Op 2 augustus 2026 treedt de EU AI Act in werking. Gebruik je AI voor klantcontact, boekhouding of CRM? Dan raakt dit jou. Hier lees je wat je moet doen en hoe CallMerlin al compliant is.
Op 2 augustus 2026 treden de transparantieverplichtingen van de EU AI Act (Verordening EU 2024/1689) in werking. Elk bedrijf dat AI inzet om met mensen in de Europese Unie te communiceren, moet voldoen. Dat geldt voor chatbots, spraakassistenten, AI-klantenservice en tools als CallMerlin.
Dit is niet alleen een regel voor Big Tech. Of je nu een accountant bent die AI gebruikt voor factuuraanvragen, een makelaar met een AI-telefoonassistent, een horecabedrijf met spraakbestellingen of een marketingbureau dat klantrapportages automatiseert: de AI Act geldt voor jou. In dit artikel leggen we uit wat de wet vereist, hoe CallMerlin al compliant is, en welke vijf stappen je vandaag kunt zetten.
Wat is de EU AI Act?
De EU AI Act is de eerste uitgebreide AI-wet ter wereld. De wet deelt AI-systemen in vier risicocategorieen in, elk met eigen verplichtingen.
- Verboden AI: social scoring, manipulatieve technieken gericht op kwetsbare groepen, realtime biometrische identificatie in de openbare ruimte. Geen normaal bedrijfsgebruik valt hieronder.
- Hoog-risico AI: AI voor werving, kredietbeoordeling, medische triage, onderwijsbeoordeling of kritieke infrastructuur. Vereist conformiteitsbeoordelingen, technische documentatie, menselijk toezicht en EU-databaseregistratie.
- Beperkt-risico AI: AI-systemen die direct met mensen communiceren, zoals chatbots, spraakassistenten en AI-telefoonagenten. Moet gebruikers informeren dat ze met AI praten. Hier valt CallMerlin onder.
- Minimaal-risico AI: spamfilters, aanbevelingssystemen, voorspellende analyses. Geen extra verplichtingen.
Waar valt CallMerlin?
CallMerlin is een AI-spraakassistent en chatplatform dat direct met mensen communiceert via telefoon, webchat, desktop-app en mobiele app. Onder de EU AI Act valt dit in de categorie beperkt-risico AI. De hoofdverplichting is transparantie: gebruikers moeten weten dat ze met AI communiceren.
CallMerlin voert geen HR-screening, kredietbeoordeling of medische triage uit, dus de strenge hoog-risicovereisten van Annex III zijn niet van toepassing.
Artikel 50: de transparantieverplichting
Artikel 50(1) van de EU AI Act stelt dat aanbieders van AI-systemen die bedoeld zijn om direct met natuurlijke personen te communiceren, ervoor moeten zorgen dat die personen worden geinformeerd dat ze met een AI-systeem communiceren. De melding moet duidelijk en onderscheidend zijn en uiterlijk bij het begin van de interactie worden gegeven.
Voor spraaksystemen betekent dit een expliciete gesproken melding aan het begin van het gesprek. Voor chatsystemen een zichtbare indicatie in de interface. Generieke verwijzingen naar een 'assistent' of technische beschrijvingen als 'dit systeem gebruikt LLM's' voldoen niet.
De drie verplichtingen die voor iedereen gelden
Ongeacht de risicocategorie gelden drie verplichtingen voor elk bedrijf dat AI in de EU inzet.
- AI-geletterdheid (Artikel 4): iedereen die met AI werkt of erover beslist, moet de basis begrijpen. Je moet documenteren wie wanneer training heeft gehad.
- AI-inventarisatie: je moet weten welke AI-systemen in je organisatie worden gebruikt. Shadow AI (medewerkers die ChatGPT, Claude of andere tools gebruiken zonder dat IT het weet) maakt dit lastig.
- Transparantie-melding: gebruikers moeten weten wanneer ze met AI communiceren. Voor chatbots en spraakassistenten betekent dit duidelijke labels of gesproken aankondigingen.
Hoe CallMerlin al compliant is
Wij hebben compliance vanaf het begin in het platform ingebouwd. Dit doet CallMerlin om aan de EU AI Act te voldoen.
- AI-melding bij elk gesprek: bellers horen aan het begin van elk gesprek dat ze met een AI-systeem spreken. Dit is per taal configureerbaar in je dashboard.
- Zichtbare AI-indicatie in chat: de webchat-widget, desktop-app en mobiele app geven duidelijk aan dat de gebruiker met AI communiceert.
