← All posts
Compliance·March 28, 2026·Updated August 19, 2026
EU AI Act Compliance for Small Businesses: What to Check in 2026
What the EU AI Act means for small businesses in 2026—and the practical checks to make before adopting or expanding AI.
The EU AI Act is a risk-based legal framework for artificial intelligence in the European Union. For a small business, the useful question is not simply “Do we use AI?” It is: “How are we using it, and could it affect people’s rights, safety or access to important services?”
What changed in 2026?
The European Commission’s current overview says that the first eight prohibited-practice rules became effective in February 2025. Rules for general-purpose AI models became effective in August 2025. Transparency rules for certain AI interactions and generated content come into effect in August 2026. The Commission currently lists 2 December 2027 as the start date for strict obligations on high-risk AI systems.
These dates and obligations can change as the framework is amended. Treat the official Commission guidance and the consolidated EUR-Lex text as the source of truth.
The four risk levels
Unacceptable risk
Certain practices are prohibited, including harmful manipulation, social scoring and specific biometric uses. These are not normal productivity tools, but they matter if a business is building or deploying systems in sensitive contexts.
High risk
High-risk use cases include certain systems used in recruitment, worker management, education, credit and essential services, critical infrastructure, law enforcement, migration, justice and democratic processes. The obligations can include risk management, data quality, logging, documentation, human oversight, accuracy, robustness and cybersecurity.
Transparency risk
People may need to know when they are interacting with a machine. Certain AI-generated or manipulated content must also be identifiable or clearly labelled under the applicable transparency rules.
Minimal or no risk
The Commission says the vast majority of AI systems currently used in the EU fall into the minimal- or no-risk category, including examples such as spam filters and AI-enabled video games.
What most small businesses should check
1. Make an AI use inventory
List the tools your team uses, what each tool does, what data it receives and whether it makes recommendations or decisions about people.
2. Look for consequential decisions
Pay particular attention to recruitment, credit, access to services, education, worker management and other decisions that can materially affect someone’s opportunities or rights.
3. Check what your supplier says
Keep the provider’s product description, intended-use information, documentation and compliance statements with your internal records. Do not rely on a generic “AI compliant” badge without understanding the actual use case.
4. Keep human responsibility visible
For important workflows, define who reviews the output, what happens when the system is uncertain and how a person can override or challenge the result.
5. Disclose customer-facing AI
If customers interact with a chatbot, voice assistant or other AI system, make the interaction clear where the transparency rules require it. Keep the wording simple and visible.
What about ChatGPT, Claude and Gemini?
General-purpose AI rules primarily place obligations on the providers of GPAI models. A business using a standard interface or API is not automatically in the same position as a model provider. Responsibility can change if the business builds or deploys an AI product for a high-risk context.
Practical conclusion
For many small businesses, the right first step is a short documented review—not a panic-driven compliance project. Inventory the tools, identify sensitive uses, check transparency requirements and keep human responsibility clear.
If your AI informs hiring, credit, access to essential services, worker management or another high-impact decision, get qualified legal advice before relying on a general checklist.
Sources
European Commission: AI Act regulatory framework · EUR-Lex: Regulation (EU) 2024/1689
La Ley de IA de la UE es un marco jurídico basado en el riesgo para la inteligencia artificial en la Unión Europea. Para una pequeña empresa, la pregunta útil no es simplemente “¿usamos IA?”. Es: “¿cómo la usamos y podría afectar a los derechos, la seguridad o el acceso de las personas a servicios importantes?”.
Qué cambia en 2026
La información actual de la Comisión Europea indica que las primeras ocho prohibiciones entraron en vigor en febrero de 2025. Las normas para los modelos de IA de propósito general entraron en vigor en agosto de 2025. Las obligaciones de transparencia para determinadas interacciones y contenidos generados por IA entran en vigor en agosto de 2026. La Comisión indica actualmente el 2 de diciembre de 2027 como fecha de inicio de las obligaciones estrictas para los sistemas de IA de alto riesgo.
