Nuchter over regels en AI

Moet mijn bedrijf iets met NIS2 of de AI Act?

NIS2. De AI Act. De Cyberbeveiligingswet. Je hoort de termen overal langskomen, meestal met een waarschuwende toon erbij. En de vraag die telt is simpel: moet mijn bedrijf hier eigenlijk iets mee?

Eerlijk antwoord: soms wel, vaak minder dan de verhalen doen vermoeden. En het worden bijna altijd twee losse vragen op één hoop gegooid, terwijl ze los van elkaar staan. Dit stuk helpt je grofweg inschatten waar je staat, zonder te gokken en zonder dat het meteen een groot project wordt.

Het zijn twee vragen, geen één

NIS2 gaat over digitale veiligheid: werk je veilig, en heb je je toeleveringsketen op orde. De AI Act gaat over iets heel anders: of en hoe je kunstmatige intelligentie inzet. Ze overlappen niet. Als je ze uit elkaar houdt, wordt het meteen een stuk overzichtelijker.

Moet je iets met NIS2?

Er zijn twee manieren waarop NIS2 je kan raken.

De eerste: je valt er zelf onder. Dat hangt af van je sector en je omvang. De wet richt zich op grotere en kritieke bedrijven in sectoren als energie, zorg, transport, water, digitale diensten en de productie van bepaalde goederen. Of jij er formeel onder valt is een juridische vraag, en daar moet je niet op gokken. Laat het toetsen.

De tweede, en in de praktijk de meest voorkomende: je klant valt eronder en schuift de eis naar jou door. NIS2 maakt grote bedrijven verantwoordelijk voor hun keten, dus vragen ze hun leveranciers om aan te tonen dat die veilig werken. Dan moet je iets, ook al val je zelf niet onder de wet. Krijg je zo'n vraag of vragenlijst van een klant, dan lees je hier wat het betekent en waar je begint: Je klant vraagt of je veilig werkt. Wat nu?

Wil je in een paar minuten een eerste beeld van waar je staat, doe dan de gratis NIS2-quickscan.

Moet je iets met de AI Act?

Hier ontstaat de meeste onnodige paniek. Dat je ChatGPT of Copilot gebruikt, betekent niet dat je een groot compliance-traject in moet.

De verplichting die de meeste bedrijven wél raakt is AI-geletterdheid. Zet je AI in, dan moet je zorgen dat de mensen die ermee werken er verstandig mee omgaan en de risico's snappen. Dat gaat vooral over bewustwording en afspraken, niet over techniek.

De zware verplichtingen gelden voor zogeheten hoog-risico-toepassingen: denk aan AI die meebeslist over werving, kredietbeoordeling of bepaalde veiligheidssystemen. Voor de meeste mkb'ers is dat niet aan de orde. Er zijn ook verboden toepassingen, maar die kom je in de praktijk zelden tegen.

Of je er formeel iets mee moet is dus meestal beperkter dan gedacht. Een aparte vraag is of je überhaupt iets met AI wílt, omdat het nuttig zou zijn. Dat is geen wettelijke vraag maar een afweging: kan het, wil je het, is het nodig. Daarover lees je hier: Moet je wel iets met AI? Een eerste beeld van je verplichtingen geeft de AI Act-quickscan.

Wat je beter niet doet

Niet gokken of je onder een wet valt, want dat is een juridische vraag met gevolgen. Niet in paniek een duur traject inkopen voor iets wat misschien kleiner is dan je denkt. En de twee vragen niet op één hoop gooien, want dan maak je het groter dan het is.

Waar je begint

Met weten waar je staat, per vraag apart. De quickscans geven daar in een paar minuten een eerste beeld van. Wil je verder, dan legt een GroundZero-nulmeting je huidige situatie schoon vast, zodat je gericht kunt aanvullen wat ontbreekt in plaats van alles tegelijk.

En als je door de termen het overzicht kwijt bent of niet weet wat nu echt nodig is: daar kijk ik onafhankelijk naar mee. Ik ben niet aan één tool of leverancier gebonden, dus mijn enige belang is dat jij het juiste doet, niet meer dan dat. Besluit je iets te doen, dan help ik van het besluit tot en met de uitvoering. Mail naar info@onedionconsultancy.nl, of bekijk de GroundZero-nulmeting.