De AI-verordening voor advocatenkantoren: wat geldt er nu?

Het korte antwoordJa. Gebruiken medewerkers AI-tools voor hun werk, dan is het kantoor gebruiksverantwoordelijke en geldt de AI-verordening. Op dit moment vraagt ze vooral twee dingen: maatregelen die de AI-kennis van medewerkers ondersteunen, en, als praktische aanvulling, een overzicht van de tools die in gebruik zijn. Juridisch onderzoek met AI is geen hoog risico. AI bij werving en personeelsbeleid kan dat wel zijn, maar die zware plichten gelden pas vanaf 2 december 2027. Mijn advies is geen compliance-traject, maar een korte lijst van de AI-tools bij het AI-beleid van het kantoor.

Wat je in het voorjaar over de AI-verordening las, is deels achterhaald. Op 27 juli 2026 trad de Digitale omnibus inzake AI in werking. Die maakte de plicht tot AI-geletterdheid lichter en schoof de hoog-risicoregels voor bijlage III zestien maanden op, van 2 augustus 2026 naar 2 december 2027. Oudere stukken noemen nog de oude data en de oude norm.

Geldt de AI-verordening voor je advocatenkantoor?

Ja. Zodra medewerkers AI voor hun werk gebruiken, is het kantoor gebruiksverantwoordelijke. Art. 3 punt 4 omschrijft dat zo:

““gebruiksverantwoordelijke”: een natuurlijke of rechtspersoon, overheidsinstantie, agentschap of ander orgaan die/dat een AI-systeem onder eigen verantwoordelijkheid gebruikt, tenzij het AI-systeem wordt gebruikt in het kader van een persoonlijke niet-beroepsactiviteit;”

Art. 3 punt 4 Verordening (EU) 2024/1689 (AI-verordening)

De uitzondering voor persoonlijk gebruik geldt niet voor een advocaat: wie ChatGPT voor een dossier gebruikt, werkt beroepsmatig. De NOvA schrijft in haar consultatiereactie op de Nederlandse uitvoeringswet (juni 2026): “Volledigheidshalve merkt de NOvA op dat het aannemelijk is dat een advocaat in de meeste gevallen zal worden aangemerkt als gebruiksverantwoordelijke/gebruiker van een AI-systeem.” Wat medewerkers namens het kantoor met AI doen, valt ook onder de plichten van het kantoor. Voor de transparantieplicht bevestigt de Commissie dat (richtsnoeren art. 50, punt 19).

Aanbieder ben je pas als je zelf een AI-systeem ontwikkelt of laat ontwikkelen en het onder eigen naam in gebruik stelt (art. 3 punt 3), zoals een chatbot voor cliënten op je website.

Wat de Digitale omnibus veranderde, en wanneer wat geldt

De omnibus is Verordening (EU) 2026/1744 van 8 juli 2026. Ze is gepubliceerd op 24 juli 2026 en trad volgens haar art. 4 in werking “op de derde dag na die van de bekendmaking”, dus op 27 juli 2026.

De plicht tot AI-geletterdheid is niet afgeschaft, uitgesteld of naar de overheid verschoven. Ze blijft bij het kantoor liggen; de Commissie en de lidstaten krijgen er alleen een ondersteunende taak bij. Het oorspronkelijke voorstel van de Commissie van 19 november 2025 wilde de plicht wel naar de lidstaten en de Commissie verschuiven, en oudere stukken zeggen dat nog. De vastgestelde tekst nam dat niet over. Ook de definitie van gebruiksverantwoordelijke, de plichten van art. 26 bij hoog risico, de rechtsbedeling in bijlage III punt 8 en de bekendmakingsplicht van art. 50 lid 4 bleven ongewijzigd.

Voor een kantoor zijn deze data van belang:

AI-geletterdheid: wat de verordening van een kantoor vraagt

Een kantoor moet maatregelen nemen die de AI-kennis van medewerkers ondersteunen, maar hoeft geen bepaald niveau te halen. Sinds 27 juli 2026 luidt art. 4 lid 1 zo:

“Aanbieders en gebruiksverantwoordelijken van AI-systemen nemen maatregelen om de ontwikkeling van AI-geletterdheid van hun personeel en andere personen die namens hen AI-systemen exploiteren en gebruiken, te ondersteunen, en houden daarbij rekening met hun technische kennis, ervaring, onderwijs en opleiding en de context waarin de AI-systemen zullen worden gebruikt, evenals met de personen of groepen personen ten aanzien van wie de AI-systemen zullen worden gebruikt. Deze verplichting houdt niet in dat aanbieders of gebruiksverantwoordelijken een bepaald niveau van AI-geletterdheid moeten waarborgen voor personen.”

