AI- & dataregelgeving
AI Act, AVG, Cyberbeveiligingswet: het meeste nieuws gaat niet over jou. Wij zoeken uit wat wél geldt voor je AFAS-, Exact Online- of Business Central-omgeving, en leggen het vast tegen een vaste prijs.
20 tot 30 minuten, gratis. De check volgt alleen als er een aanleiding is: vaste prijs vanaf €1.450.
Eerst het goede nieuws
Orderbevestigingen, facturen en pakbonnen uitlezen en matchen met je inkooporders staat niet op de lijst met hoogrisicogebieden van de AI Act. Het beoordeelt geen mensen en is geen veiligheidsonderdeel van een product.
Bron: AI Act, artikel 5 en 50 en bijlage III; Verordening (EU) 2026/1744. Stand 17 oktober 2026. Dit is geen juridisch advies.
De vertaalslag
De plichten die nu tellen, komen vooral uit de AVG, de Cyberbeveiligingswet en de WOR. Een jurist vertelt je wat er in de wet staat; wij laten zien wat het betekent voor je koppeling, je documentstromen en je verwerkersketen.
AVG · DPIA
Volgens de AP is een DPIA bij generatieve AI bijvoorbeeld nodig, ook bij een pilot.
Je beoordeelt het zelf, en verwijzen naar de DPIA van een andere organisatie is niet genoeg.
Per documentstroom een korte, vastgelegde DPIA-toets, met de echte datastromen uit je koppeling erin. Geen sjabloon van een ander.
AVG · verwerkersketen
Met elke partij die als verwerker optreedt, sluit je een verwerkersovereenkomst. Tot en met de leverancier van het AI-model.
De keten op papier: jij als verantwoordelijke, wij als verwerker, de AI-leverancier als subverwerker. Met hostingregio, bewaartermijn en een notitie per gebruikt model.
Cyberbeveiligingswet
Geldt sinds 15 augustus 2026 voor middelgrote en grote bedrijven in onder meer voedsel, chemie, machines en elektronica.
Middelgroot en groot betekent hier: vanaf 50 fte, of met meer dan €10 miljoen omzet én balanstotaal. Een eerste waarschuwing bij een incident moet binnen 24 uur, en ook je leveranciers moet je regelen.
Een beveiligingsbijlage waarin wij een incident binnen 24 uur nadat wij het ontdekken aan jou melden, zodat jij je eigen termijn haalt. En hulp bij de vragenlijsten die je grote klanten sturen.
WOR · ondernemingsraad
Een systeem dat de prestaties van medewerkers kán meten, heeft instemming van de OR nodig. Ook als meten niet het doel is.
Cijfers per gebruiker voegen we samen in het dashboard, of we leveren een OR-memo mee. Zo wordt de OR geen rem op de livegang.
AI Act · AI-geletterdheid
Neem maatregelen om AI-geletterdheid te ondersteunen.
Alleen verwijzen naar een gebruiksinstructie is volgens de Europese Commissie meestal niet genoeg.
Een AI-gebruiksbeleid, een instructiekaart per systeem en een register van de maatregelen die je neemt. De training zelf laten we aan jou of een partner.
AI Act · beoogd gebruik
Hoe je een systeem inzet, bepaalt de risicoklasse.
Volgens de AI Act telt ook mee hoe het wordt aangeprezen, in reclame en verkoopmateriaal.
Per systeem leggen we het beoogde gebruik vast, met een verbod op inzet voor HR en kredietbeoordeling. Dan blijft je documentverwerking wat ze is: minimaal risico.
Wat geldt wanneer
Alleen wat in een wet of verordening staat. Waar iets nog een plan is, staat dat erbij. Stand: 19 oktober 2026.
Geldt nu alVan kracht
Raaktiedereen die AI gebruikt
Onder meer emotieherkenning op de werkvloer is verboden. Ook de plicht rond AI-geletterdheid begint.
