Microsoft Copilot uitrollen: wat artikel 4 AI-geletterdheid van uw organisatie vraagt (2026)

Een zorgverzekeraar zet deze maand Microsoft 365 Copilot aan voor 1.200 medewerkers. De licenties zijn geregeld, de tenant-instellingen staan goed, de IT-afdeling is klaar. Dan stelt de compliance officer de vraag die het project stillegt: hebben wij eigenlijk geregeld wat de AI Act van ons vraagt nu iedereen met AI gaat werken?

Het directe antwoord: ja, een Copilot-uitrol valt onder de EU AI Act, en de eerste verplichting die u raakt is artikel 4 over AI-geletterdheid. Die geldt sinds 2 februari 2025 en vraagt dat iedereen die met Copilot werkt over een toereikend niveau van AI-geletterdheid beschikt, passend bij rol, context en risico. Geen certificaatplicht, wel aantoonbare maatregelen: rolgerichte training plus een bewijsdossier dat laat zien wie wat wanneer heeft geleerd.

Valt Microsoft Copilot onder de EU AI Act?

Ja. Microsoft 365 Copilot is een AI-systeem in de zin van artikel 3(1) van de AI Act: het leidt uit input af hoe output gegenereerd moet worden en beïnvloedt daarmee de werkomgeving van de gebruiker. Het draait bovendien op een general-purpose AI-model, waarvoor de GPAI-verplichtingen bij de modelaanbieder liggen.

Voor de rolverdeling betekent dit: Microsoft is aanbieder van het systeem en verantwoordelijk voor de verplichtingen op systeem- en modelniveau. Uw organisatie wordt bij een uitrol gebruiksverantwoordelijke, met eigen verplichtingen. De belangrijkste daarvan is op dit moment artikel 4: zorgen voor AI-geletterdheid bij het personeel dat het systeem bedient en gebruikt. En omdat Copilot bij een brede uitrol door vrijwel iedereen gebruikt wordt, is de doelgroep van die verplichting meteen de hele organisatie.

Copilot zelf is in normaal kantoorgebruik geen hoog-risico systeem. Dat verandert wanneer u de output inzet voor taken uit Annex III, bijvoorbeeld wanneer HR Copilot structureel gebruikt bij de beoordeling of voorselectie van kandidaten. Voor zulke zelfstandige Annex III-toepassingen gelden de hoog-risico verplichtingen door de Digital Omnibus per 2 december 2027. De taak bepaalt de classificatie, niet de tool.

Wat betekent artikel 4 voor organisaties die Copilot uitrollen?

Artikel 4 vraagt sinds 2 februari 2025 dat organisaties "naar beste vermogen" zorgen voor een toereikend niveau van AI-geletterdheid bij hun personeel en bij anderen die namens hen AI-systemen gebruiken. Toereikend is daarbij nadrukkelijk relatief: het niveau moet passen bij de technische kennis, ervaring, opleiding en de context waarin het systeem wordt gebruikt.

Voor een Copilot-uitrol betekent dit concreet drie dingen. Ten eerste: iedereen die Copilot gebruikt moet de basis begrijpen, zoals wat het systeem wel en niet kan, dat output overtuigend maar onjuist kan zijn (hallucinaties), en welke gegevens wel en niet in een prompt thuishoren. Ten tweede: het niveau moet per rol verschillen, want de risico's verschillen per rol. Ten derde: u moet kunnen laten zien dat u dit georganiseerd hebt. Niet omdat artikel 4 een eigen boete kent (die is er niet), maar omdat de vraag "hoe heeft u dit geregeld" de eerste is die een toezichthouder, auditor, ondernemingsraad of grote klant stelt.

De volledige uitleg van de verplichting, inclusief de richting van de Autoriteit Persoonsgegevens, leest u in onze complete gids AI-geletterdheid.

Welke rollen hebben Copilot-training nodig?