Art. 4 lid 1 AI-verordening, zoals gewijzigd bij Verordening (EU) 2026/1744

De laatste zin is nieuw. Het kantoor moet iets doen, maar hoeft niet te garanderen dat iedereen op een bepaald niveau zit.

De Europese Commissie werkt dit uit in haar vragen en antwoorden over AI-geletterdheid, bijgewerkt op 20 oktober 2026. De plicht geldt ook als medewerkers alleen ChatGPT gebruiken: ze “moeten worden geïnformeerd over de specifieke risico’s, bijvoorbeeld hallucinatie.” Meten hoeft niet: “Artikel 4 van de AI-verordening houdt geen verplichting in om de kennis van AI van werknemers te meten.” Een certificaat of een aparte governancestructuur is evenmin nodig. Als vastlegging volstaat een intern register van opleidingen en andere initiatieven.

Volgens de Commissie worden er “geen strenge eisen of verplichte trainingen opgelegd”. Alleen de gebruiksaanwijzing rondsturen kan volgens haar wel te weinig zijn.

Wat past, hangt af van wie welke tool gebruikt. Bij advocaten die ChatGPT voor onderzoek gebruiken, gaat het om verzonnen of verkeerd weergegeven uitspraken en om de vraag welke gegevens niet in de tool horen. Bij een secretariaat dat notulen laat uitwerken, gaat het vooral om afspraken over wie het AI-verslag naleest voordat het rondgaat. Dat sluit aan bij art. 4, dat vraagt rekening te houden met “de context waarin de AI-systemen zullen worden gebruikt”.

Ik zou er geen apart traject van maken. Eén korte instructie per tool, bij de start en één keer per jaar herhaald, met een notitie in het register dat dit is gebeurd, past bij wat de Commissie beschrijft. Hoe dat in het AI-beleid van een kantoor past, met de inhoudsopgave die de NOvA geeft, staat in Mag een advocaat AI gebruiken?

Is een juridische AI-tool een hoog-risicosysteem?

Nee. Een AI-tool waarmee een advocaat onderzoek doet of een processtuk voorbereidt, valt niet onder de hoog-risicocategorie voor rechtsbedeling. Bijlage III punt 8 noemt alleen systemen die voor de rechter of voor geschillenbeslechting werken:

“a) AI-systemen die bedoeld zijn om door of namens een gerechtelijke instantie te worden gebruikt om een gerechtelijke instantie te ondersteunen bij het onderzoeken en uitleggen van feiten of de wet en bij de toepassing van het recht op een concrete reeks feiten of om te worden gebruikt op soortgelijke wijze in het kader van alternatieve geschillenbeslechting;”

Bijlage III punt 8 AI-verordening

Een advocaat werkt voor een partij en niet namens de rechter. Zo staat het ook in de conceptrichtsnoeren over hoog-risico-AI van 19 mei 2026:

“AI systems intended to be used by parties and their legal representatives, do not fall within the scope of point 8(a) of Annex III, as parties and their representatives are not acting ‘on behalf of a judicial authority’. Therefore, AI systems intended to be used by attorneys to facilitate the submission of procedural documents to a judicial authority do not fall within the use case listed in point 8(a) of Annex III.”

Europese Commissie, conceptrichtsnoeren classificatie hoog-risico-AI-systemen, punt 416

Die richtsnoeren zijn nog een concept, maar de NOvA leest de verordening zelf op dezelfde manier: “Op grond van de AI-verordening valt het gebruik van AI-systemen door advocaten niet onder “rechtsbedeling”, “democratische processen”, of een andere categorie zoals opgenomen in Bijlage III van de AI-verordening.” De NOvA vindt de verordening wel onduidelijk over wanneer AI-gebruik door advocaten hoog risico is, en heeft om verduidelijking gevraagd.

AI om te formuleren of in te korten, of om notulen van een intern overleg uit te werken, staat evenmin in bijlage III.

Hoog risico kan het kantoor wel raken via het eigen personeelsbeleid. Bijlage III punt 4 noemt onder a AI-systemen “voor het werven of selecteren van natuurlijke personen, met name voor het plaatsen van gerichte vacatures, het analyseren en filteren van sollicitaties, en het beoordelen van kandidaten”. Onder b vallen systemen voor besluiten over promotie of ontslag, voor het toewijzen van taken op basis van gedrag en voor het beoordelen van prestaties.

Als voorbeeld uit de advocatuur noemt de Commissie in haar concept een systeem dat zaken over medewerkers verdeelt op basis van een score uit declarabele uren, doorlooptijden, reactiesnelheid op e-mails en deelname aan kantooractiviteiten. Omdat het taken toewijst op basis van individueel gedrag, “materially affecting both present work conditions and long-term career trajectories”, valt het volgens de Commissie onder punt 4 onder b.

