De EU AI Act is officieel, de deadlines staan vast, maar de interpretatie? Die blijft opvallend vaag. Vanaf 2 augustus 2026 riskeren bedrijven boetes tot €35 miljoen of 7% van hun wereldwijde omzet voor verboden AI-praktijken. Voor voice AI in het MKB zijn er minstens drie gebieden waar de wet meer vragen oproept dan beantwoordt: wanneer is het "obvious" dat je met AI spreekt, wat mag er nog met emotieherkenning, en wie draagt eigenlijk de verantwoordelijkheid? We hebben de grijze gebieden doorgespit en vertaald naar praktische keuzes.
Waarom voice AI-compliance nu al urgentie vraagt
De cijfers liegen niet: €35 miljoen of 7% van je wereldwijde omzet. Dat is de maximale boete voor verboden AI-praktijken onder de EU AI Act. Voor high-risk systemen gaat het om €15 miljoen of 3%. De hoogste boetecategorie in EU-wetgeving ooit.
Hier wordt het interessant. De compliance-verplichtingen gelden vanaf 2 augustus 2026. Nederland verwacht de nationale implementatiewet pas in Q4 2026. Dat betekent: de regels zijn van kracht, maar de toezichthouder moet nog worden aangewezen. Een klassiek gat tussen Europese wetgeving en nationale uitvoering.
Voor MKB-bedrijven die voice AI gebruiken, creëert dit een ongemakkelijke situatie. Beslissingen moeten nú genomen worden, zonder duidelijke handhavingskaders. Wachten tot de Nederlandse toezichthouder operationeel is? Dan ben je mogelijk al maanden in overtreding.
De drie grootste onduidelijkheden raken voice AI direct. Ten eerste: wanneer is het "obvious" dat een klant met AI spreekt? Ten tweede: wat mag er nog met emotieherkenning tijdens klantgesprekken? En ten derde: wie draagt de verantwoordelijkheid bij white-label oplossingen, de aanbieder of de gebruiker?
Bedrijven die nu hun voice AI-strategie bepalen, doen er goed aan deze grijze gebieden te kennen. De koplopers nemen alvast posities in.
"De regels gelden al, de scheidsrechter is er nog niet."
Grijze gebied 1: Wanneer is identificatie 'obvious from context'?
Artikel 50 van de EU AI Act is helder in zijn intentie, maar vaag in de uitvoering. Voice AI moet zich identificeren als AI aan het begin van elk gesprek. Tenzij het "obvious from context" is dat men met een machine spreekt. Die uitzondering klinkt logisch, maar roept direct praktische vragen op.
Het dilemma speelt bij vrijwel elke klantenservice-implementatie. Een klant belt, doorloopt een IVR-menu met de tekst "spreek met onze AI-assistent", en wordt doorverbonden. Is die context voldoende? Of moet de AI-stem zelf nogmaals bevestigen dat het geen mens is?
De wet geeft geen antwoord. Uit de compliance-essentials voor voice AI blijkt dat er expliciet geen uitzonderingen bestaan voor klantenservice-toepassingen. Elk voice AI-systeem valt onder dezelfde transparantieplicht.
De conservatieve interpretatie wint terrein bij juridische adviseurs: altijd expliciete identificatie bij het eerste AI-spraakcontact, ongeacht eerdere menu-opties. De redenering? Een IVR-menu is geen garantie dat de beller gehoord of begrepen heeft dat er AI volgt. Afgeleid, haastig, of simpelweg niet opgelet.
Bedrijven die nu keuzes maken, documenteren hun redenering schriftelijk. Waarom is gekozen voor deze aanpak? Welke overwegingen speelden mee? Die documentatie wordt waardevol zodra toezichthouders actief worden. Tot die tijd kiezen de meeste organisaties voor de veilige route: een korte, vriendelijke identificatie aan het begin van elk gesprek. Liever een zin te veel dan een discussie met de toezichthouder.
Grijze gebied 2: Valt klant-sentimentanalyse onder verboden emotieherkenning?
Emotieherkenning op de werkvloer is sinds februari 2025 expliciet verboden onder de EU AI Act. Quality assurance in contactcenters die de stemming van medewerkers analyseert? Niet meer toegestaan. Maar wat als diezelfde technologie wordt ingezet op klantgesprekken?
- Het verbod is asymmetrisch: emotie-analyse van werknemers valt direct onder de verbodsbepaling, maar de wet zwijgt over klanten. Die stilte creëert interpretatieproblemen voor elk bedrijf dat sentimentanalyse inzet.
- De kernvraag draait om intentie: is real-time stemanalyse van bellers "emotieherkenning" of legitieme kwaliteitsmonitoring? Het onderscheid lijkt subtiel, maar de juridische consequenties zijn dat niet.
- Gedragssturing verhoogt het risico: systemen die gedetecteerde emoties gebruiken om het gesprek actief te beïnvloeden, zoals het inzetten van kalmerende scripts bij boze klanten, komen gevaarlijk dicht bij de verbodsbepaling.
- Pure routering is veiliger terrein: een beller doorsturen naar een senior medewerker op basis van gesprekstoon, zonder emotie-labels of manipulatieve aanpassingen, bevindt zich in grijs gebied maar met lager risico.
