Franse bedrijven staan sinds 2025 voor een regelgevend en technologisch paradox. Aan de ene kant legt de Europese verordening inzake kunstmatige intelligentie nieuwe verplichtingen op aan organisaties die AI-tools gebruiken. Aan de andere kant versterkt de NIS2-richtlijn de eisen op het gebied van cyberbeveiliging voor een groeiend aantal structuren, inclusief KMO’s die zich niet bewust waren van hun betrokkenheid. Tussen deze twee kaders worden IT-oplossingen die de prestaties zouden moeten verbeteren ook onderwerpen van naleving.
Regelgevende verplichtingen met betrekking tot AI in bedrijven sinds 2025
Sinds 2 februari 2025 verplicht artikel 4 van verordening (EU) 2024/1689 organisaties die AI-systemen gebruiken om een voldoende niveau van bekwaamheid van hun personeel te waarborgen. Deze verplichting geldt niet alleen voor softwareleveranciers. Het betreft ook KMO’s die tools zoals ChatGPT, Copilot of Gemini in hun dagelijkse processen inzetten.
Concreet houdt dit in dat de toegestane toepassingen moeten worden geformaliseerd, de bijbehorende risico’s moeten worden geïdentificeerd en de training die aan de teams wordt gegeven moet worden gedocumenteerd. Een bedrijf dat een conversatie-assistent gebruikt voor klantenservice of het opstellen van interne documenten valt binnen de reikwijdte van de tekst.
De tweede golf van verplichtingen kwam op 2 augustus 2026, met de inwerkingtreding van artikel 50 van dezelfde verordening. Bedrijven moeten nu gebruikers informeren wanneer ze met een chatbot interageren en bepaalde door AI gegenereerde of gemanipuleerde inhoud melden. Voor een KMO die een chatbot op haar website heeft geïntegreerd, is deze transparantie niet langer optioneel. Gespecialiseerde dienstverleners zoals skynet-system.fr ondersteunen structuren die geconfronteerd worden met deze technische en organisatorische eisen.
Shadow AI en IT-beheer: een blinde vlek voor cyberbeveiliging
Het fenomeen shadow AI verwijst naar het gebruik van kunstmatige intelligentietools door medewerkers zonder goedkeuring of toezicht van het management of de IT-afdeling. Een werknemer die klantgegevens in een gratis tekstgeneratietool plakt, creëert een risico op datalekken zonder dat het bedrijf zich hiervan bewust is.
Dit probleem kan niet worden opgelost door een eenvoudige verbod. De ervaringen op de werkvloer verschillen hierover: sommige organisaties merken dat restrictieve beleidsmaatregelen het gebruik nog verder in de schaduw duwen. De uitdaging is eerder om kaders te scheppen, goedgekeurde alternatieven aan te bieden en training te geven.
IT-beheer speelt hier een structurerende rol. Een dienstverlener die het IT-park en de netwerktoegang beheert, kan abnormale datastromen detecteren, verbindingen naar niet-geautoriseerde diensten blokkeren en conforme cloudoplossingen aanbieden. De vraag is niet langer of het bedrijf AI gebruikt, maar of het weet welke AI-tools intern daadwerkelijk worden gebruikt.
Criteria voor het evalueren van een IT-beheerder in het licht van deze risico’s
- Capaciteit om de gebruikte SaaS- en AI-tools door medewerkers te inventariseren, inclusief die welke niet zijn gemeld aan de IT-afdeling
- Implementatie van netwerkfilterbeleid die zijn aangepast aan de nieuwe toepassingen (selectieve blokkade in plaats van een algemeen verbod)
- Ondersteuning bij naleving van regelgeving, met name met betrekking tot de transparantie-eisen van de AI Act
- Monitoring van uitgaande datastromen om overdrachten naar niet-gecontracteerde derde diensten te identificeren
NIS2-richtlijn en cyberbeveiliging: KMO’s onbewust betrokken
De NIS2-richtlijn breidt het bereik van bedrijven die aan cyberbeveiligingsverplichtingen in Europa moeten voldoen aanzienlijk uit. Terwijl NIS1 zich voornamelijk richtte op vitale operators, breidt NIS2 deze verplichtingen uit naar tal van middelgrote structuren. KMO’s uit sectoren die voorheen niet werden aangesproken, ontdekken dat ze nu beveiligingsbeleid moeten formaliseren, incidenten moeten melden en evenredige technische maatregelen moeten implementeren.
In Frankrijk verloopt de omzetting van de richtlijn via de wet Résilience. De beschikbare gegevens stellen nog niet in staat om conclusies te trekken over de definitieve omzettingstijdlijn, maar bedrijven die wachten op de publicatie van de nationale tekst om actie te ondernemen, lopen achter. De gevraagde technische maatregelen (toegangsbeheer, encryptie, back-up, continuïteitsplan) vereisen meerdere maanden implementatie.
Wat NIS2 verandert voor de keuze van cloudoplossingen
Cloud computing blijft een prestatieverhogend middel, maar NIS2 dwingt bedrijven om hun selectiecriteria te herzien. De locatie van gegevens, de certificeringen van de leverancier en de contractuele meldingsclausules voor incidenten worden even belangrijke beslissingsfactoren als prijs of functionaliteiten.
Een bedrijf dat zijn commerciële beheer naar een cloudtool migreert, moet controleren of zijn leverancier voldoet aan de eisen van de richtlijn. De keuze voor een gecertificeerde SecNumCloud-hostingprovider of een gelijkwaardige is niet langer een luxe voor grote groepen. Het is een conformiteitscriterium voor elke structuur die binnen het bereik van NIS2 valt.
Nationaal AI-plan en beschikbare hulp voor KMO’s
De hulp komt in verschillende vormen:
- Gesubsidieerde AI-diagnoses om relevante gebruiksgevallen in het bedrijf te identificeren
- Technische ondersteuning door erkende dienstverleners voor de implementatie van geschikte oplossingen
- Trainingen voor leidinggevenden en operationele teams over de basisprincipes van AI en de regelgevende verplichtingen
Het belang van deze regelingen is om de kloof te verkleinen tussen grote bedrijven, die beschikken over toegewijde technische afdelingen, en KMO’s, die vaak moeten kiezen tussen digitale prestaties en budgettaire beperkingen. De koppeling tussen publieke hulp en gespecialiseerde IT-beheer maakt vooruitgang mogelijk zonder dure expertise intern te moeten opbouwen.
De moeilijkheid blijft de leesbaarheid van het aanbod. Tussen regionale hulp, nationale regelingen en Europese programma’s kan een KMO evenveel tijd besteden aan het zoeken naar de juiste instantie als aan het implementeren van de oplossing zelf. De kamers van koophandel en industrie spelen een rol als eerste filter, maar het traject blijft gefragmenteerd.
Het adopteren van performante IT-oplossingen in 2026 beperkt zich niet langer tot het vergelijken van functionaliteiten of tarieven. De naleving van regelgeving bepaalt nu de keuze van de tools, of het nu gaat om AI, cloud of cyberbeveiliging. Bedrijven die deze dimensie al in de selectie fase integreren, vermijden veel hogere nalevingskosten achteraf.
