EU AI Act en je webshop: wat moet het MKB nu echt regelen?

Raakt de EU AI Act jouw webshop, of hoef je je geen zorgen te maken?

Veel ondernemers horen “EU AI Act” en denken aan grote techbedrijven. Aan OpenAI, Google, Microsoft, Meta. Aan zelflerende modellen, gezichtsherkenning en high-risk systemen bij banken, ziekenhuizen of overheden. Niet aan hun eigen webshop.

Maar dat is te kort door de bocht.

Want ook webshops gebruiken steeds vaker AI. In zoekfuncties. Productaanbevelingen. Chatbots. Klantenservice. E-mailpersonalisatie. Dynamische content. Vertalingen. Reviewsamenvattingen. Fraudepreventie. Prijsoptimalisatie. Campagnecreatie.

De meeste van die toepassingen maken je webshop niet meteen “hoog risico”. Maar ze vallen wél in een omgeving waarin transparantie, controle en verantwoordelijkheid belangrijker worden.

De vraag is dus niet: “Geldt de EU AI Act voor ons of niet?”

De betere vraag is:

“Waar gebruiken we AI, wat doet die AI precies en welk risico hoort daarbij?”

De EU AI Act is risicogebaseerd

De AI Act is op 1 augustus 2024 in werking getreden. De wet introduceert één Europees kader voor AI en werkt met risicocategorieën. De Europese Commissie onderscheidt onder meer minimale risico’s, specifieke transparantierisico’s, hoog-risicosystemen en verboden toepassingen. Chatbots vallen bijvoorbeeld onder specifieke transparantie: gebruikers moeten weten dat zij met een machine communiceren.

Dat risicodenken is belangrijk.

Niet elke AI-tool wordt hetzelfde behandeld. Een AI-tool die helpt om productteksten te herschrijven is iets anders dan een AI-systeem dat sollicitanten beoordeelt. Een aanbevelingsblok in je webshop is iets anders dan biometrische identificatie. Een chatbot die orderstatussen uitlegt is iets anders dan AI die bepaalt of iemand recht heeft op een essentiële dienst.

Voor de meeste webshops zit het risico dus niet direct in “hoog risico”.

Het zit eerder in transparantie, privacy, datakwaliteit, misleiding, klantvertrouwen en menselijke controle.

Wanneer wordt het relevant voor webshops?

De AI Act wordt gefaseerd ingevoerd. Verboden AI-praktijken en AI-geletterdheid gelden sinds 2 februari 2025. Regels voor general-purpose AI-modellen gelden sinds 2 augustus 2025. De meeste regels zijn vanaf 2 augustus 2026 van toepassing, waarbij de Europese Commissie voor bepaalde hoog-risicogebieden inmiddels een latere toepassing noemt: 2 december 2027 voor onder meer biometrie, kritieke infrastructuur, onderwijs, werkgelegenheid en migratie, en 2 augustus 2028 voor AI die is ingebouwd in gereguleerde producten.

Voor webshops is vooral 2 augustus 2026 relevant.

Dan gaan onder meer transparantieverplichtingen zwaarder tellen. De Nederlandse ondernemerssite Business.gov.nl beschrijft dat aanbieders van specifieke AI-systemen waarbij mensen direct contact hebben, zoals chatbots of generatieve AI, ervoor moeten zorgen dat klanten weten dat zij een AI-systeem gebruiken. Ook AI-gegenereerde afbeeldingen of tekst moeten in bepaalde gevallen als zodanig herkenbaar zijn.

Dat klinkt juridisch. Maar praktisch betekent het: wees duidelijk. Laat een chatbot zich niet voordoen als medewerker. Gebruik AI-content niet alsof het gegarandeerd menselijke expertise is. En zorg dat klanten weten wanneer automatisering meespeelt in hun ervaring.

Niet elke webshop hoeft in paniek te raken

De EU AI Act is geen reden om alle AI uit je organisatie te halen. Integendeel. AI kan webshops juist helpen om sneller te werken, betere productinformatie te maken, klanten beter te helpen en processen slimmer te organiseren.

De fout zit niet in AI-gebruik. De fout zit in AI gebruiken zonder overzicht. Veel bedrijven weten niet precies welke AI-tools medewerkers gebruiken. Denk aan ChatGPT voor productteksten, Copilot voor klantmails, AI-plugins in marketingtools, automatische vertalingen, reviewtools, aanbevelingssoftware of chatbots die via een externe leverancier draaien.

Dan wordt compliance lastig. Niet omdat elk gebruik verboden is, maar omdat niemand weet wat er gebeurt met data, welke output aan klanten wordt getoond en wie verantwoordelijk is als het misgaat. Voor het MKB begint AI-compliance dus niet met een juridisch document. Het begint met een inventarisatie.

Waar zitten de grootste aandachtspunten?

Voor webshops zijn er vijf praktische risicogebieden.

Het eerste is transparantie. Ziet een klant duidelijk dat hij met een AI-systeem praat? Wordt AI-gegenereerde content herkenbaar gemaakt wanneer dat nodig is? Is duidelijk of een antwoord automatisch is gegenereerd of door een medewerker is gecontroleerd?

Het tweede is privacy. Welke gegevens gaan een AI-tool in? Worden klantgegevens, orderinformatie, klachten, retouren of betaalinformatie gedeeld met externe modellen? De Autoriteit Persoonsgegevens waarschuwde eerder al dat medewerkers datalekken kunnen veroorzaken wanneer zij persoonsgegevens invoeren in AI-chatbots zonder goede afspraken met de aanbieder.

