AI Act webshop: wat moet je als merchant regelen?

Sinds 2 augustus 2026 geldt de transparantieplicht voor chatbots in de hele EU. Draait er een AI-chatbot in je webshop, dan moet de klant kunnen weten dat hij met een machine praat. Boetes voor overtreding van deze plicht kunnen oplopen tot 15 miljoen euro of 3% van de wereldwijde jaaromzet (de hoogste van de twee).

Dat klinkt zwaar. In de praktijk valt het meeste wat een webshop met AI doet in de lichte categorie. Maar "licht" is niet "niets". Dit artikel loopt door wat voor jouw shop geldt en wat niet.

Dit is geen juridisch advies. De AI Act is nieuw, de handhaving is nog in opbouw en de details zijn recent gewijzigd. Leg specifieke twijfelgevallen voor aan een jurist.

De tijdlijn: wat geldt nu, wat is uitgesteld

De AI Act is Verordening (EU) 2024/1689 en trad in augustus 2024 in werking. De verplichtingen gaan in fasen in:

Die laatste twee data komen uit het zogeheten digital omnibus-pakket voor AI. Volgens de bronnen die wij raadpleegden is dat pakket in juni 2026 door Parlement en Raad goedgekeurd en in juli gepubliceerd. Over de exacte publicatiedatum verschillen de bronnen. Controleer de actuele tekst op EUR-Lex voordat je op een specifieke datum plant.

Wat het uitstel niet raakt:

• De verboden praktijken blijven gelden.
• De transparantieplicht voor chatbots (artikel 50 lid 1) geldt sinds 2 augustus 2026.
• Voor de machine-leesbare markering van synthetische content (artikel 50 lid 2) is volgens de bronnen een korte overgangsperiode afgesproken tot 2 december 2026, voor systemen die al op de markt waren. Dat raakt vooral de aanbieders van AI-tools, niet jouw webshop.

Welke categorie is jouw AI?

De AI Act kent vier niveaus:

1. Verboden: bijvoorbeeld manipulatieve technieken die gedrag onderbewust sturen, of misbruik van kwetsbaarheden van mensen.
2. Hoog risico: onder meer AI voor kredietwaardigheid van personen, werving en selectie, onderwijs en toegang tot essentiële diensten.
3. Beperkt risico (transparantie): chatbots, deepfakes, bepaalde AI-gegenereerde content.
4. Minimaal risico: de rest. Spamfilters, voorraadvoorspelling, zoekranking.

Voor een gemiddelde webshop ziet dat er zo uit:

Dit is een indicatie. De indeling hangt af van het doel en de context van je systeem, niet van de technologie.

Fraude-scoring: waar het schuurt

Bijlage III noemt AI voor kredietscoring van natuurlijke personen als hoog risico. Fraudedetectie is daarvan uitgezonderd. Dat is op zichzelf geruststellend.

Maar blokkeert je systeem klanten automatisch, of weigert het betaalmethodes zoals achteraf betalen op basis van een profiel? Dan raak je de AVG (artikel 22) en mogelijk de kredietgrens. Houd daar een mens in de beslislus. Hoe je fraudepatronen technisch herkent, lees je in AI fraud detection voor e-commerce.

Transparantieplicht chatbot: wat moet je doen?

Dit is de regel die jou het meest raakt. Artikel 50 lid 1 zegt: systemen die met mensen communiceren moeten zo zijn ontworpen dat mensen weten dat ze met AI praten. Uitzondering: als het uit de omstandigheden al duidelijk is voor een redelijk geïnformeerd persoon.

Een chatwidget met een vriendelijk gezichtje en de naam "Sanne" valt daar niet onder. Dat is niet duidelijk.

Concreet:

• Zet in de eerste boodschap: "Ik ben een AI-assistent." Niet verstopt in de voorwaarden.
• Geef een duidelijke weg naar een mens. Dat is geen AI Act-eis voor deze categorie, maar wel verstandig voor conversie en klanttevredenheid.
• Verzin geen menselijke naam of foto die de indruk wekt dat er een medewerker zit.
• Gebruik je een bot van een externe leverancier? Dan ben jij de deployer. De leverancier is de provider. Vraag hoe zij de melding ondersteunen, maar zorg dat het in jouw shop zichtbaar is.

