Op dinsdagochtend ontmoet een dga de Europese digitale regelgeving niet in de rechtszaal of in een beleidsstuk. Ze komt langs in drie e-mails. Een grote klant vraagt om informatie over beveiliging. Een softwareleverancier wijzigt zijn voorwaarden. Het webbureau begint over toegankelijkheid. Intussen gebruikt een medewerker een AI-functie in een marketingtool en heeft niemand vastgelegd welke gegevens daarin terechtkomen.
That is where the pressure starts. Not in theory. In the daily work of a small firm.
Het digitale bedrijf is er al
CBS reported in March 2026 that 89 percent of Dutch SMEs with 10 to 250 employees reached at least a basic level of digital intensity in 2025. The EU average was 71 percent. CBS uses that threshold for companies using at least four of twelve selected digital technologies.
Met AI gaat het dezelfde kant op. Het CBS meldde dat 33 procent van de bedrijven met 10 of meer werknemers in 2025 een of meer van de onderzochte AI-technologieën gebruikte. In 2024 was dat 23 procent en in 2023 14 procent. Bij microbedrijven met 2 tot 9 werknemers stelde het CBS in 2025 een AI-gebruik van 13,8 procent vast.
For small firms, that often means software bought from a supplier, not a system built in-house. The owner may use AI through bookkeeping software, customer service tools, planning systems, HR products, document drafting, or online advertising.
Daarmee verandert de vraag. Wie heeft de tool gekozen? Welke gegevens gaan erin? Wie controleert de uitkomst? En wat gebeurt er als die uitkomst gevolgen heeft voor een klant, werknemer of contract?
De wettelijke klok loopt al
De Rijksoverheid schrijft dat de AI-verordening op 1 augustus 2024 in werking is getreden en gefaseerd van toepassing wordt. De regels voor verboden AI-systemen gelden sinds 2 februari 2025. De regels voor AI-modellen voor algemene doeleinden gelden sinds 2 augustus 2025. Verplichtingen voor hoogrisico-AI-toepassingen en transparantie gelden vanaf 2 augustus 2026; de eisen voor hoogrisico-AI-producten en de volledige toepassing volgen op 2 augustus 2027.
Voor een dga is de nuttige vraag niet of het hele regelboek in 2027 tegelijk neerdaalt. Het gaat erom welke onderdelen van het bedrijf nu al raken aan klanten, werknemers, krediet, gezondheid, veiligheid, klachten, prijzen, planning of juridische documenten. Daar verandert een vrijblijvende tool in een beheerst bedrijfsproces.
In april 2026 opende de Rijksoverheid de consultatie over de Nederlandse uitvoering. Daarbij zijn bestaande toezichthouders binnen hun eigen domeinen voorzien, met een coördinerende rol voor de Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur. Dat klinkt ver verwijderd van de werkvloer. Het is dat niet op het moment dat een klant vraagt waar in het werk AI wordt gebruikt.
Contracten dragen een groot deel van de druk
Voor veel kleine bedrijven komt digitale regelgeving eerst binnen via contractvoorwaarden. De AFM schrijft dat DORA veel aandacht besteedt aan het risico van ICT-dienstverleners bij financiële ondernemingen. Instellingen die onder DORA vallen, moeten het risico van ICT-leveranciers opnemen in hun risicobeheer, contractuele afspraken in een register bijhouden en bij kritieke of belangrijke uitbesteding aanvullende contractuele bepalingen opnemen.
Een softwareleverancier, cloudondersteuner of datacenter kan die druk ook buiten de financiële sector voelen. De bank, verzekeraar of betaaldienstverlener vraagt om ondersteuning bij incidenten, auditrechten, informatie over bedrijfscontinuïteit, gegevens over onderaannemers en afspraken over beëindiging. De onderhandeling verandert dan al, voordat het eigen regelboek van de leverancier verandert.
Bij verbonden producten gebeurt hetzelfde. De ACM schrijft dat de Data Act sinds 12 september 2025 van toepassing is en ziet op het delen van gegevens uit verbonden producten en bijbehorende diensten. Gebruikers krijgen meer zeggenschap over gegevens uit slimme apparaten en kunnen eenvoudiger van clouddienst wisselen. De Rijksoverheid schrijft dat de Cyber Resilience Act op 10 december 2024 in werking is getreden. Fabrikanten krijgen vanaf 11 september 2026 meldplichten voor actief uitgebuite kwetsbaarheden en ernstige incidenten.