Het derde is juistheid. Een AI-chatbot die een verkeerd retourbeleid uitlegt, een productclaim verzint of een korting belooft die niet bestaat, veroorzaakt direct commercieel en juridisch risico.

Het vierde is menselijke controle. Kan een klant makkelijk een medewerker bereiken als het gesprek vastloopt? De Autoriteit Persoonsgegevens en ACM waarschuwen dat chatbots mensen niet volledig mogen vervangen bij klantenservice. Zij benadrukken dat organisaties duidelijk moeten maken wanneer iemand met een chatbot praat, moeten voorkomen dat de chatbot onjuiste of misleidende informatie geeft en menselijk contact beschikbaar moeten houden.

Het vijfde is datakwaliteit. AI is zo goed als de informatie waarop hij werkt. Slechte productdata, verouderde voorwaarden of rommelige kennisbankartikelen leiden tot slechte antwoorden.

Chatbots zijn het meest zichtbare risico

Voor veel webshops is de chatbot de eerste AI-toepassing waar klanten direct mee te maken krijgen. Dat maakt hem gevoelig. Een chatbot spreekt namens je organisatie. Als hij verkeerde informatie geeft, ervaart de klant dat niet als “een fout van de tool”. De klant ervaart dat als een fout van jouw bedrijf. Daarom moet een AI-chatbot niet alleen worden beoordeeld op kostenbesparing.

Natuurlijk is 24/7-beschikbaarheid handig. Natuurlijk kan automatisering eenvoudige vragen sneller afhandelen. Maar de chatbot moet betrouwbaar genoeg zijn voor de taken die je hem geeft.

Een goede webshopchatbot weet wat hij wel en niet mag beantwoorden. Hij gebruikt actuele informatie. Hij kan escaleren naar een medewerker. Hij logt belangrijke fouten. Hij vraagt niet onnodig om gevoelige gegevens. En hij doet zich niet menselijker voor dan verantwoord is. De beste chatbot is niet de chatbot die alles probeert op te lossen. Het is de chatbot die weet wanneer hij moet stoppen.

Productadvies en personalisatie vragen om extra controle

AI wordt ook steeds vaker ingezet voor productadvies en personalisatie. Dat lijkt minder risicovol dan klantenservice. Maar ook hier kunnen problemen ontstaan. Een AI-assistent kan een verkeerd product adviseren. Een aanbevelingssysteem kan bepaalde producten structureel bevoordelen. Een personalisatietool kan op basis van onduidelijke data aannames doen over klanten. Een generatieve zoekfunctie kan specificaties verkeerd samenvatten.

In je aangeleverde bronnen zie je deze ontwikkeling terug in de bredere beweging naar AI-personalisatie en agentic commerce: AI-systemen worden steeds vaker onderdeel van productontdekking, advies en aankoopbeslissingen. Dat maakt productdata belangrijker. Als je AI productadvies laat geven, moet je zorgen dat productinformatie klopt. Niet alleen naam en prijs, maar ook beschikbaarheid, varianten, specificaties, compatibiliteit, retourvoorwaarden en beperkingen. AI kan geen betrouwbare verkoper zijn als je brondata rommelig is.

Generatieve content: handig, maar niet zonder eindredactie

Veel marketingteams gebruiken AI voor productteksten, blogs, e-mails, advertenties, social posts en vertalingen. Dat is begrijpelijk.

AI kan helpen om sneller concepten te maken, varianten te testen en contentprocessen efficiënter te maken. Maar de verantwoordelijkheid blijft bij je organisatie. Zeker bij productclaims, garanties, medische of gezondheidsclaims, duurzaamheid, levertijden, prijzen en juridische voorwaarden moet je AI-output controleren.

Een AI-tekst die “ongeveer klopt” is niet goed genoeg als een klant daarop koopt.

Daarom moet je vastleggen welke content AI mag genereren, wie eindredactie doet, welke claims verboden zijn en hoe je voorkomt dat AI verzonnen voordelen of onjuiste specificaties toevoegt. AI mag je contentteam versnellen. Niet vervangen als verantwoordelijkheidslaag.

Begin met een AI-register

De meest praktische stap voor het MKB is een eenvoudig AI-register. Geen ingewikkeld complianceplatform. Gewoon een overzicht.

• Welke AI-tools gebruiken we?
• Waarvoor gebruiken we ze?
• Welke data gaat erin?
• Welke output komt eruit?
• Zien klanten de output?
• Is er menselijke controle?
• Wie is eigenaar?
• Welke leverancier zit erachter?
• Zijn er afspraken over dataopslag, training en beveiliging?
• Valt de toepassing mogelijk onder transparantie- of hoog-risicoregels?

Zo’n register geeft grip. Niet alleen voor de AI Act, maar ook voor privacy, security, kwaliteit en leveranciersbeheer. Zonder overzicht kun je niet sturen. Met overzicht kun je keuzes maken.

De kern

De EU AI Act betekent niet dat webshops moeten stoppen met AI. Maar wel dat vrijblijvend AI-gebruik voorbij is. Voor de meeste MKB-webshops draait het niet om zware hoog-risicoverplichtingen. Het draait om transparantie, privacy, juiste informatie, menselijke controle en duidelijke verantwoordelijkheden.

Gebruik je AI in klantenservice, productadvies, personalisatie of content? Breng het in kaart. Controleer welke data je deelt. Maak klanten duidelijk wanneer ze met AI te maken hebben. Zorg dat mensen bereikbaar blijven. En leg vast wie verantwoordelijk is voor output die klanten zien.

AI kan je webshop slimmer maken.

Maar alleen als je zelf de regie houdt.