Het kost een uur werk. Het risico bij weglaten is disproportioneel groter.

AI-gegenereerde content labelen: wat geldt voor productteksten?

Veel merchants vragen: moet ik "geschreven met AI" onder elke productbeschrijving zetten?

Het eerlijke antwoord: waarschijnlijk niet, maar de tekst van de verordening is hier genuanceerd.

• Artikel 50 lid 2 verplicht aanbieders van AI-systemen om output machine-leesbaar te markeren als kunstmatig gegenereerd. Dat is een plicht voor de maker van de tool, niet voor jou als gebruiker.
• Artikel 50 lid 4 verplicht deployers om deepfakes te labelen. Voor tekst geldt de labelplicht alleen voor tekst die is gepubliceerd om het publiek te informeren over zaken van publiek belang. Er is een uitzondering als een mens de tekst heeft gecontroleerd en iemand redactionele verantwoordelijkheid draagt.

Een productbeschrijving voor een waterkoker is geen publieke informatie over kwesties van publiek belang. Een blog over gezondheidsclaims of een nieuwsachtig artikel zit dichterbij die grens.

Let wel op bij beeld. AI-gegenereerde productfoto's die er uitzien als echte foto's van een bestaand product, kunnen misleidend zijn onder consumentenrecht. Dat staat los van de AI Act. Toon altijd het echte product.

Twijfel je over een specifiek geval? Controleer de actuele richtsnoeren van de Europese Commissie over artikel 50.

AI-geletterdheid: de plicht die iedereen vergeet

Artikel 4 geldt sinds 2 februari 2025 voor alle aanbieders en deployers van AI. Ook voor jouw webshop met drie medewerkers die ChatGPT gebruiken. Er is geen drempel voor bedrijfsgrootte.

De omnibus heeft de formulering volgens de bronnen verzacht. Eerst moest je "naar beste vermogen" zorgen voor een voldoende niveau. Nu moet je maatregelen nemen die de ontwikkeling van AI-geletterdheid ondersteunen. De plicht blijft, de lat ligt lager. Controleer de definitieve tekst.

Wat dit in de praktijk betekent voor een MKB-webshop:

• Wie AI gebruikt weet wat een taalmodel wel en niet kan (hallucinaties, verouderde kennis).
• Medewerkers weten welke data nooit in een prompt mag.
• Er ligt een korte interne regel op papier. Een A4 is genoeg.
• Je kunt aantonen dat je het hebt uitgelegd. Een datum en een lijst met deelnemers volstaat.

AVG: hier zit het echte risico

De AI Act krijgt de aandacht. Maar in de dagelijkse praktijk raakt de AVG je vaker. Drie punten:

1. Persoonsgegevens in prompts. Plak je een klantmail met naam, adres en bestelnummer in een AI-tool, dan verwerk je persoonsgegevens bij een derde partij. Daar heb je een grondslag voor nodig, en meestal een verwerkersovereenkomst met de aanbieder. Check ook waar de data wordt verwerkt en of de aanbieder jouw data gebruikt om modellen te trainen. Zakelijke abonnementen regelen dat vaak anders dan gratis accounts. 2. Profilering. Aanbevelingen op basis van koopgedrag zijn profilering. Dat vraagt om een duidelijke vermelding in je privacyverklaring en een passende grondslag. Voor cookies en tracking: zie GDPR en cookie consent in e-commerce. 3. Geautomatiseerde besluiten (artikel 22). Een besluit dat uitsluitend op geautomatiseerde verwerking is gebaseerd en juridische gevolgen heeft of je op vergelijkbare wijze significant raakt, is in principe verboden, met uitzonderingen. Een klant die automatisch een betaalmethode of een bestelling geweigerd krijgt door een score, kan hieronder vallen. Of dat in jouw geval zo is, hangt af van de impact. Laat een mens de uitzonderingen beoordelen.

Dynamic pricing: AI Act is niet je grootste zorg

Prijzen aanpassen op basis van voorraad, vraag of concurrentie is gewoon toegestaan. De AI Act verbiedt het niet.

