AI-geletterdheid onder artikel 4 van de AI Act: wat er na de Digital Omnibus nog geldt

Artikel 4 van de EU AI Act is de verplichting met het breedste bereik. Ze geldt voor elke organisatie die beroepsmatig een AI-systeem gebruikt, ook als dat systeem in geen enkele risicoklasse valt. De plicht bestaat sinds 2 februari 2025. Met de Digital Omnibus (Verordening (EU) 2026/1744, in werking sinds 27 juli 2026) is de tekst afgezwakt, en sinds augustus 2026 kunnen nationale toezichthouders erop toezien. Dit artikel beschrijft wat er nu precies staat, wat de Europese Commissie als minimum ziet, welk bewijs je bewaart en hoe je de plicht onderbrengt in een AI-managementsysteem volgens ISO 42001.

Wat artikel 4 sinds de Digital Omnibus vraagt

In de oorspronkelijke tekst moesten aanbieders en gebruiksverantwoordelijken maatregelen nemen om zoveel als mogelijk te zorgen voor een toereikend niveau van AI-geletterdheid bij hun personeel. Dat las als een resultaatsverplichting, en wat toereikend was, bleef open.

De Digital Omnibus heeft daar een inspanningsverplichting van gemaakt. Aanbieders en gebruiksverantwoordelijken nemen maatregelen om de ontwikkeling van AI-geletterdheid te ondersteunen bij hun personeel en bij andere personen die namens hen met AI-systemen werken. Ze houden daarbij rekening met technische kennis, ervaring, opleiding en de context waarin de systemen worden gebruikt. De nieuwe tekst zegt er uitdrukkelijk bij dat er geen bepaald niveau van geletterdheid per persoon hoeft te worden gegarandeerd. In een tweede lid krijgen de Commissie en de lidstaten de taak om organisaties daarbij te ondersteunen, met aandacht voor het mkb. De gewijzigde tekst geldt sinds 27 juli 2026, zonder overgangstermijn.

Wat AI-geletterdheid is, staat in artikel 3, punt 56: de vaardigheden, kennis en het begrip waarmee je AI-systemen geïnformeerd inzet en je bewust bent van de kansen, de risico's en de mogelijke schade. Die definitie is niet gewijzigd.

Voor de praktijk verandert minder dan het lijkt. De plicht is niet geschrapt, en wie niets doet, voldoet ook aan de afgezwakte tekst niet. Wat wegvalt, is de verwachting dat je per medewerker een niveau kunt aantonen. Wat blijft, is dat je moet kunnen laten zien welke maatregelen je hebt genomen en waarom die passen bij de mensen en systemen in jouw organisatie. Wat de Omnibus verder verschuift, staat in het artikel over de Digital Omnibus en de nieuwe deadlines.

Voor wie de plicht geldt

Artikel 4 geldt voor aanbieders en gebruiksverantwoordelijken van alle AI-systemen, ongeacht de risicoklasse. Het is dus geen hoog-risico-eis. Een organisatie die een AI-functie in haar kantoorsoftware gebruikt, een chatbot op de website heeft of medewerkers met een generatieve AI-tool laat werken, valt eronder. Alleen gebruik in een persoonlijke, niet-beroepsmatige activiteit valt buiten de definitie van gebruiksverantwoordelijke (artikel 3, punt 4).

De kring van personen is breder dan de eigen medewerkers. Volgens de vragen en antwoorden die de Commissie in mei 2025 publiceerde, horen daar ook ingehuurde krachten en dienstverleners bij die namens de organisatie met AI-systemen werken. Wie een uitzendkracht of een extern bureau met een AI-tool laat werken, neemt die mee in de aanpak, bijvoorbeeld via afspraken in het contract.

Welke systemen het betreft, weet je pas als je een overzicht hebt. Een inventarisatie, inclusief AI-functies die leveranciers ongevraagd in bestaande software hebben gezet, is daarom de eerste stap. Hoe je die opzet, staat in shadow AI in kaart brengen voor ISO 42001.

Toezicht en handhaving

Volgens de Commissie houden de nationale markttoezichthouders vanaf augustus 2026 toezicht op artikel 4. Artikel 99 van de AI Act noemt voor artikel 4 geen eigen boetemaximum, zoals die er wel zijn voor verboden praktijken en voor een reeks andere verplichtingen. De sancties zijn aan de lidstaten. In Nederland lag de Uitvoeringswet AI-verordening, die de toezichthouders aanwijst, in de zomer van 2026 nog als conceptwetsvoorstel voor advies. De Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur krijgen daarin een coördinerende rol.

