Een ondernemer belt op vrijdagmiddag zijn softwareleverancier. Niet omdat er iets stuk is, maar omdat een grote klant vraagt: ‘Kunnen jullie aantonen welke AI-tools in jullie proces zitten?’ Tot gisteren voelde AI als handig gereedschap. Vandaag voelt het als een dossier dat ineens compleet moet zijn. Dat is precies waar veel Nederlandse mkb-bedrijven in 2026 tegenaan lopen.
Dit artikel is voor ondernemers die AI gebruiken in marketing, klantenservice, administratie, recruitment of rapportage, maar nog geen centraal overzicht hebben. Je hoeft geen juridisch boekwerk te bouwen. Je hebt wel een AI-register nodig dat laat zien welke systemen je gebruikt, waarvoor, met welke data, welk risico en wie verantwoordelijk is. Richting 2 augustus 2026 wordt dat verschil tussen improviseren en professioneel werken steeds zichtbaarder.
TL;DR
- Maak één AI-register met tool, doel, eigenaar, datatypes, risico en bewijslink.
- Begin bij alle tools die klantcontact, personeel, finance of besluitvorming raken.
- Classificeer systemen als laag, beperkt, hoog of verboden risico.
- Voeg per tool een menselijke controle en stopregel toe.
- Review het register elke maand in 30 minuten, niet één keer per jaar in paniek.
Waarom een AI-register ineens praktisch wordt
De EU AI Act maakt AI niet verboden. De verordening dwingt bedrijven vooral om bewuster te worden van risico, transparantie en toezicht. Voor kleine bedrijven klinkt dat snel zwaar, maar de praktische vraag is simpel: weet jij welke AI-systemen invloed hebben op klanten, medewerkers, prijzen of processen?
Veel ondernemers kunnen die vraag niet in één overzicht beantwoorden. ChatGPT wordt gebruikt voor klantmails, Copilot voor documenten, een chatbot voor veelgestelde vragen, boekhoudsoftware voor factuurherkenning en misschien een recruitmenttool voor cv-samenvattingen. Los zijn het handige tools. Samen vormen ze een AI-landschap waar je grip op nodig hebt.
Een AI-register is dus geen compliancekunstje. Het is een kaart van je bedrijf. Zonder kaart kun je geen risico’s beoordelen, geen leveranciers vergelijken en geen medewerker uitleggen wat wel en niet mag. Met kaart kun je klein beginnen en elke maand verbeteren.
Welke tools horen in het register?
Neem niet alleen systemen op met het woord AI in de naam. Neem alles op waar algoritmes of taalmodellen teksten, beslissingen, scores, aanbevelingen of automatische acties maken. Dat kan een losse AI-chat zijn, maar ook een functie in je CRM, boekhoudpakket, helpdesk, webshop, advertentieplatform of HR-tool.
Start met vier gebieden. Eén: klantcontact, zoals chatbots, WhatsApp-antwoorden, mailconcepten en voicebots. Twee: bedrijfsvoering, zoals factuurherkenning, planning, voorraadprognose en rapportages. Drie: marketing en sales, zoals contentgeneratie, leadscoring en advertentie-optimalisatie. Vier: mensen en toegang, zoals recruitment, performance-analyse of rechtenbeheer.
Gebruik een eenvoudige regel: als AI-output door een klant, medewerker of leverancier wordt gezien, of als die output een beslissing voorbereidt, dan komt de tool in het register. Brainstormtools voor puur interne ideeën mogen ook, maar krijgen meestal een lagere prioriteit.
De minimale velden die wél werken
Veel registers mislukken omdat ze te uitgebreid starten. Maak je eerste versie in een spreadsheet of Notion-pagina met 10 kolommen: toolnaam, leverancier, afdeling, doel, eigenaar, soort data, risicotype, menselijke controle, bewijslink en reviewdatum. Meer heb je in week 1 niet nodig.
Bij soort data schrijf je concreet: openbare websitecopy, klantvragen zonder persoonsgegevens, volledige klantdossiers, facturen, personeelsgegevens of verkoopdata. Bij menselijke controle schrijf je wie output beoordeelt voordat er iets naar buiten gaat. Bij bewijslink plaats je contract, verwerkersovereenkomst, screenshot van instellingen, interne werkinstructie of testresultaat.
