mijn chatbot per ongeluk toch als hoog-risico wordt geclassificeerd?
De twee belangrijkste triggers voor een hoog-risicoclassificatie zijn: profilering van individuele klanten, en het ondersteunen van beslissingen over toegang tot essentiële diensten zoals krediet, verzekeringen of noodoproepen. Controleer kritisch welke data je chatbot verzamelt en analyseert, en welke acties of aanbevelingen hij genereert op basis daarvan. Als je chatbot bijvoorbeeld klanten segmenteert op basis van gedrag en op grond daarvan verschillende aanbiedingen toont, of doorverwijst naar diensten met grote financiële of persoonlijke gevolgen, is een hoog-risicobeoordeling noodzakelijk. Wanneer je twijfelt, is het verstandig dit te laten toetsen door een expert.
Wat moet er precies in een intern AI-register staan, en hoe begin ik daarmee?
Een intern AI-register bevat minimaal: een beschrijving van elk AI-systeem dat je gebruikt, het doel en de functie ervan, jouw rol (deployer of aanbieder), het risiconiveau, de verantwoordelijke medewerker voor toezicht, de bewaartermijn van logs en de relevante compliance-deadlines. Begin eenvoudig met een gestructureerd spreadsheet of een bestaand GRC-tool (Governance, Risk & Compliance) dat je organisatie al gebruikt. Het register hoeft niet perfect te zijn op dag één; het gaat erom dat je een levend document bijhoudt dat je kunt overleggen aan toezichthouders en dat intern zorgt voor duidelijkheid over verantwoordelijkheden.
Geldt de transparantieplicht ook als mijn chatbot een menselijke naam of avatar heeft?
Ja, juist dan is de transparantieplicht extra relevant. Als je chatbot een menselijke naam draagt, zoals 'Lisa' of 'Tom', of een realistische menselijke avatar heeft, bestaat het risico dat gebruikers denken met een echte medewerker te communiceren. De AI Act vereist dat de AI-identiteit duidelijk en tijdig wordt gemeld, ongeacht de presentatievorm van de chatbot. Een menselijke naam of avatar ontslaat je dus niet van de meldingsplicht; het maakt een expliciete melding aan het begin van het gesprek juist nog belangrijker.
Wat zijn de meest voorkomende fouten die organisaties maken bij het voorbereiden op AI Act-compliance?
De meest voorkomende fouten zijn: de transparantieplicht te laat of te onduidelijk implementeren (bijvoorbeeld alleen in de algemene voorwaarden), onderschatten wanneer een aanpassing van een bestaand systeem je juridisch aanbieder maakt, en het ontbreken van aantoonbaar menselijk toezicht. Daarnaast vergeten veel organisaties de logbewaarplicht van zes maanden of informeren ze medewerkers niet tijdig over het gebruik van AI-systemen. Een proactieve aanpak, waarbij je compliance-stappen documenteert en intern communiceert, voorkomt de meeste van deze valkuilen.
Hoe houd ik mijn AI Act-compliance actueel als de regelgeving of mijn chatbot verder evolueert?
AI Act-compliance is geen eenmalige exercitie, maar een doorlopend proces. Stel een vaste reviewcyclus in, bijvoorbeeld halfjaarlijks, waarbij je controleert of de functionaliteit van je chatbot is gewijzigd, of er nieuwe richtsnoeren zijn gepubliceerd door de Europese AI Office, en of de compliance-deadlines voor jouw systemen zijn verschoven. Wijs intern een verantwoordelijke aan, zoals een AI-coördinator of compliance officer, die wijzigingen bijhoudt en het AI-register actueel houdt. Abonneer je ook op updates van de relevante nationale toezichthouder, zodat je tijdig op de hoogte bent van nieuwe handhavingsontwikkelingen in Nederland.