Voor een AI-systeem onder bijlage III punt 4, zoals een tool die sollicitaties filtert, gelden vanaf 2 december 2027 de plichten van art. 26. Het kantoor moet de gebruiksaanwijzing volgen, het menselijk toezicht opdragen aan mensen “die over de nodige bekwaamheid, opleiding en autoriteit beschikken en de nodige ondersteuning krijgen”, de logs die het beheert minstens zes maanden bewaren en de mensen op wie het systeem wordt toegepast informeren (art. 26 lid 7 en 11).

Ik zou zo’n tool niet in gebruik nemen zonder dat iemand op kantoor die plichten kent, ook al gelden ze pas over ruim een jaar.

Moet je vermelden dat een tekst met AI is gemaakt?

Voor adviezen, processtukken en mails aan cliënten niet. Een vermelding is alleen nodig bij tekst die je publiceert over zaken van algemeen belang, en dan nog alleen als niemand die inhoudelijk heeft getoetst of niemand er redactioneel verantwoordelijk voor is. Art. 50 lid 4 geldt sinds 2 augustus 2026 en bepaalt in de tweede alinea:

“Gebruiksverantwoordelijken van een AI-systeem dat tekst genereert of bewerkt die wordt gepubliceerd om het publiek te informeren over aangelegenheden van algemeen belang, maken bekend dat de tekst kunstmatig is gegenereerd of bewerkt. Deze verplichting is echter niet van toepassing (…) wanneer de door AI gegenereerde content een proces van menselijke toetsing of redactionele controle heeft ondergaan en wanneer een natuurlijke of rechtspersoon redactionele verantwoordelijkheid draagt voor de bekendmaking van de content.”

Art. 50 lid 4 AI-verordening

Een advies of processtuk is geen gepubliceerde tekst. In haar richtsnoeren over art. 50 van 20 juli 2026 noemt de Commissie “private, interpersonal correspondence (for professional purposes)” en interne stukken uitdrukkelijk als tekst die niet gepubliceerd is (punt 131). Ze geeft daarbij het voorbeeld van een adviseur die met AI een advies aan een cliënt over naleving van regelgeving schrijft, en ook dat valt buiten lid 4. De richtsnoeren gelden pas als ze in alle talen formeel zijn vastgesteld, maar ze laten zien hoe de Commissie lid 4 leest.

Bij een kantoorblog of nieuwsbrief over nieuwe rechtspraak ligt dat anders. De Commissie rekent onderwerpen als “the administration of justice” tot zaken van algemeen belang, dus zo’n stuk kan onder lid 4 vallen. Een vermelding hoeft dan niet als een deskundige de tekst inhoudelijk heeft getoetst en iemand de redactionele verantwoordelijkheid draagt. Een spellingscheck telt niet als toetsing (punt 135). Over de feiten zegt de Commissie: “Fact-checking the accuracy of the content is a minimum requirement that should be part of that review.” (punt 134). Laat je AI de tekst na die toetsing nog inhoudelijk aanpassen, dan vervalt de uitzondering (punt 136).

Een kantoor kan een nieuwsbrief over een nieuwe uitspraak met hulp van ChatGPT schrijven zonder AI-vermelding, als een collega de tekst inhoudelijk naleest, de uitspraak opent en de feiten controleert, en als op de website staat wie verantwoordelijk is voor de nieuwsbrief (punt 138). Past AI daarna niets meer inhoudelijk aan, dan hoeft er geen AI-vermelding bij. Ik zou dit bij elk gepubliceerd stuk zo regelen, ook omdat niet vaststaat of een kantoorblog onder “algemeen belang” valt.

Wie houdt toezicht, en kun je een boete krijgen?

Het kabinet wil de Autoriteit Persoonsgegevens (AP) de belangrijkste toezichthouder maken, maar formeel is nog geen toezichthouder aangewezen. Voor AI-geletterdheid voorziet het concept van de uitvoeringswet niet in een boete. Het kabinet schreef op 20 april 2026 in een Kamerbrief:

“Voor de toezichtgebieden uit de AI-verordening die niet goed aansluiten op bestaande bevoegdheden van toezichthouders, wordt voorgesteld om de AP als markttoezichtautoriteit aan te wijzen. Dit gaat om een groot deel van de hoog-risico toepassingsgebieden, de transparantieverplichtingen en de verboden AI-praktijken.”