De veilige tussenoplossing die nu opkomt: beperk analyse tot gesprekstoon voor routeringsdoeleinden. Geen emotie-categorieën, geen gedragsaanpassingen op basis van gedetecteerde gemoedstoestand. Documenteer de technische werking en de afbakening. Die nuance kan het verschil maken tussen compliance en een onderzoek.
Grijze gebied 3: Ben jij provider of deployer bij white-label voice AI?
De EU AI Act maakt een scherp onderscheid tussen providers en deployers. Providers ontwikkelen en leveren AI-systemen. Deployers zetten ze in. Bij white-label voice AI vervaagt die grens tot het punt waarop niemand meer precies weet wie waarvoor verantwoordelijk is.
De verplichtingen zijn ongelijk verdeeld. Providers dragen de zwaarste last: CE-markering, conformiteitsbeoordeling en registratie in de EU-database, allemaal vóór augustus 2026. Deployers lijken er makkelijker vanaf te komen met verantwoordelijkheid voor correct gebruik. Maar hier zit de valkuil.
Een deployer die de voice AI substantieel aanpast, wordt juridisch gezien zelf provider, met alle bijbehorende verplichtingen.
Wat telt als "substantieel"? De wet geeft geen heldere drempel. Een aangepaste promptstructuur? Waarschijnlijk niet. Een volledig herschreven conversatieflow met eigen logica? Waarschijnlijk wel. Het grijze gebied daartussen is precies waar veel MKB-implementaties zich bevinden.
De praktische oplossing die nu opkomt: contractuele duidelijkheid. Bedrijven leggen schriftelijk vast wie welke compliance-taken draagt. De regels voor veilige AI-systemen benadrukken dat beide partijen hun rol moeten begrijpen en documenteren. Vraag bewijs van provider-registratie voordat de deadline verstrijkt. Geen registratiebewijs? Dan draai je mogelijk zelf op voor de provider-verplichtingen.
De koplopers stellen deze vragen nu, niet in juli 2026.
Risk-reward matrix: welke interpretatie kies je per vraagstuk?
De drie grijze gebieden vragen elk om een bewuste positiekeuze. Hieronder de opties die we zien, met de bijbehorende afwegingen.
-
Identificatieplicht: de conservatieve route is altijd een AI-aankondiging, zelfs na IVR-vermelding. Hogere gesprekskosten door langere intro's, maar minimaal juridisch risico. De pragmatische variant vertrouwt op duidelijke IVR-tekst met gedocumenteerde onderbouwing. De liberale interpretatie, alleen identificatie bij directe doorschakeling zonder voorafgaande context, is juridisch het kwetsbaarst.
-
Sentimentanalyse: conservatief betekent volledig uitschakelen van stemanalyse op klantgesprekken. Pragmatisch is technische logging van gesprekstoon voor routeringsdoeleinden, zonder emotie-labels of besluitvorming op basis van gedetecteerde emoties. Liberaal, actieve gedragssturing op basis van klantsentiment, komt gevaarlijk dicht bij de verbodsbepaling.
-
Provider/deployer-verdeling: hier geldt één route als verstandig. Documenteer alle aanpassingen die je maakt aan white-label systemen. Eis compliance-garanties van je leverancier, inclusief bewijs van EU-database registratie. De 10 jaar bewaartermijn voor technische documentatie is wettelijk verplicht voor high-risk systemen. Bedrijven die dit nu contractueel vastleggen, voorkomen discussies in 2027.
De koplopers kiezen bewust hun positie per vraagstuk en leggen de redenering vast. Die documentatie wordt hun beste verdediging.
Actieplan Q3/Q4 2026: compliance zonder toezichthouder
De paradox van augustus 2026: de regels gelden, maar de scheidsrechter moet nog fluiten. Nederlandse toezichthouders zijn naar verwachting pas Q4 2026 operationeel. Toch zijn bedrijven vanaf dag één verantwoordelijk voor compliance. De slimme organisaties wachten niet af.
Vanaf 2 augustus 2026 moet minimaal één AI regulatory sandbox operationeel zijn voor compliance-testing. Die sandboxes worden de plek waar bedrijven hun interpretaties kunnen toetsen in een gecontroleerde omgeving. De koplopers volgen de aankondigingen en melden zich aan zodra participatie mogelijk is. Een vroege positie in de sandbox geeft toegang tot officiële feedback voordat handhaving begint.
De documentatie die bedrijven nu aanleggen, wordt hun beste verdediging. Elke compliance-keuze, elke onderbouwing, elke afweging rond de grijze gebieden. Leg vast waarom gekozen is voor expliciete AI-identificatie. Documenteer de technische afbakening van sentimentanalyse. Bewaar de contractuele afspraken met voice AI-leveranciers. Die paper trail toont "good faith" aan, zelfs als interpretaties later anders uitvallen.
Januari 2027 is het logische reviewmoment. Nederlandse toezichthouders zijn dan naar verwachting actief. De eerste richtlijnen en interpretaties komen beschikbaar. Bedrijven die in Q3/Q4 2026 hun positie hebben ingenomen en gedocumenteerd, kunnen dan gericht bijsturen in plaats van vanaf nul beginnen.
Wil je zeker weten dat jouw voice AI-oplossing compliant is? Vraag een gratis compliance-check aan en ontdek hoe Voicelabs je helpt met AI-telefonie die voldoet aan de EU AI Act.