Raaktwie een webshop of dienst voor consumenten heeft
Webshops en digitale diensten richting consumenten moeten toegankelijk zijn. De norm is WCAG 2.1 AA, de ACM houdt toezicht. Vrijgesteld zijn ondernemingen met minder dan tien werknemers en een omzet of balanstotaal tot twee miljoen euro, maar die vrijstelling geldt alleen voor diensten, niet voor producten. Een besloten portaal voor zakelijke gebruikers valt erbuiten: de wet gaat over diensten aan consumenten.
Raaktwie een AI-model aanpast of onder eigen naam aanbiedt
Leveranciers van algemene AI-modellen moeten documentatie bijhouden, een samenvatting van hun trainingsdata publiceren en een auteursrechtbeleid hebben. Dit is niet uitgesteld door de Omnibus. Gebruik je zo'n model gewoon, dan ligt de plicht bij de leverancier. Train je er zelf op door of bied je het onder je eigen naam aan, dan word je zelf aanbieder.
Raaktiedereen die AI gebruikt
De hoogrisicoregels zijn uitgesteld. AI-geletterdheid wordt een inspanningsplicht, zonder minimumniveau per persoon.
Raaktwie chatbots of generatieve AI inzet
Een chatbot of AI-agent moet melden dat het AI is. Deepfakes en bepaalde AI-teksten krijgen een label.
Raaktmiddelgrote en grote bedrijven in onder meer voedsel, chemie, machines, elektronica en voertuigen
Registratie bij het NCSC, zorgplicht, en bij een incident een eerste waarschuwing binnen 24 uur. Het bestuur keurt de beveiligingsmaatregelen goed. Middelgroot en groot betekent: vanaf 50 fte, of meer dan €10 miljoen omzet én balanstotaal.
Staat vast, komt nogVaste datum
Raaktje positie tegenover je ERP- en SaaS-leverancier
Cloud- en SaaS-leveranciers mogen geen overstapkosten meer rekenen. Handig als je van pakket wilt wisselen, of een externe AI-laag bij je data wilt.
Raaktalleen machinebouwers
Veiligheidscomponenten die met machine learning zelf verder leren, moeten extern worden gekeurd. Software die niet leert, valt erbuiten.
Raaktleveranciers van AI-modellen
Algemene AI-modellen die al op de markt waren voordat de regels ingingen, moeten dan alsnog aan dezelfde eisen voldoen.
Raaktwerkgevers met HR-software die AI gebruikt
Regels voor AI in werving, HR en kredietbeoordeling van personen. Werknemers en hun vertegenwoordigers informeer je vóór de ingebruikname.
Raaktmachine- en productbouwers
AI in producten die al onder Europese productwetgeving vallen, zoals machines.
Raaktalle btw-ondernemers, behalve de KOR
Facturen tussen bedrijven in verschillende EU-landen worden gestructureerde e-facturen; dat is EU-wet. Het kabinet wil op dezelfde datum ook binnenlandse B2B-e-facturatie, maar dat is nog een plan.
Ja, dit raakt ook ons eigen werk: inkomende PDF-facturen uitlezen wordt dan grotendeels overbodig. We helpen je liever met de overstap dan dat we het verzwijgen.
Het akkoord over de Digital Omnibus was op 6 mei 2026 zichtbaar in de data van het Europees Parlement. De publicatie in het Publicatieblad volgde op 24 juli 2026: wij zagen het ≈ 11 weken eerder. Wat onze monitor oplevert, krijg je in de kwartaalmemo van het abonnement.
Het aanbod
Je begint met een gratis kennismaking van 20 tot 30 minuten. Geen workshops of zaal vol slides, maar documenten, ingevulde registers en contractbijlagen, plus één opleveringsgesprek per opdracht.
Zit bij elk systeem dat wij opleveren. Niet ‘ingebouwd’ als belofte, maar een dossier dat je kunt laten zien.
In het contract: welke partijen wij inschakelen, dat wij een incident binnen 24 uur melden nadat we het ontdekken, hoe je overstapt naar een andere partij, en een memo voor je OR als het systeem per medewerker iets meet.
Na de gratis kennismaking, als er een aanleiding is: een vragenlijst van een grote klant, de uitrol van Copilot, de OR, of een eigen AI-plan. Voor bedrijven van 20 tot 200 fte, ook als we nog niet samenwerken.
