EU AI Act & AVG
Copilot en de AI Act, zonder juridisch jargon
De EU AI Act geldt ook voor organisaties die Microsoft Copilot en agents gebruiken. AI-geletterdheid is al verplicht, en sinds 2 augustus 2026 gelden de transparantieregels voor chatbots en agents. Wij vertalen de regels naar je Copilot-inrichting; dit vervangt geen juridisch advies.
Tijdlijn
De tijdlijn die telt
De digitale omnibus — Verordening (EU) 2026/1744, in werking sinds 27 juli 2026 — schoof een deel van de deadlines op, maar lang niet alles. Dit zijn de data die voor Copilot-gebruikers tellen.
- 1
Feb 2025
AI-geletterdheid (artikel 4) en de verboden AI-praktijken gaan gelden.
- 2
Aug 2025
Regels voor aanbieders van AI-modellen voor algemene doeleinden (GPAI), zoals de modellen achter Copilot.
- 3
Aug 2026
Transparantieplicht (artikel 50) voor chatbots, agents en gegenereerde content. Het AI Office kan nu ook handhavend optreden tegen modelaanbieders.
- 4
Dec 2027 & aug 2028
Hoogrisicoregels: eerst voor toepassingen als HR en werving (2 december 2027), daarna voor AI in gereguleerde producten zoals medische hulpmiddelen (2 augustus 2028).
Jouw plichten
Wat geldt voor jou als Copilot-gebruiker
De meeste organisaties zijn deployer: ze gebruiken AI die een ander heeft gebouwd. Dit zijn de vijf onderwerpen die er dan toe doen.
AI-geletterdheid
Je zorgt dat medewerkers genoeg van AI weten om er verantwoord mee te werken. Sinds 27 juli 2026 is dat een inspanningsplicht: aantoonbare maatregelen zoals training en beleid, geen gegarandeerd niveau per persoon.
Transparantie bij agents
Praat een chatbot of agent met mensen, dan moet die aan het begin van het gesprek melden dat het om AI gaat — bij een spraakagent hoorbaar. Dit geldt sinds 2 augustus 2026.
Labelen van gegenereerde content
Deepfakes label je altijd. Openbaar gemaakte AI-tekst over onderwerpen van algemeen belang ook, tenzij er echte redactionele controle is geweest.
Deployer of provider?
Een deployer (gebruiksverantwoordelijke) gebruikt een AI-systeem onder eigen verantwoordelijkheid; een provider (aanbieder) ontwikkelt het of brengt het op de markt. Breng je een agent onder eigen naam naar buiten of wijzig je een AI-systeem wezenlijk, dan kun je provider worden — met zwaardere plichten.
Use cases met hoog risico
Zet je Copilot of agents in voor HR en werving, dan gelden vanaf 2 december 2027 de hoogrisicoregels. Volgens conceptrichtsnoeren beoordeel je een keten van samenwerkende agents als geheel, niet per onderdeel.
Gedeelde verantwoordelijkheid
Microsoft regelt veel, maar niet alles
Microsoft en andere modelaanbieders staan sinds 2 augustus 2026 onder toezicht van het AI Office, het Europese toezichtsorgaan dat hen kan bevragen en beboeten. Dat dekt de modellen onder Copilot, maar niet hoe jouw organisatie ze inzet.
Jouw plichten als gebruiker blijven bij jou: een gebruiksbeleid, aantoonbare training, de openingsmelding in je eigen agents en een register van wat je inzet. Ook technische maatregelen vragen soms een bewuste keuze. Microsoft 365 heeft een beheerinstelling om AI-gegenereerde audio en video van een watermerk te voorzien, maar die moet een beheerder zelf aanzetten.
2 aug 2026
Sindsdien moeten chatbots en agents melden dat je met AI praat.
AVG
De AVG-kant: AP-advies en DPIA
Naast de AI Act blijft de AVG gelden — en voor Copilot is dat nu het meest concrete risico. Drie documenten bepalen het gesprek in Nederland.
20 juli 2026
AP-advies Haarlemmermeer
In haar eerste advies over Microsoft 365 Copilot oordeelde de Autoriteit Persoonsgegevens (AP) dat de verwerking zoals de gemeente die beschreef de AVG zou schenden. De AP noemde vier hoge risico’s, waaronder onjuiste gegenereerde persoonsgegevens en te weinig transparantie van Microsoft over gegevens en bewaartermijnen. Ze vraagt om concrete use cases, om Copilot alleen op gelabelde en geclassificeerde data te laten werken, om betekenisvolle menselijke controle en om opheldering van Microsoft.
mei 2026
DPIA van SLM Rijk en SURF
Een DPIA (gegevensbeschermingseffectbeoordeling) brengt de privacyrisico’s van een verwerking in kaart. De update van Strategisch Leveranciersmanagement Rijk en SURF houdt twee middelhoge risico’s over: het Workplace Harms-filter en de bewaring van gepseudonimiseerde diagnostische data. Het advies: terughoudend inzetten, per use case.
juli 2026
AP-handreiking en hulpmiddel
De AP publiceerde de handreiking “Generatieve AI en de AVG” met een toetsingshulpmiddel langs drie vragen: willen, kunnen en mogen. Een praktisch startpunt voor elke Copilot-DPIA.