- EU-opslag voor account- en platformgegevens (Nederland). Voor AI kunnen chat, spraak en transcripties naar xAI (VS) gaan onder DPA/SCC's; geen EU-only claim.
- Controleerbare gesprekslogging: elke AI-interactie wordt gelogd met timestamps, zodat je compliance op elk moment kunt aantonen.
- BYOK (Bring Your Own Keys): je gebruikt je eigen API-keys voor gekoppelde diensten. Je blijft eigenaar van je data.
- Technische documentatie: documentatie over de gebruikte AI-modellen, databronnen en menselijke toezichtmaatregelen is op aanvraag beschikbaar.
Vijf stappen om je bedrijf compliant te maken
Je hebt geen juridische afdeling of een document van 50 pagina's nodig. Volg deze vijf stappen en je bent voor de deadline klaar.
- Stap 1: Inventariseer. Maak een lijst van elke AI-tool in je organisatie. Vergeet niet de ingebouwde AI in bestaande software (CRM, boekhouding, e-mail). Vraag elke afdeling: welke AI-tools gebruik je?
- Stap 2: Classificeer. Bepaal de risicocategorie per tool. De meeste vallen onder minimaal of beperkt risico. Wees streng bij hoog-risico: alles wat raakt aan HR-beslissingen, krediet of medisch advies activeert het volledige pakket verplichtingen.
- Stap 3: Train je team. Een training van twee uur per rol is voldoende. Behandel: welke AI-tools wij gebruiken, wat de risico's zijn (hallucinaties, bias, datalekken) en wat je doet bij twijfel. Documenteer aanwezigheid.
- Stap 4: Implementeer transparantie. Voor elke AI-tool die met mensen communiceert: voeg een duidelijke melding toe. CallMerlin doet dit automatisch. Voor andere tools: voeg zichtbare labels of gesproken aankondigingen toe.
- Stap 5: Documenteer en review. Maak een eenvoudig levend document met je AI-systemen, hun risicocategorie, de verantwoordelijke en de laatste trainingsdatum. Review elke zes maanden.
Boetes en risico's
Niet voldoen aan de transparantieverplichtingen van Artikel 50 kan leiden tot boetes tot 15 miljoen euro of 3% van de wereldwijde jaaromzet, afhankelijk van wat hoger is. Bij overtredingen van de verboden AI-praktijken is het plafond 35 miljoen euro of 7% van de omzet.
Naast boetes zijn er praktische risico's. Grote klanten nemen AI Act-compliance steeds vaker op in leveranciersbeoordelingen. Een aantoonbaar compliancebeleid bouwt vertrouwen op en vermindert wrijving in verkoopprocessen.
Veelgestelde vragen
Geldt de EU AI Act ook voor bedrijven buiten de EU?
Ja. Als je AI-systeem communiceert met mensen in de EU, geldt de wet, ongeacht waar je bedrijf is gevestigd.
Wat als ik denk dat ik geen AI gebruik?
Vrijwel onmogelijk in 2026. AI zit ingebouwd in Outlook, Gmail, je CRM, boekhoudtools en zelfs spellingcontrole. Inventariseer eerst, trek dan pas conclusies.
Wat is het verschil tussen de AI Act en de AVG?
De AVG reguleert persoonsgegevens. De AI Act reguleert AI-systemen. Beide kunnen tegelijk van toepassing zijn. Een AI-systeem dat klantgegevens verwerkt, valt onder beide.
Wat als ik de deadline van 2 augustus 2026 mis?
Boetes lopen van 1,5% van de wereldwijde omzet (administratieve overtredingen) tot 7% (verboden praktijken). De handhaving richt zich naar verwachting eerst op grote bedrijven en duidelijke hoog-risicogevallen, maar daar moet je niet op rekenen.
Regelt CallMerlin compliance voor mij?
Voor de AI-interacties die via CallMerlin lopen: ja. Wij regelen de transparantiemelding, EU-hosting, gesprekslogging en documentatie. Voor andere AI-tools in je organisatie moet je zelf compliance implementeren.
Wat moet ik vandaag doen?
Begin met een e-mail aan je team: 'Welke AI-tools gebruik je voor werk?' Plan daarna een uur met je IT-verantwoordelijke om ingebouwde AI in bestaande software door te nemen. En zorg dat elke AI-tool die met klanten praat een duidelijke melding heeft. CallMerlin regelt dat al voor je.