Estas fechas y obligaciones pueden cambiar si se modifica el marco. La guía oficial de la Comisión y el texto consolidado de EUR-Lex son las fuentes de referencia.
Los cuatro niveles de riesgo
Riesgo inaceptable
Algunas prácticas están prohibidas, como la manipulación perjudicial, la puntuación social y determinados usos biométricos. No son herramientas normales de productividad, pero importan si una empresa desarrolla o utiliza sistemas en contextos sensibles.
Alto riesgo
Entre los usos de alto riesgo se encuentran determinados sistemas de selección de personal, gestión de trabajadores, educación, crédito y servicios esenciales, infraestructuras críticas, justicia, migración y procesos democráticos. Las obligaciones pueden incluir gestión de riesgos, calidad de datos, registros, documentación, supervisión humana, precisión, solidez y ciberseguridad.
Riesgo de transparencia
Las personas deben saber cuándo interactúan con una máquina en los casos aplicables. Algunos contenidos generados o manipulados por IA también deben identificarse o etiquetarse claramente.
Riesgo mínimo o nulo
La Comisión afirma que la gran mayoría de los sistemas de IA utilizados actualmente en la UE pertenecen a la categoría de riesgo mínimo o nulo, incluidos ejemplos como los filtros antispam y algunos videojuegos con IA.
Qué debería revisar una pequeña empresa
1. Haz un inventario de usos de IA
Lista las herramientas que utiliza tu equipo, qué hace cada una, qué datos recibe y si formula recomendaciones o decisiones sobre personas.
2. Busca decisiones con consecuencias
Presta especial atención a contratación, crédito, acceso a servicios, educación, gestión de trabajadores y otras decisiones que puedan afectar materialmente a las oportunidades o derechos de alguien.
3. Revisa la información del proveedor
Conserva la descripción del producto, el uso previsto, la documentación y las declaraciones de cumplimiento del proveedor. No te fíes de una etiqueta genérica de “cumple con la IA” sin entender el caso de uso real.
4. Mantén visible la responsabilidad humana
En los flujos importantes, define quién revisa el resultado, qué ocurre cuando el sistema tiene dudas y cómo una persona puede corregir o cuestionar la decisión.
5. Informa sobre la IA orientada al cliente
Si los clientes interactúan con un chatbot, asistente de voz u otro sistema de IA, deja clara la naturaleza de la interacción cuando se aplique la obligación de transparencia.
Qué ocurre con ChatGPT, Claude y Gemini
Las normas sobre IA de propósito general sitúan principalmente las obligaciones en los proveedores de los modelos. Una empresa que utiliza una interfaz o API estándar no se encuentra automáticamente en la misma posición que el proveedor del modelo. La responsabilidad puede cambiar si la empresa construye o despliega un producto de IA en un contexto de alto riesgo.
Conclusión práctica
Para muchas pequeñas empresas, el primer paso correcto es una revisión breve y documentada, no un proyecto de cumplimiento impulsado por el miedo. Haz inventario de las herramientas, identifica los usos sensibles, revisa la transparencia y mantén clara la responsabilidad humana.
Si tu IA influye en contratación, crédito, acceso a servicios esenciales, gestión de trabajadores u otra decisión de alto impacto, busca asesoramiento jurídico cualificado antes de confiar en una lista general.
Fuentes
Comisión Europea: marco regulatorio de la IA · EUR-Lex: Reglamento (UE) 2024/1689
De EU AI Act is een risicogebaseerd wettelijk kader voor kunstmatige intelligentie in de Europese Unie. Voor een klein bedrijf is de nuttige vraag niet alleen “gebruiken we AI?”. De vraag is: “hoe gebruiken we AI en kan het invloed hebben op rechten, veiligheid of toegang tot belangrijke diensten?”.
Wat verandert er in 2026?