Gebruik het AP-advies en de DPIA van SLM Rijk en SURF naast elkaar, met de AP-handreiking als toetsingshulp; het AP-advies is het strengste en meest recente. Hoe je labels, DLP en oversharing technisch regelt, lees je bij databeveiliging & Purview. Werk je met vertrouwelijke klantdossiers? Zie dan Copilot voor zakelijke dienstverlening.
Onze overtuiging
Uitgesteld is niet vrijgesteld.
Onze aanpak
Zo maken wij het aantoonbaar
Regels naleven is één ding; laten zien dát je het doet, is een tweede. Dit leggen we met je vast.
AI-register
Eén overzicht van alle AI-systemen en agents, met eigenaar en risicoprofiel. We beheren het via de AI Council en Microsoft Agent 365.
AI-gebruiksbeleid
Heldere spelregels: welke tools, welke data en welke taken wel en niet. Kort genoeg om echt gelezen te worden.
Gedocumenteerd trainingsprogramma
Training per rol, vastgelegd per medewerker en datum — zo toon je je inspanning voor AI-geletterdheid aan. Open trainingen lopen via Copilotcursus.nl.
Openingsmelding en labelen
Elke agent die wij opleveren meldt aan het begin van het gesprek dat het om AI gaat, en labelt gegenereerde content waar dat moet.
DPIA met modelkeuze
We leggen vast welke modellen je toestaat en welke uitzonderingen op de EU Data Boundary gelden, zoals Anthropic-modellen. Die staan in de EU standaard uit; aanzetten is een bewuste keuze.
Menselijke controle
Bij beslissingen over mensen, zoals in HR, beslist altijd een mens. We ontwerpen die controle in het proces, niet als vinkje achteraf.
Het register en het beleid beleggen we bij je AI Council; de training koppelen we aan onze adoptie-aanpak. Open trainingen vind je op Copilotcursus.nl.
FAQ
Veelgestelde vragen
Over de EU AI Act, de AVG en Microsoft Copilot.
Geldt de AI Act ook als we alleen Microsoft Copilot gebruiken?
Ja. Als gebruiker ben je “deployer” (gebruiksverantwoordelijke): je moet werk maken van AI-geletterdheid en, bij agents die met mensen praten, van transparantie. Voor gewone kantoortaken met Copilot zijn de plichten beperkt; zet je agents in voor beslissingen over mensen, dan wordt het zwaarder.
Is de AI Act uitgesteld?
Alleen deels. De omnibus van juli 2026 schuift de hoogrisicoregels op naar december 2027 en augustus 2028. AI-geletterdheid, de transparantieplicht en de regels voor modelaanbieders gelden gewoon.
Wat moet een Copilot Studio-agent op onze website melden?
Dat de bezoeker met AI praat, aan het begin van het gesprek en duidelijk — niet verstopt in de voorwaarden, en bij een spraakagent hoorbaar. Dit geldt sinds 2 augustus 2026. Wij bouwen die melding standaard in elke agent die we opleveren.
Is AI-geletterdheid nog verplicht na de omnibus?
Ja. Het is sinds juli 2026 een inspanningsplicht: je neemt aantoonbaar maatregelen zoals training en beleid, maar hoeft geen niveau per medewerker te garanderen. Leg vast wat je doet, voor wie en wanneer.
Worden we provider als we een eigen agent bouwen?
Dat kan. Brengt je organisatie een agent onder eigen naam naar buiten, of wijzig je een AI-systeem wezenlijk of voor een ander doel, dan kun je provider worden, met zwaardere plichten. Met een interne agent in Copilot Studio blijf je doorgaans deployer. Laat dit per agent juridisch toetsen.
Wie houdt in Nederland toezicht op de AI Act?
De Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur coördineren het toezicht. De nationale wet die boetes mogelijk maakt, was in de zomer van 2026 nog in voorbereiding. Via de AVG kan de AP wel al optreden, en dat risico is voor Copilot nu het meest concreet.
Wat zei de AP over Copilot bij de gemeente Haarlemmermeer?
In juli 2026 oordeelde de AP dat de verwerking zoals de gemeente die beschreef de AVG zou schenden, en noemde ze vier hoge risico’s. De AP vraagt om concrete use cases, om Copilot alleen op gelabelde en geclassificeerde data te laten werken, om betekenisvolle menselijke controle en om opheldering van Microsoft. Over een kleinschalige pilot was de AP wel positief.
Weten waar jullie staan?
In een AI Act-check zetten we jullie Copilot- en agentgebruik naast de regels en krijg je een concrete actielijst.