Niet inbegrepen: een volledige DPIA, juridisch advies en trainingen. Maximaal drie gesprekken; je krijgt een rapport van hooguit vijf pagina's met een actielijst.
Wij doen het werk rond je AI- en dataregels, ook als we je systemen niet hebben gebouwd. Jij blijft verantwoordelijk en beslist; wij zorgen dat je weet wat er moet.
Basis is tot 7,5 uur werk per kwartaal, Plus tot 12 uur. Kost iets meer, dan hoor je dat vooraf; extra uren kosten €120. Niet inbegrepen: juridisch advies of procederen, de rol van functionaris gegevensbescherming, trainingen en volledige DPIA's (op offerte). Een hack of ransomware is werk voor je IT-partner.
Alle prijzen exclusief btw. De kennismaking is gratis. De check is een vaste prijs; volgt binnen zes maanden een project, dan trekken we hem ervan af, tot de helft van de projectprijs.
Zo verloopt de check
Wij adviseren, jij beslist. Wij zijn een technisch adviesbureau, geen advocatenkantoor. Voor beslissingen met juridische gevolgen verwijzen we je naar een jurist. De signalen uit onze monitor zijn informatief: ze vervangen geen eigen juridische toets.
Wat we zelf vastleggen
Wij hosten een platform dat verbonden is met je ERP; voor het lezen van documenten gebruikt het de AI van Anthropic. Dit leggen we bij elk project vast, volgens de AVG.
De juridische stukken (verwerkersovereenkomst, subverwerkers) delen we tijdens de kennismaking. Vraag ze op →
Vragen
Staat je vraag er niet bij? Bel of mail gerust. Je spreekt meteen iemand die het bouwt.
info@tradyon.nlWaarschijnlijk wel, maar dan meestal in de lichtste categorie. AI die documenten uitleest en in je ERP zet, valt onder minimaal risico. Dan gaat het vooral om AI-geletterdheid (artikel 4) en, als een systeem rechtstreeks met mensen praat, om melden dat het AI is (artikel 50).
Zwaarder wordt het bij AI voor werving, HR of kredietbeoordeling van personen. Daarvoor gelden vanaf 2 december 2027 de hoogrisicoregels. In de check zetten we per tool op papier waar die volgens ons valt, met datum en aannames.
Nee. Sinds 27 juli 2026 geldt Verordening (EU) 2026/1744. De hoogrisicoregels voor onder meer HR gaan pas in op 2 december 2027. Lees je ergens dat alles vóór augustus 2026 geregeld moest zijn? Die informatie is achterhaald.
Waar het wél gaat schuren: HR-software. Dezelfde techniek die je facturen leest, wordt hoog risico zodra hij sollicitanten gaat rangschikken of medewerkers gaat beoordelen.
Ja, maar minder dan je misschien leest. Vandaag tellen vooral de AVG (volgens de AP is een DPIA bij generatieve AI bijvoorbeeld nodig, ook bij een pilot), de Cyberbeveiligingswet als je eronder valt, en de OR zodra een systeem prestaties kan meten.
Uit de AI Act gelden nu de basisplichten: geen verboden toepassingen, maatregelen voor AI-geletterdheid, en melden dat een chatbot AI is. De hoogrisicoregels komen pas op 2 december 2027.
Nog niet. Nederland heeft de uitvoeringswet nog niet; volgens de huidige planning gaat die in 2027 naar de Tweede Kamer. Tot die er is, kan geen Nederlandse toezichthouder AI Act-boetes opleggen.
De Autoriteit Persoonsgegevens kan wel optreden via de AVG, en die geldt gewoon. Daarom beginnen we daar.
Nee. Wij zijn een technisch adviesbureau, geen advocatenkantoor. Voor beslissingen met juridische gevolgen verwijzen we je naar een jurist, en ook bij twijfel over de uitleg van de wet, waar de tekst meer lezingen toelaat.