Kamerstukken II 2025/26, 22 112, nr. 4318

De AP en de Rijksinspectie Digitale Infrastructuur (RDI) zorgen daarbij samen voor de coördinatie. De formele aanwijzing komt in de Uitvoeringswet AI-verordening, en die is nog niet bij de Tweede Kamer ingediend. Volgens de planningsbrief van 31 augustus 2026 staat indiening gepland voor het tweede kwartaal van 2027. Pas na inwerkingtreding van die wet hebben toezichthouders formeel hun taak en hun bevoegdheden. Aan de plichten verandert dat niets, schrijft het kabinet: “Het feit dat de uitvoeringswet waarschijnlijk niet tijdig in werking treedt, wil niet zeggen dat daardoor de verplichtingen uit de verordening nog niet gelden, want de verordening is rechtstreeks toepasselijk in alle lidstaten.”

Volgens het consultatieconcept wordt de AP ook toezichthouder op art. 4, en blijft de handhaving daar beperkt tot herstelsancties. De ontwerp-toelichting werkt dat uit: “Als de markttoezichtautoriteit bij een eerste controle van een aanbieder of gebruiksverantwoordelijke constateert dat de AI-geletterdheid onvoldoende is, dan kan de autoriteit op dat moment de norm concretiseren in de vorm van een last, en de betrokken partij een bepaalde tijd gunnen waarbinnen aan die norm moet worden voldaan, op straffe van een dwangsom.” Art. 4 staat ook niet in de opsomming van art. 99 lid 4 van de verordening, waar art. 26 en art. 50 wel in staan. Het concept is van vóór de omnibus, en de ingediende versie kan nog afwijken.

De NOvA wil dat het AI-toezicht van de AP wordt afgestemd met het toezicht van de deken, en schrijft in haar consultatiereactie: “De AI-verordening en de Uitvoeringswet AI-verordening waarborgen nog niet de geheimhoudingsplicht van advocaten.” Wat de geheimhoudingsplicht betekent voor wat in een AI-tool wordt ingevoerd, staat in ChatGPT en je geheimhoudingsplicht.

Wat ik zou doen

Ik zou twee dingen regelen: instructie voor medewerkers over de AI-tools die ze gebruiken, en een overzicht van die tools. Een register van tools staat niet in de verordening. Zonder overzicht is niet te zien wie welke instructie nodig heeft, en blijft een hoog-risicotoepassing makkelijk onopgemerkt.

Een overzicht van één pagina bij je AI-beleid

1. Welke AI het kantoor gebruikt, en waarvoor. Per tool: wie hem gebruikt, voor welke taken en welke gegevens erin mogen. AI-functies in software die al in gebruik is, horen er ook bij.
2. Een korte instructie per tool. Wat de tool goed doet, waar hij misgaat en wat altijd wordt gecontroleerd, zoals het openen van een uitspraak voordat ze wordt geciteerd. Wie de instructie kreeg en wanneer, wordt genoteerd. Dat register is de vastlegging.
3. Eén keer per jaar herhalen, en bij elke nieuwe tool en elke nieuwe medewerker.
4. AI voor personeel apart toetsen. Gaat een tool over werving, werkverdeling of beoordeling, dan vraagt het kantoor de leverancier vóór ingebruikname of het systeem onder bijlage III punt 4 valt en wat vanaf 2 december 2027 nodig is.

Een voorbeeld van zo’n pagina:

• ChatGPT (zakelijk account): formuleren en inkorten door alle advocaten, zonder namen of dossierstukken.
• De juridische onderzoekstool: rechtsvragen uitzoeken, waarbij elke bron wordt geopend voordat ze in een stuk komt.
• De notulen-AI: interne overleggen, met een verslag dat iemand naleest.
• De sorteertool voor stagesollicitaties: nog niet in gebruik genomen. Hij kan onder bijlage III punt 4 onder a vallen, dus eerst de leverancier vragen en toetsen aan art. 26.

Waar Minuut past

Voor wat de AI-verordening nu vraagt, is Minuut niet nodig. Minuut komt pas in beeld als je een rechtsvraag wilt laten uitzoeken. Ik heb Minuut ingericht rond wat de NOvA vraagt: een bron bij elke stelling en tegenargumenten standaard.

Minuut is een team van AI-onderzoekers dat Nederlandse wetgeving, rechtspraak en EU-recht doorzoekt, elkaars werk tegenleest en elke bronverwijzing naast de oorspronkelijke tekst legt. Na een onderzoek van anderhalf uur of langer krijg je een memo met de rechtsvraag, het juridisch kader en de rechtspraak, de toepassing op jouw zaak, een advies en een conclusie met risico-inschatting. Elke bronverwijzing opent met één klik de rechtsoverweging waar het om gaat. Een bron openen voordat ze in een stuk komt, kost zo één klik.

Ik bouw Minuut zodat ook een advocaat zonder researchteam een rechtsvraag grondig kan laten uitzoeken.

Wil je een rechtsvraag laten uitzoeken met bronnen die je zelf nakijkt? Ontdek wat Minuut voor je praktijk doet.

Veelgestelde vragen