Deze opzet dwingt tot volwassenheid zonder bureaucratie. Een eigenaar betekent dat iemand de tool beheert. Een reviewdatum voorkomt dat een vergeten trialaccount maanden blijft hangen. Een bewijslink maakt het verschil tussen ‘we denken dat het goed zit’ en ‘we kunnen het laten zien’.
Risico indelen zonder juristentaal
De AI Act werkt met risicocategorieën. Voor mkb is het genoeg om eerst praktisch te vertalen. Laag risico: AI helpt bij conceptteksten of interne samenvattingen, zonder gevoelige data en zonder automatische gevolgen. Beperkt risico: AI praat met klanten of maakt content waarbij transparantie nodig is. Hoog risico: AI beïnvloedt toegang tot werk, onderwijs, krediet, essentiële diensten of personeelsbeslissingen. Verboden risico: toepassingen die mensen manipuleren, kwetsbaarheden uitbuiten of ongeoorloofde biometrische categorisering doen.
De meeste ondernemers zitten in laag en beperkt risico. Een chatbot op de website is niet automatisch gevaarlijk, maar je moet klanten wel duidelijk maken dat ze met AI praten en een mens kunnen bereiken. Een AI-tool die cv’s rangschikt of medewerkers beoordeelt, vraagt veel zwaardere controle. Daar moet je niet achteloos mee experimenteren.
Schrijf per tool niet alleen de categorie op, maar ook waarom. Bijvoorbeeld: ‘Beperkt risico, omdat de chatbot klantvragen beantwoordt en transparantie vereist; menselijke overdracht bij prijsafspraak, klacht of persoonsgegevens.’ Dat ene zinnetje maakt je register nuttig voor iedereen.
De 30-minuten inventarisatiesessie
Plan met je team een korte sessie. Vraag niet: ‘Gebruiken jullie verboden tools?’ Vraag: ‘Welke AI helpt je nu al om sneller te werken?’ Laat iedereen voorbeelden noemen. Notulen maken, mail verbeteren, offertes herschrijven, facturen herkennen, klantvragen beantwoorden, advertenties schrijven, data analyseren. Verzamel alles zonder schuldvraag.
Daarna sorteer je de lijst. Welke tools zijn betaald en centraal beheerd? Welke zijn persoonlijke accounts? Welke verwerken klantdata? Welke sturen output direct naar klanten? Welke zijn alleen brainstormhulp? Binnen 30 minuten zie je vaak al de belangrijkste gaten.
Sluit de sessie af met drie beslissingen. Welke 3 tools zijn voorlopig goedgekeurd? Welke 3 toepassingen moeten eerst stoppen of worden aangepast? Welke 3 vragen stuur je naar leveranciers? Zo blijft het actiegericht.
Leveranciersvragen die echt iets opleveren
Stuur leveranciers geen abstracte juridische mail. Stel praktische vragen. Worden onze invoer en bestanden gebruikt om modellen te trainen? Waar worden gegevens verwerkt? Is er een EU-dataverwerking of verwerkersovereenkomst? Kunnen we data verwijderen of exporteren? Welke logging is beschikbaar? Welke instellingen beperken datadeling? Hoe meldt de leverancier incidenten?
Vraag ook naar AI-functies die standaard aanstaan. Sommige software voegt AI toe zonder dat ondernemers precies merken waar data heen gaat. Dat betekent niet dat de tool slecht is. Het betekent dat jij instellingen en afspraken moet controleren voordat medewerkers gevoelige informatie gebruiken.
Bewaar antwoorden als pdf of screenshot in je bewijsmap. Zet de link in het register. Als een klant of auditor later vraagt hoe je dit beoordeelde, hoef je niet te zoeken in oude mailboxen.
Menselijke controle als ontwerpkeuze
Een register zonder controleafspraken is een adressenboek. Leg daarom per AI-systeem vast waar de mens in de lus zit. Bij marketingcontent kan dat eindredactie zijn. Bij klantservice kan dat escalatie zijn bij klachten, prijzen, persoonsgegevens of juridische vragen. Bij factuurverwerking kan dat controle zijn onder 90 procent zekerheid of boven een bedrag van bijvoorbeeld €2.500.
