EU AI Act en je webshop: wat moet het MKB nu echt regelen?

Veel ondernemers horen "EU AI Act" en denken aan OpenAI, Google en Meta. Aan gezichtsherkenning en high-risk systemen bij banken en ziekenhuizen. Niet aan hun eigen webshop.

Maar webshops gebruiken steeds vaker AI: in zoekfuncties, productaanbevelingen, chatbots, klantenservice, e-mailpersonalisatie, vertalingen en fraudepreventie. De meeste van die toepassingen maken je webshop niet meteen hoog risico, maar ze landen wel in een omgeving waarin transparantie en verantwoordelijkheid zwaarder gaan wegen. De vraag is dus niet of de AI Act voor je geldt, maar waar je AI gebruikt, wat die AI precies doet en welk risico daarbij hoort.

De wet is risicogebaseerd

De AI Act trad op 1 augustus 2024 in werking en introduceert één Europees kader met risicocategorieën: minimale risico's, specifieke transparantierisico's, hoog-risicosystemen en verboden toepassingen. Chatbots vallen onder specifieke transparantie, wat betekent dat gebruikers moeten weten dat ze met een machine praten.

Dat onderscheid telt. Een tool die productteksten herschrijft is iets anders dan een systeem dat sollicitanten beoordeelt. Een aanbevelingsblok is iets anders dan biometrische identificatie. Voor de meeste webshops zit het risico dus niet in de hoog-risicocategorie, maar in transparantie, privacy, datakwaliteit en menselijke controle.

Wanneer het gaat spelen

De invoering is gefaseerd. Verboden AI-praktijken en AI-geletterdheid gelden sinds 2 februari 2025, regels voor general-purpose AI-modellen sinds 2 augustus 2025. De meeste regels gelden vanaf 2 augustus 2026, met voor bepaalde hoog-risicogebieden een latere datum: 2 december 2027 voor onder meer biometrie, kritieke infrastructuur, onderwijs en werkgelegenheid, en 2 augustus 2028 voor AI die is ingebouwd in gereguleerde producten.

Voor webshops is 2 augustus 2026 de datum die telt. Dan gaan transparantieverplichtingen zwaarder wegen. Aanbieders van AI-systemen waarmee mensen direct contact hebben, zoals chatbots of generatieve AI, moeten ervoor zorgen dat klanten weten dat ze met een AI-systeem te maken hebben. Ook AI-gegenereerde tekst of afbeeldingen moeten in bepaalde gevallen herkenbaar zijn.

Praktisch komt dat neer op: wees duidelijk. Laat een chatbot zich niet voordoen als medewerker, en zorg dat klanten weten wanneer automatisering meespeelt.

Het probleem is zelden het AI-gebruik zelf

Dit is geen reden om AI uit je organisatie te halen. AI helpt webshops juist sneller te werken en klanten beter te helpen. De fout zit in AI gebruiken zonder overzicht.

Veel bedrijven weten niet welke tools hun medewerkers gebruiken: ChatGPT voor productteksten, Copilot voor klantmails, AI-plugins in marketingtools, automatische vertalingen, chatbots via een externe leverancier. Dan wordt compliance lastig, niet omdat het gebruik verboden is, maar omdat niemand weet wat er met data gebeurt en wie verantwoordelijk is als het misgaat.

Vijf aandachtspunten

Transparantie is de eerste. Ziet een klant dat hij met AI praat, en is duidelijk of een antwoord automatisch is gegenereerd of door iemand gecontroleerd?

Privacy de tweede. Welke gegevens gaan een AI-tool in, en worden klantgegevens, klachten of betaalinformatie gedeeld met externe modellen? De Autoriteit Persoonsgegevens waarschuwde eerder dat medewerkers datalekken kunnen veroorzaken door persoonsgegevens in AI-chatbots te zetten zonder goede afspraken met de aanbieder.

Juistheid de derde. Een chatbot die een verkeerd retourbeleid uitlegt of een korting belooft die niet bestaat, levert direct commercieel en juridisch risico op.

Menselijke controle de vierde. De Autoriteit Persoonsgegevens en de ACM waarschuwen dat chatbots mensen niet volledig mogen vervangen bij klantenservice: maak duidelijk wanneer iemand met een chatbot praat, voorkom misleidende informatie en houd menselijk contact beschikbaar.

En datakwaliteit als vijfde. AI is zo goed als de informatie eronder. Slechte productdata en verouderde voorwaarden leiden tot slechte antwoorden.

De chatbot is het meest zichtbare risico

Voor veel webshops is de chatbot de eerste AI-toepassing waar klanten direct mee te maken krijgen, en hij spreekt namens je organisatie. Geeft hij verkeerde informatie, dan ervaart de klant dat niet als een fout van de tool maar van jouw bedrijf.

Beoordeel hem dus niet alleen op kostenbesparing. Een goede webshopchatbot weet wat hij wel en niet mag beantwoorden, gebruikt actuele informatie, kan escaleren naar een medewerker, logt fouten en vraagt niet onnodig om gevoelige gegevens. De beste chatbot is niet degene die alles probeert op te lossen, maar degene die weet wanneer hij moet stoppen.

Productadvies vraagt om betere data

AI voor productadvies en personalisatie lijkt onschuldiger dan klantenservice, maar ook daar gaat het mis. Een assistent kan het verkeerde product adviseren, een aanbevelingssysteem kan bepaalde producten structureel bevoordelen, en een generatieve zoekfunctie kan specificaties verkeerd samenvatten.

Laat je AI adviseren, dan moet je productinformatie kloppen. Niet alleen naam en prijs, maar ook beschikbaarheid, varianten, compatibiliteit, retourvoorwaarden en beperkingen. AI kan geen betrouwbare verkoper zijn op rommelige brondata.

Datzelfde geldt voor generatieve content. AI mag je contentteam versnellen, maar de verantwoordelijkheid blijft bij jou. Zeker bij productclaims, garanties, duurzaamheids- of gezondheidsclaims, levertijden en voorwaarden moet je de output controleren. Een tekst die ongeveer klopt is niet goed genoeg als een klant erop koopt. Leg dus vast welke content AI mag genereren, wie eindredactie doet en welke claims verboden zijn.

Begin met een AI-register

De meest praktische stap is een simpel overzicht. Geen complianceplatform, gewoon een lijst: welke tools gebruiken we, waarvoor, welke data gaat erin, welke output komt eruit, zien klanten die output, is er menselijke controle, wie is eigenaar, welke leverancier zit erachter, en zijn er afspraken over dataopslag en beveiliging?

Zo'n register geeft grip, niet alleen voor de AI Act maar ook voor privacy, security en leveranciersbeheer. Zonder overzicht kun je niet sturen.

Voor de meeste mkb-webshops draait dit niet om zware hoog-risicoverplichtingen, maar om transparantie, juiste informatie, menselijke controle en duidelijke verantwoordelijkheden. AI kan je webshop slimmer maken, zolang je zelf de regie houdt.