EU AI Act per 2 augustus 2026: Compliance-checklist voor Voice AI

EU AI Act treedt in werking op 2 augustus 2026: Wat voice AI-agents moeten doen

Op 2 augustus 2026 wordt de tweede grote golf van de EU AI Act van kracht. Voor elk bedrijf dat een AI voice-agent inzet — voor inkomend, uitgaand of beide verkeer — is de kern simpel: elke beller moet aan het begin van het gesprek horen dat hij met een AI spreekt. En dat is slechts een van de vijf verplichtingen die vanaf die datum in de hele Europese Unie gelden.

Het negeren van artikel 50 van de EU AI Act stelt je bedrijf bloot aan boetes tot 15 miljoen euro of 3 procent van de wereldwijde omzet. Bij opzettelijke inbreuken op verboden praktijken loopt dit op tot 35 miljoen euro of 7 procent. Deze gids loopt door wat voice AI-agents tegen augustus 2026 moeten kunnen, presenteert een checklist in negen stappen en laat zien waarom een in de EU gehost platform zoals Famulor de uitrol verandert van een project van meerdere weken in een middagje configureren.

Wat verandert er op 2 augustus 2026

De EU AI Act trad in werking op 1 augustus 2024 en wordt in fasen uitgerold. De golf van februari 2025 verbood een beperkt aantal AI-praktijken (zoals social scoring). De golf van augustus 2026 is degene die voice AI-agents direct onder de reikwijdte brengt, via twee hefbomen:

1. Artikel 50 — Transparantieverplichtingen: Elk AI-systeem dat met mensen interageert, moet duidelijk maken dat er AI bij betrokken is. Voor voice-agents moet die openbaarmaking hoorbaar zijn — niet weggestopt in een privacyverklaring op een website.
2. Verplichtingen voor hoog risico: Voice-agents die opereren in gereguleerde contexten (kredietwaardigheid, screening van kandidaten, kritieke infrastructuur, rechtshandhaving) kwalificeren als hoogrisicosystemen. Zij vereisen logging, menselijk toezicht, een gedocumenteerd risicobeheersysteem en CE-conformiteit.

De definitieve gedragscode van de Europese Commissie wordt verwacht in juni 2026 — ongeveer acht weken voor de deadline. Wie op dat document wacht om te beginnen, is te laat. Een voice-agent moet worden geconfigureerd, gescript, getest, gelogd en end-to-end geverifieerd, en dat werk laat zich onder tijdsdruk slecht uitvoeren.

Aanbieder of gebruiker — wie is aansprakelijk?

De EU AI Act maakt onderscheid tussen aanbieders (die het AI-systeem bouwen of leveren) en gebruikers (die het inzetten). Beiden hebben verplichtingen, maar die zijn niet identiek.

• Aanbieders van een voice AI-platform moeten ervoor zorgen dat het systeem de openbaarmakingsfunctie technisch ondersteunt, dat audio-outputs gemarkeerd kunnen worden als AI-gegenereerd en dat auditlogs geëxporteerd kunnen worden. Dat is de taak van het platform, niet van de klant.
• Gebruikers — het bedrijf dat daadwerkelijk een voice-agent inzet voor inkomende of uitgaande gesprekken — moeten de openbaarmaking inschakelen, begroetingsscripts aanpassen, personeel trainen voor escalatie en op verzoek kunnen aantonen welk gesprek wanneer en hoe is afgehandeld.

Als je vandaag een voice-agent gebruikt, ben je minimaal een gebruiker. Als je deze bovendien zelf hebt geconfigureerd op een no-code platform, neem je een deel van de verantwoordelijkheid van de aanbieder op je voor de configuratie zelf. Dat klinkt als extra werk, maar op het juiste platform beperkt dit zich tot een paar configuratieschakelaars.

De vijf voice AI-verplichtingen vanaf 2 augustus 2026

Voor standaard inkomende en uitgaande voice-agents — afspraken plannen, FAQ, leadkwalificatie, eerstelijns support — zijn dit de vijf punten om vast te leggen:

1. Hoorbare AI-openbaarmaking aan het begin van het gesprek

"Hallo, je spreekt met Lara, een AI-assistent voor de kliniek van Dr. Becker." De begroeting moet ondubbelzinnig zijn. Een gefluisterde mededeling aan het einde van het gesprek of een voetnoot in het privacybeleid op de website volstaat niet. De openbaarmaking moet aan het begin van de interactie plaatsvinden, in de taal van de beller, en er moet een niet-audio alternatief zijn voor bellers met een gehoorbeperking — meestal een parallelle sms- of chatworkflow.