Onze kracht zit in de vertaalslag: wat een regel betekent voor je koppelingen, je documentstromen en je verwerkersketen. Wij doen de inventarisatie en risicoclassificatie (per tool, met datum en aannames), de dossiers, registers en contractbijlagen, en we volgen wijzigingen in officiële EU- en NL-bronnen. Wij adviseren, jij beslist.
Workshops en trainingen: wij leveren beleid en instructiekaarten. Een los monitorabonnement: het nieuws is gratis; de vertaalslag niet. AI voor HR of kredietbeoordeling: die bouwen we niet.
ISO 42001-trajecten: voor mkb met weinig risico meestal te zwaar. En functionaris gegevensbescherming zijn: niet bij een klant voor wie we ook bouwen.
Waarom geen trainingen? Omdat we bouwers zijn, geen trainers. Artikel 4 vraagt dat je maatregelen neemt; een vaste vorm is niet verplicht. Wij leveren het beleid, een instructiekaart per systeem en het register van de maatregelen. De training zelf laten we aan jou of een partner.
Nee. De documenten gaan via de API van Anthropic (Claude), en Anthropic traint niet op wat via de API binnenkomt. Je documenten en de resultaten blijven van jou.
We leggen de hele keten vast in verwerkersovereenkomsten, met jou én met onze subverwerker, en we sturen alleen de gegevens mee die nodig zijn voor de taak.
Nee. Een adviesbureau kan dat niet afgeven, en wie het belooft, belooft te veel. Je krijgt wel per tool een gedateerde classificatie, op basis van de informatie die je aanlevert, en een dossier waarmee je kunt laten zien wat je hebt gedaan.
Dat is wat een klant met een vragenlijst, je OR of je directie wil zien: aantoonbaar orde op zaken.
Onze eigen monitor volgt de officiële EU- en NL-bronnen, de bron zelf en niet het nieuws erover: Have Your Say, EUR-Lex en Publicatieblad, Europees Parlement, Europese Commissie, EDPB, internetconsultatie.nl, Tweede Kamer, Staatscourant, AP, RDI, ACM.
Signaleren: een consultatie of voorstel zien we vaak maanden vóór de publicatie in het Publicatieblad. Schiften: is het een voorstel of al wet? Voor wie geldt het, en vanaf wanneer? Dat onderscheid maken we bij elk item. Toetsen aan jouw systemen: we leggen het naast wat we van je weten: sector, aantal fte, OR en de tools uit je AI-overzicht. Tim of David kijkt elk signaal na voordat het naar jou gaat.
De monitor verkopen we niet los. Het is ons gereedschap. Wat hij oplevert, krijg je in de kwartaalmemo van het abonnement AI & regels uit handen. De signalen zijn informatief: ze vervangen geen eigen juridische toets.
Voorstellen zonder vaste datum, zoals het AVG-deel van de Digital Omnibus en de Nederlandse uitvoeringswet voor de AI Act. Die volgen we wel, en ze komen erbij zodra er een datum vaststaat.
Ook weggelaten: 1 augustus 2024, de dag dat de AI Act in werking trad, want toen gold er nog niets; de eerste verplichtingen begonnen op 2 februari 2025. En regels die maar één sector raken, zoals DORA voor financiële instellingen.
Ja. De kennismaking, de check en het abonnement AI & regels uit handen zijn bedoeld voor bedrijven van 20 tot 200 fte, ook als we nog niet samenwerken.
De check is dan het startpunt: daarin brengen we je systemen en tools in kaart. Zonder dat overzicht kunnen we niet zeggen of een nieuwe regel je raakt.
Nee. De scan gaat over tijdwinst: welk handmatig werk in je ERP-stromen automatisch kan. De kennismaking over AI & regels gaat over de vraag wat er voor jouw bedrijf geldt.
Allebei gratis, en je kunt ze los van elkaar plannen.
Begin met een gratis kennismaking van 20 tot 30 minuten. Daarna weet je of er iets te doen is. Blijkt er weinig te doen, dan zeggen we dat gewoon.
We meten hoe de site gebruikt wordt (Google Analytics, met cookies), alleen als je dat goed vindt. Meer in de privacyverklaring.
Tradyon