Maak controles klein en concreet. ‘Medewerker controleert alles’ klinkt veilig, maar zegt niets. Beter: ‘Supportmedewerker controleert elke chatbot-escalatie met klacht of orderwijziging binnen 1 werkdag.’ Of: ‘Offertebedragen worden nooit automatisch verzonden; eigenaar keurt prijs, marge en belofte goed.’
De beste AI-processen voelen niet als rem. Ze voelen als vangrail. Medewerkers weten wat automatisch mag, wat gecontroleerd moet worden en wanneer ze moeten stoppen.
Van register naar maandelijkse routine
Maak van het AI-register een maandelijkse agenda, geen eenmalig project. Neem 30 minuten. Bekijk nieuwe tools, verlopen trials, incidenten, klantvragen en processen waar AI inmiddels structureel wordt gebruikt. Werk reviewdatums bij en verwijder tools die niemand gebruikt.
Meet drie cijfers: aantal geregistreerde AI-systemen, aantal systemen zonder eigenaar en aantal open risico-acties. Die laatste twee moeten dalen. Als je daarnaast tijdwinst meet, blijft het gesprek positief: AI is niet alleen risico, maar ook productiviteit.
Een ondernemer met 12 medewerkers kan dit prima zelf doen. Een bedrijf met 60 medewerkers kan per afdeling een AI-contactpersoon aanwijzen. Het principe blijft gelijk: klein register, duidelijke eigenaar, zichtbare bewijsmap.
Veelgemaakte fouten
De eerste fout is wachten op perfecte juridische duidelijkheid. Dan gebeurt er maanden niets terwijl medewerkers gewoon doorgaan. De tweede fout is alles verbieden. Dan verdwijnt AI-gebruik uit beeld. De derde fout is alleen tools registreren, maar niet de toepassing. ChatGPT voor brainstormen is iets anders dan ChatGPT voor klantdossiers. Eén tool kan meerdere regels nodig hebben.
De vierde fout is geen eigenaar benoemen. Zonder eigenaar wordt niemand verantwoordelijk voor instellingen, contracten of training. De vijfde fout is het register verstoppen in een map waar niemand kijkt. Zet het op een plek waar teamleiders en medewerkers het kunnen vinden.
FAQ
Moet elke zzp’er een AI-register hebben?
Als je alleen AI gebruikt voor algemene ideeën en teksten zonder klantdata, kan een eenvoudige lijst genoeg zijn. Zodra je klantinformatie, facturen, contracten, personeelsgegevens of klantcontact met AI verwerkt, is een register verstandig. Het helpt ook bij vragen van grotere opdrachtgevers.
Is een spreadsheet voldoende?
Ja, voor de meeste kleine bedrijven wel. Het register hoeft geen dure software te zijn. Belangrijker zijn actualiteit, eigenaarschap en bewijslinks. Begin simpel en professionaliseer pas wanneer het aantal tools of risico’s groeit.
Wat doe ik met persoonlijke AI-accounts van medewerkers?
Zet ze op de inventarisatielijst, bepaal welke data erin mag en bied een goedgekeurd alternatief. Persoonlijke accounts zijn vooral riskant bij klantdata en bedrijfsgevoelige informatie. Verbieden zonder alternatief werkt zelden.
Conclusie
Een AI-register voor het mkb is geen papieren tijger. Het is de praktische basis om AI veilig te gebruiken, richting 2 augustus 2026 en daarna. Begin met de tools die al leven in je bedrijf, geef elke toepassing een eigenaar en koppel risico aan concrete controle. Dan verandert compliance van paniek naar routine.
De beste eerste stap vandaag: open een spreadsheet en registreer de 10 AI-toepassingen die je team waarschijnlijk al gebruikt. Niet om iemand af te rekenen, maar om eindelijk overzicht te krijgen.
Direct toepasbare prompt
"Geef me een praktische aanpak voor [probleem] voor een Nederlands mkb-bedrijf. Houd het kort, met concrete stappen en voorbeeldtekst."