2. Labeling van synthetische stemmen bij uitgaande gesprekken

Voor uitgaande gesprekken (afspraakbevestigingen, betalingsherinneringen, leadreactivatie) moet het systeem bovendien duidelijk maken dat de stem synthetisch is. Het klonen van stemmen van identificeerbare personen zonder toestemming was al problematisch onder de AVG — nu codificeert de EU AI Act dit expliciet als een deepfake-overtreding.

3. Menselijke overdracht op verzoek

Als een beller zegt "Ik wil een mens spreken", moet de agent escaleren. Niet na drie vervolgvragen, niet na het verstrijken van een timer — bij het eerste duidelijke verzoek. Dat vereist een voice-agent die intelligent doorschakelen goed afhandelt; we behandelen de patronen in onze gids over de brug tussen AI en mensen.

4. Auditlogging en bewaartermijn

Elk gesprek moet worden gedocumenteerd met een tijdstempel, caller ID (waar wettelijk toegestaan), het transcript van het gesprek en eventuele escalatiegebeurtenissen. De bewaartermijn volgt de AVG-regels — meestal 30 tot 90 dagen voor servicegesprekken. Bedrijven die gesprekken opnemen, moeten bovendien voldoen aan nationale wetgeving inzake interceptie, inclusief die van het land waar de beller zich bevindt.

5. Risicobeheer en bias-testen

Als de voice-agent beslissingen neemt die juridische of vergelijkbare significante gevolgen hebben (pre-screening van kandidaten, kredietchecks, eerste schademelding bij verzekeringen met uitbetalingsvoorstel), treden de verplichtingen voor hoog risico in werking: een gedocumenteerd risicobeheersysteem, regelmatige bias-testen, technische documentatie en CE-conformiteit.

Boetestelsel — wat kost niet-naleving?

Boetes zijn ingedeeld naar ernst. Drie categorieën zijn van belang voor voice AI-opstellingen:

MKB en start-ups betalen het laagste bedrag — het vaste bedrag of het percentage. Desondanks kan een verzekeringsmakelaar met 5 miljoen euro jaaromzet die een niet-conforme uitgaande schade-agent inzet, kijken naar 50.000 tot 150.000 euro per gedocumenteerde inbreuk. In Duitsland wordt het toezicht gecoördineerd via het netwerk onder leiding van de Bundesnetzagentur; in de praktijk komen klachten over stemgebruik vaak voort uit consumentenorganisaties voordat ze de toezichthouder bereiken.

Compliance-checklist: negen stappen voor 2 augustus 2026

Vandaag beginnen geeft je ongeveer twaalf weken. De volgende volgorde heeft zich bewezen in adviestrajecten:

1. Inventarisatie: Maak een lijst van elke voice-agent, IVR en chatbot die interageert met eindklanten — inclusief testopstellingen.
2. Classificatie: Hoog risico (kandidaat, krediet, schade) of standaard (FAQ, afspraak, reservering)?
3. Openbaarmakingsscripts: Pas de begroeting aan per taal en use case — de woorden "AI-assistent" of equivalent moeten in de eerste twee zinnen voorkomen.
4. Synthetische stem-tag: Voeg een tweede cue toe bij uitgaande gesprekken ("Dit bericht is gegenereerd door een AI-agent").
5. Triggers voor menselijke overdracht: Onderhoud escalatie-intents ("spreken met een mens", "echt persoon", "medewerker") in elke ondersteunde taal.
6. Logging-configuratie: Opslag van transcripten, tijdstempels, 30 tot 90 dagen bewaartermijn, geanonimiseerde back-ups.
7. Check op EU-hosting: Waar worden audiostreams verwerkt? Waar staan de logs? Als een Amerikaanse cloud betrokken is, verifieer dan de contractuele status of migreer.
8. Bias-test: Voer ten minste 50 testgesprekken uit over accenten, leeftijdsgroepen en genders heen. Documenteer de evaluatie.
9. Training en noodprocedure: Zorg dat personeel weet hoe ze geëscaleerde gesprekken moeten overnemen en hoe ze de agent op korte termijn kunnen pauzeren.