Een maker, importeur of wederverkoper van een product met software moet daardoor verder kijken dan de verkoop. Updates, het verhelpen van kwetsbaarheden, bewijs van leveranciers en toegang van klanten tot gegevens worden onderdeel van de hele levensduur van het product.
Bewijs kost geld
Het CBS meldde dat in 2024 minder bedrijven dan in 2016 te maken hadden met ten minste één extern cyberincident: 4 procent tegenover 11 procent. Dat is goed nieuws. Dezelfde CBS-update laat ook een forse kloof in voorbereiding zien. In 2025 gebruikte 86 procent van de grote bedrijven tien of meer van de twaalf onderzochte cybersecuritymaatregelen. Bij bedrijven met 2 tot 10 werknemers was dat slechts 13 procent.
Dat is eerst een margekwestie en pas daarna een drama. Kleine bedrijven hebben minder tijd, minder specialisten en meer gecombineerde functies. Degene die facturen goedkeurt, beheert misschien ook wachtwoorden, overlegt met het webbureau en spreekt met de verzekeraar. Digitale onderbouwing moet compact genoeg blijven om er werkelijk mee te werken.
De kosten zitten ook in werk dat vroeger informeel aanvoelde. Softwarewijzigingen, aanpassingen aan websites, beveiligingsmaatregelen, leverancierscontroles, documentatie, tests en de voorbereiding op incidenten kosten allemaal tijd of geld. Als die kosten niet zichtbaar worden in begrotingen, projectnotities en managementinformatie, kan de eigenaar het werk niet goed prijzen. Een brede auditclausule die gratis is ondertekend, kan naleving veranderen in onbetaalde arbeid.
Toegankelijkheid hoort in hetzelfde rijtje
Voor onlineverkopers maakt toegankelijkheid deel uit van hetzelfde praktische verhaal. De ACM houdt vanaf 28 juni 2025 toezicht op webwinkels en communicatiediensten op grond van de Europese Toegankelijkheidsrichtlijn. De verplichtingen gelden voor bedrijven met 10 of meer werknemers en/of een jaaromzet boven 2 miljoen euro. In een controle onder Nederlandse webwinkels in 2026 stelde de ACM vast dat 61 procent van de grootste webwinkels digitaal niet toegankelijk was.
Voor een kleinere verkoper die rond de grens zit, zijn de nuttigste plekken om te bekijken de kassa, formulieren, documenten, mobiele pagina's en klantenservice. Dit zijn geen losse juridische eilanden. Het zijn de punten waar klanten het bedrijf ontmoeten en waar een klacht begint.
Wat de dga nodig heeft
Ik zou hier geen dikke ordner van maken. Begin met een actueel overzicht van AI-tools, clouddiensten, verbonden producten, de webshop, het klantenportaal, het betalingssysteem en de belangrijkste leveranciers. Markeer de middelen die raken aan klanten, werknemers, juridische documenten, klachten, prijzen, krediet of veiligheid. Voeg waar beschikbaar het contract, de beveiligingsverklaring, de ondersteuningsroute, het updatebeleid en de verantwoordelijke binnen het bedrijf toe.
Terug naar de dga op dinsdagochtend. Ze heeft geen toneelstuk nodig. Ze moet de klant kunnen antwoorden, de leveranciersvoorwaarden controleren, het webbureau om een concreet herstelplan vragen en vastleggen wie verantwoordelijk is voor de AI-tools. Het bedrijf mag klein zijn, zijn digitale voetafdruk is niet langer informeel.
Dat is de stille verschuiving in de Nederlandse naleving van regels. Digitalisering bracht snelheid. De volgende fase vraagt om verantwoordelijkheid die aantoonbaar is. Geen paniek en geen papier om het papier, maar voldoende bewijs om vertrouwen, contracten, liquiditeit en klanten in beweging te houden.
Wilt u bespreken wat dit betekent voor uw bedrijf?
De data, bronnen en analyse achter dit artikel zijn uitgevoerd door Paolo Maria Pavan. AI is niet gebruikt om bronnen te identificeren, de feitelijke basis op te bouwen of het analytische oordeel in dit artikel te vormen. AI is alleen gebruikt als hulpmiddel bij het opstellen. De definitieve Nederlandse tekst is persoonlijk nagekeken, geredigeerd en goedgekeurd door Paolo Maria Pavan voor publicatie.