Het wordt lastiger als je prijzen personaliseert op basis van individueel gedrag of profiel. Dan spelen twee dingen:

• Consumentenrecht. Volgens de Europese regels (via de Omnibusrichtlijn) moet je consumenten informeren als een prijs is gepersonaliseerd op basis van geautomatiseerde besluitvorming. Controleer de exacte Nederlandse implementatie bij de ACM.
• AVG. Persoonlijke prijzen zijn profilering. Zie boven.

En de verboden praktijken uit de AI Act? Die gaan over manipulatie en het uitbuiten van kwetsbaarheden. Een algoritme dat bewust inspeelt op de kwetsbaarheid van een groep klanten (bijvoorbeeld door leeftijd of financiële nood) schuurt daaraan. Dat is het scenario om te vermijden. Meer over de technische en ethische kant staat in AI voor dynamic pricing: implementatie en ethiek.

Checklist: wat regel je deze maand?

1. Inventariseer. Maak een lijst van alle AI-toepassingen in en rond je shop, inclusief de tools die medewerkers zelf gebruiken.
2. Categoriseer. Zet er per toepassing een risiconiveau naast. Vrijwel alles zal minimaal of beperkt zijn.
3. Chatbot. Zet de AI-melding in de eerste boodschap.
4. AI-geletterdheid. Schrijf een korte gebruiksregel en leg die uit aan het team.
5. Verwerkersovereenkomsten. Heb je er een met elke AI-leverancier die persoonsgegevens ziet?
6. Privacyverklaring. Staat profilering en AI-gebruik erin?
7. Geautomatiseerde besluiten. Kan een mens elke weigering door fraude- of risicoscoring herzien?
8. Dynamic pricing. Personaliseer je? Dan: informeer klanten en toets met je jurist.
9. Leverancierscheck. Vraag je AI-leveranciers hoe zij artikel 50 invullen.
10. Herzie in 2027. Als je ooit AI inzet voor kredietbeoordeling, werving of vergelijkbare beslissingen over personen, val je mogelijk onder hoog risico. Die verplichtingen gelden volgens het omnibus-akkoord pas vanaf december 2027, maar plan op tijd.

Wil je weten waar AI in een webshop wel zin heeft? Bekijk onze pagina over AI voor webshops.

Veelgestelde vragen

Moet mijn webshop een AI-chatbot melden?

Ja. Als klanten met een AI praten, moeten ze dat weten, tenzij het uit de omstandigheden al duidelijk is. Dat geldt sinds 2 augustus 2026. Zet de melding in de eerste boodschap, niet in de kleine lettertjes.

Moet ik AI-productbeschrijvingen labelen?

Waarschijnlijk niet. De labelplicht voor tekst geldt volgens artikel 50 lid 4 alleen voor tekst die is gepubliceerd om het publiek over zaken van publiek belang te informeren, met een uitzondering bij menselijke controle. Gewone productteksten vallen er doorgaans buiten. Controleer de actuele Commissierichtsnoeren.

Is mijn webshop een hoog-risico AI-gebruiker?

Meestal niet. Hoog risico betreft specifieke domeinen zoals werving, onderwijs en kredietbeoordeling van personen. Chatbots, aanbevelingen, zoeken en voorraadvoorspelling vallen daar doorgaans buiten. Die verplichtingen zijn bovendien uitgesteld tot 2 december 2027.

Geldt de AI Act als ik alleen ChatGPT gebruik?

Ja, als deployer. Je hoeft geen model te bouwen om eronder te vallen. De AI-geletterdheidsplicht geldt voor iedereen die AI in een professionele context gebruikt, ook bij een kleine shop.

Wat is gevaarlijker: de AI Act of de AVG?

Voor een gemiddelde webshop weegt de AVG zwaarder, simpelweg omdat je er al langer en vaker mee te maken hebt. Persoonsgegevens in prompts en profilering zijn de plekken waar het mis gaat.

Weten waar jouw shop staat?

Wij bouwen en integreren AI-functies in Magento, Shopify en Laravel, en kijken mee naar de technische kant: welke data gaat waarheen, waar komt de melding, hoe borg je menselijke controle. Voor het juridische deel schakel je een jurist in. Neem contact op en we bespreken wat jouw setup nodig heeft.