Deze negen punten vormen de ruggengraat van wat een toezichthouder later zal herkennen als "gedocumenteerde zorgvuldigheid".

Best practices en veelgemaakte fouten

Pilotprojecten van de afgelopen maanden hebben vier patronen aan het licht gebracht die teams in de problemen brengen:

• Generieke openbaarmaking zonder context: "Je spreekt met een AI" is juridisch zwak. Beter: "Je spreekt met Lara, een AI-assistent voor Hotel Adlerhorst. Ik kan boekingen aannemen of je doorverbinden met de receptie." Concreet, vertrouwenwekkend, klaar voor escalatie.
• Agressieve herbenadering van oude leads: Uitgaande gesprekken naar contacten wiens toestemming ouder is dan 12 maanden zijn riskant — AVG en ePrivacy lopen parallel. Bevestig de opt-in opnieuw of sla het contact over.
• "We gebruiken gewoon OpenAI, dat is hun probleem" — fout. De verantwoordelijkheid van de gebruiker blijft bij het bedrijf dat de agent beheert. Of het onderliggende LLM van OpenAI, Anthropic of Mistral is, is secundair; logging en openbaarmaking blijven jouw verantwoordelijkheid.
• Vergeten banner voor gespreksopname: Iedereen die gesprekken opneemt, heeft een aparte toestemming nodig. Openbaarmaking en toestemming voor opname zijn niet dezelfde handeling.

Industrievoorbeelden uit de praktijk

Drie typische Famulor-opstellingen, drie verschillende compliance-profielen:

Tandartspraktijk Dr. Becker (Berlijn, 12 medewerkers)

Inkomende agent voor afspraken en spoedtriage. Openbaarmaking: "Je spreekt met Lara, de AI-assistent van de praktijk van Dr. Becker." Bij spoed-trefwoorden ("pijn", "zwelling", "bloeden"), directe overdracht naar de praktijk-hotline. Logging in de regio Frankfurt gedurende 30 dagen. Classificatie: standaard, niet hoog risico. Compliance-inspanning: twee uur configuratie in Famulor. Meer patronen uit de zorgsector.

Verzekeringsmakelaar Schmidt & Partner (München, 28 medewerkers)

Uitgaande agent voor verlengingsacties ("contract verloopt bijna — een afspraak boeken?") en FNOL-intake bij schadeclaims. Uitgaand verkeer heeft de synthetische stem-cue en een verse opt-in nodig. FNOL bevindt zich in een grijs gebied: nog steeds standaard als er door de agent geen uitbetalingsbeslissing wordt genomen. Inspanning: zes uur voor scripts, testgesprekken, audit van logging.

E-commerce "Northern Light Outdoor" (Hamburg, 60 medewerkers)

Inkomende agent voor orderstatus, retouren en maatadvies. Standaard use case. Openbaarmaking aan het begin, "agent" escalatie-intent getraind, EU-hosting gedocumenteerd, gespreksopname met een aparte toestemmingsvraag. Compliance-inspanning: vier uur inclusief bias-test.

Famulor: compliance-by-default voor voice AI in Europa

Bedrijven die draaien op VS-georiënteerde voice AI-platforms (Vapi, Bland, Retell, Synthflow) staan nu voor een ongemakkelijke vraag: staan audiostreams, transcripten en logs daadwerkelijk binnen de EU? Voor de meeste van deze stacks is het eerlijke antwoord "niet betrouwbaar". Famulor is vanaf dag één gebouwd met een Europese data-architectuur — EU-hosting, AVG-conforme verwerkersovereenkomsten, configureerbare openbaarmakingen, een geïntegreerde export voor auditlogs.

Concreet betekent dit voor de gereedheid voor de EU AI Act:

• Openbaarmakingssjablonen per taal: 40+ talen, elk met een conform begroetingsblok.
• Automatische synthetische stem-tag: Uitgaande gesprekken in nationale markten halen de openbaarmakingszin uit het landspecifieke sjabloon.
• Menselijke overdracht via SIP-trunk: Direct doorverbinden naar interne hotlines, mobiele medewerkers of externe contactcenters — zonder van telefonieprovider te veranderen.
• Export van auditlogs: CSV of webhook naar je documentatiesystemen (Notion, Confluence, Make, n8n).
• Transparante prijzen: Betalen per minuut zonder verborgen kosten, zodat de compliance-overhead voorspelbaar blijft.