Wij raden af om artikel 4 te benaderen als een los boeterisico. De plicht komt vooral in beeld als er iets misgaat: een incident met een AI-systeem, een klacht of een onderzoek naar een ander onderdeel van de AI Act. Dan is de vraag welke maatregelen de organisatie had genomen voor de mensen die het systeem gebruikten. Wie dat met vastleggingen kan beantwoorden, staat sterker dan wie het achteraf moet reconstrueren.

Wat de Commissie als minimum ziet

De Commissie schrijft geen programma voor, maar noemt in haar vragen en antwoorden vier punten waar een aanpak minimaal aandacht aan besteedt. Een algemeen begrip van AI binnen de organisatie. De rol van de organisatie, als aanbieder of als gebruiksverantwoordelijke. Het risico van de AI-systemen die worden gebruikt. En afstemming op de technische kennis van de medewerkers en de context van het gebruik.

Twee punten uit hetzelfde document zijn in de praktijk nuttig. Medewerkers die generatieve AI gebruiken voor bijvoorbeeld vertalingen of teksten, moeten de specifieke risico's kennen, zoals verzonnen uitkomsten (hallucinaties). En alleen verwijzen naar de gebruiksinstructies van een systeem is volgens de Commissie meestal niet genoeg. Een certificaat is niet nodig; interne registraties van trainingen en andere maatregelen volstaan.

Een aanpak per rolgroep

Een werkbare aanpak deelt de organisatie op in rolgroepen en bepaalt per groep wat passend is. Voor de meeste medewerkers gaat het om de basis: wat de AI-systemen in hun werk doen, waar ze fouten maken, welke gegevens er niet in mogen en wat het interne AI-beleid zegt. Medewerkers die beslissingen nemen op basis van AI-uitkomsten, bijvoorbeeld bij beoordelingen of selectie, hebben meer nodig: hoe je een uitkomst controleert, wanneer je ervan afwijkt en hoe je dat vastlegt. Ontwikkelaars en beheerders hebben technische kennis nodig over data, testen en monitoring. Bestuurders moeten genoeg begrijpen om risico's en investeringen tegen elkaar af te wegen.

Bij hoog-risicosystemen komt daar artikel 26, lid 2 bij: de gebruiksverantwoordelijke belegt het menselijk toezicht bij mensen met de nodige competentie, opleiding en autoriteit. Die eis is strenger dan artikel 4 en geldt per persoon. Voor hoog-risico AI uit bijlage III gaat ze na de Omnibus in op 2 december 2027.

Wat je vastlegt als bewijs

Omdat de plicht een inspanning is, bestaat het bewijs uit de maatregelen en de onderbouwing ervan. Bij een beoordeling verwachten wij ten minste een overzicht van de AI-systemen en de rolgroepen die ermee werken, per rolgroep de gekozen maatregelen en waarom die passen, het AI-beleid of een gebruiksrichtlijn, registraties van wie welke training of instructie heeft gevolgd, en een vast moment waarop de aanpak wordt herzien, bijvoorbeeld als er een nieuw systeem bijkomt.

Een valkuil is een e-learning aanschaffen zonder te kunnen uitleggen voor welke systemen en rollen die bedoeld is. Een algemene cursus over wat AI is, dekt het eerste punt van de Commissie af. De rol, het risico en de context blijven dan liggen.

Zo landt het in ISO 42001

Een organisatie met een AI-managementsysteem volgens ISO 42001 heeft de bouwstenen al. Clausule 7.2 vraagt dat je bepaalt welke competenties nodig zijn voor werk dat de AI-systemen beïnvloedt, dat je die aantoonbaar borgt en dat je beoordeelt of genomen acties werken. Clausule 7.3 vraagt dat iedereen die onder het gezag van de organisatie werkt het AI-beleid kent, weet wat de eigen bijdrage is en wat niet-naleving betekent. Maatregel A.4.6 uit Annex A vraagt om informatie over de menselijke middelen voor AI-systemen vast te leggen.

De competentiematrix, het trainingsplan en het bewustzijnsprogramma uit het AIMS zijn daarmee ook het bewijs voor artikel 4. Twee aanvullingen zijn wel nodig. ISO 42001 kijkt naar mensen die onder het gezag van de organisatie werken, terwijl artikel 4 ook andere personen noemt die namens de organisatie met AI werken; neem externen dus expliciet op. En leg in het AIMS vast dat de geletterdheidsmaatregelen ook dienen om aan artikel 4 te voldoen, zodat een auditor of toezichthouder de koppeling ziet. De uitwerking van beide clausules staat in competentie en bewustzijn in het AIMS. Bij het inrichten of toetsen van je AI-governance kunnen we helpen via onze compliancediensten.