Volgens het actuele overzicht van de Europese Commissie werden de eerste acht verboden praktijken van kracht in februari 2025. De regels voor general-purpose AI-modellen werden van kracht in augustus 2025. Transparantieverplichtingen voor bepaalde AI-interacties en gegenereerde content gaan in augustus 2026 in. De Commissie noemt momenteel 2 december 2027 als startdatum voor strikte verplichtingen rond hoog-risico AI-systemen.
Deze data en verplichtingen kunnen veranderen wanneer het kader wordt aangepast. Gebruik de officiële Commissie-informatie en de geconsolideerde EUR-Lex-tekst als referentie.
De vier risiconiveaus
Onaanvaardbaar risico
Bepaalde praktijken zijn verboden, waaronder schadelijke manipulatie, social scoring en specifieke biometrische toepassingen. Dit zijn geen gewone productiviteitstools, maar ze zijn relevant als een bedrijf systemen ontwikkelt of gebruikt in gevoelige contexten.
Hoog risico
Hoog-risicogebruik omvat bepaalde systemen voor werving, personeelsbeheer, onderwijs, krediet en essentiële diensten, kritieke infrastructuur, migratie, rechtspraak en democratische processen. Verplichtingen kunnen gaan over risicobeheer, datakwaliteit, logging, documentatie, menselijk toezicht, nauwkeurigheid, robuustheid en cybersecurity.
Transparantierisico
Mensen moeten in de toepasselijke gevallen weten wanneer ze met een machine communiceren. Bepaalde door AI gegenereerde of gemanipuleerde content moet herkenbaar of duidelijk gelabeld zijn.
Minimaal of geen risico
De Commissie stelt dat de overgrote meerderheid van de AI-systemen die momenteel in de EU worden gebruikt onder minimaal of geen risico valt, waaronder voorbeelden zoals spamfilters en AI-videogames.
Wat kleine bedrijven nu moeten controleren
1. Maak een inventaris van AI-gebruik
Noteer welke tools je team gebruikt, wat elke tool doet, welke gegevens worden verwerkt en of de tool aanbevelingen of beslissingen over mensen maakt.
2. Zoek naar beslissingen met gevolgen
Let vooral op werving, krediet, toegang tot diensten, onderwijs, personeelsbeheer en andere beslissingen die iemands kansen of rechten wezenlijk kunnen beïnvloeden.
3. Controleer wat de leverancier zegt
Bewaar productinformatie, bedoeld gebruik, documentatie en compliance-informatie van de leverancier. Vertrouw niet op een algemeen “AI-compliant” label zonder het echte gebruiksscenario te begrijpen.
4. Houd menselijke verantwoordelijkheid zichtbaar
Bepaal voor belangrijke workflows wie de output controleert, wat er gebeurt bij onzekerheid en hoe een mens het resultaat kan corrigeren of betwisten.
5. Maak klantgerichte AI duidelijk
Als klanten met een chatbot, spraakassistent of ander AI-systeem communiceren, maak de aard van die interactie duidelijk wanneer de transparantieregels dat vereisen.
Hoe zit het met ChatGPT, Claude en Gemini?
De regels voor general-purpose AI leggen de belangrijkste verplichtingen bij de modelaanbieders. Een bedrijf dat een standaardinterface of API gebruikt, bevindt zich niet automatisch in dezelfde positie als de modelaanbieder. Dat kan veranderen wanneer het bedrijf een AI-product bouwt of inzet in een hoog-risicocontext.
Praktische conclusie
Voor veel kleine bedrijven is een korte, gedocumenteerde review de juiste eerste stap—geen paniekgedreven complianceproject. Maak een inventaris, identificeer gevoelige toepassingen, controleer transparantie en houd menselijke verantwoordelijkheid duidelijk.
Als je AI invloed heeft op werving, krediet, toegang tot essentiële diensten, personeelsbeheer of een andere beslissing met grote impact, vraag dan gekwalificeerd juridisch advies voordat je op een algemene checklist vertrouwt.
Bronnen
Europese Commissie: regelgevingskader voor AI · EUR-Lex: Verordening (EU) 2024/1689
Not sure where your AI tools sit in the risk framework?
We can walk through it with you.
Start the conversation