Voor teams die momenteel op een Amerikaanse stack zitten, is de migratie meestal binnen twee weken afgerond. Achtergrondinformatie over de architectuur staat in onze gids over privacy-by-design en de diepere Retell vs. Famulor vergelijking. Voor bredere achtergrond over waarom de AVG-houding zelf deals oplevert, zie vijf redenen waarom een AVG-conforme AI-telefoonassistent een concurrentievoordeel is.

Conclusie: compliance als concurrentievoordeel, niet als rem

2 augustus 2026 lijkt op het eerste gezicht een last — in werkelijkheid is het een kans. Bellers die kunnen horen dat ze met een AI spreken en die op elk moment kunnen overschakelen naar een mens, vertrouwen het merk meer. Auditlogs zijn niet alleen materiaal voor toezichthouders; ze vormen de basis voor continue kwaliteitsverbetering. EU-hosting staat al in veel B2B-inkoopvereisten voordat de AI Act überhaupt in het spel komt.

Nu handelen is het voordeel. Wachten riskeert boetes en reputatieschade. Famulor biedt een opstelling die aan de vijf verplichtingen voldoet zonder maatwerkcode — meestal binnen een middag. Probeer de no-code voice agent builder.

FAQ

Wanneer zijn de verplichtingen van de EU AI Act van toepassing op voice-agents?

De kernverplichtingen voor transparantie onder artikel 50 worden in de hele EU bindend op 2 augustus 2026. Verboden praktijken zijn sinds februari 2025 verboden en verplichtingen voor hoog risico zijn vanaf 2 augustus 2026 ook volledig van kracht.

Is een mededeling in het privacybeleid op de website voldoende?

Nee. De openbaarmaking moet hoorbaar zijn aan het begin van het gesprek, in de taal van de beller. Een schriftelijke notitie op de website vervangt niet de gesproken informatie tijdens het gesprek.

Wat gebeurt er als een beller vraagt om "een mens te spreken"?

De voice-agent moet het verzoek onmiddellijk herkennen en escaleren naar een menselijke medewerker. Herhaalde tegenvragen of het vertragen van de escalatie zijn niet toegestaan.

Is de EU AI Act ook van toepassing op uitgaande gesprekken?

Ja, met nog strengere eisen. Uitgaande gesprekken combineren de AI-openbaarmaking met een expliciete synthetische stem-cue, en de opt-in van de ontvanger moet actueel en verifieerbaar zijn.

Hoe hoog zijn de boetes in het ergste geval?

Voor verboden praktijken tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet — wat hoger is. Voor inbreuken op hoog risico is het plafond 15 miljoen euro of 3 procent van de omzet.

Telt een FAQ voice-agent als hoog risico?

Nee. Standaard FAQ-, afspraak- of orderstatus-agents zijn standaard use cases. Alleen opstellingen met significante beslissingen (screening van kandidaten, kredietwaardigheid, verzekeringsclaims met uitbetalingsadvies) triggeren de classificatie voor hoog risico.

Kan ik een in de VS gevestigde voice-aanbieder blijven gebruiken?

Technisch ja, juridisch alleen met aanzienlijke overhead. Datastromen moeten worden gedekt door Standard Contractual Clauses en een Transfer Impact Assessment. Een in de EU gehost platform zoals Famulor neemt het grootste deel van die documentatielast weg.

Wat moet ik precies loggen?

Minimaal: tijdstempel, caller ID waar wettelijk toegestaan, transcript van de inhoudelijke kern, getriggerde escalatiegebeurtenissen en bevestiging dat de openbaarmaking is afgespeeld. De bewaartermijn loopt doorgaans 30 tot 90 dagen, afhankelijk van de use case en sector.

Hoe lang duurt de uitrol met Famulor?

Voor standaard use cases (FAQ, afspraak, reservering) dekken twee tot vier uur configuratie meestal alle vijf verplichtingen. Opstellingen voor hoog risico hebben een extra dag of twee nodig voor bias-testen en documentatie van risicobeheer.