Alle Copilot-gebruikers hebben een basisniveau nodig, en daarbovenop vragen specifieke rollen om verdieping. Een werkbare rollenmatrix voor een Copilot-uitrol ziet er zo uit:

Alle medewerkers (basisniveau). Wat Copilot is en hoe het werkt, verantwoord prompten, hallucinaties herkennen, output controleren voor gebruik, en de datahygiëne: geen bijzondere persoonsgegevens of vertrouwelijke stukken in prompts waar dat niet is toegestaan.

HR en recruitment. Copilot-output bij vacatureteksten, kandidaatcommunicatie of beoordelingsconcepten raakt snel aan bias en aan de grens met Annex III. Deze rollen moeten weten waar assistentie eindigt en waar geautomatiseerde beoordeling begint.

Finance en control. Cijfermatige output van Copilot oogt exact maar kan rekenfouten en verzonnen brondata bevatten. Verificatieplicht tegen de bronsystemen hoort hier expliciet in de training.

Juridisch en compliance. Deze rollen beoordelen niet alleen hun eigen gebruik, maar ook dat van anderen. Zij hebben het diepste niveau nodig: de AI Act-rolverdeling, de AVG-kant van prompts, en de interne kaders voor toelaatbaar gebruik.

Communicatie en marketing. Wie met Copilot content maakt die extern gepubliceerd wordt, moet de transparantieverplichtingen van artikel 50 kennen die per 2 augustus 2026 gelden, waaronder het herkenbaar markeren van AI-gegenereerde content in specifieke gevallen.

Leidinggevenden en systeembeheer. Managers moeten toezicht kunnen houden op AI-ondersteund werk van hun team; IT-beheerders moeten de tenant-instellingen, datatoegang en logging van Copilot begrijpen.

Platforms zoals LearnWize zijn precies hierop ingericht: rolgebaseerde leerpaden voor AI-geletterdheid en Copilot-gebruik, met toetsing, certificaten en trainingsregistraties die samen een artikel 4-bewijsdossier vormen.

Hoe legt u bewijs van AI-geletterdheid vast bij een Copilot-uitrol?

Bewijs is bij artikel 4 het verschil tussen "wij hebben een e-learning aangeboden" en "wij kunnen per rol laten zien dat maatregelen passend zijn en zijn uitgevoerd". Vier bouwstenen vormen samen het dossier.

De eerste is de AI-inventarisatie: Copilot staat in uw AI-register, met doel, gebruikersgroepen, datatoegang en de rolverdeling richting Microsoft. De tweede is de rollenmatrix hierboven: welke rol heeft welk niveau nodig en waarom. De derde bestaat uit trainingsregistraties per medewerker: wie heeft welk leerpad wanneer afgerond, met welk resultaat, en wat is de opvolging bij wie nog niet klaar is. De vierde is periodieke managementrapportage, zodat AI-geletterdheid bestuurlijk geborgd is en geen eenmalig uitrolproject blijft.

Voor de handmatige start kunt u onze bewerkbare AI training records template gebruiken. Hoe het volledige dossier eruitziet, staat in het artikel 4 bewijsdossier. Zodra honderden medewerkers gevolgd moeten worden, is een platform met automatische registratie zoals LearnWize de praktische route.

Verandert de Digital Omnibus deze verplichting?

De Digital Omnibus verzacht de formulering van artikel 4: de directe plicht voor aanbieders en gebruiksverantwoordelijken verschuift richting een institutioneel mandaat waarin de Commissie en lidstaten AI-geletterdheid promoten en aanmoedigen, naast proportionele trainingsmaatregelen. Het pakket is door het Europees Parlement en de Raad formeel goedgekeurd, maar stond medio juli 2026 nog niet in het Publicatieblad. Tot die publicatie geldt juridisch de oorspronkelijke tekst.

Voor een Copilot-uitrol verandert er praktisch weinig. De reden om medewerkers AI-geletterd te maken was nooit een boetedreiging, want een losse artikel 4-boete bestaat niet. De reden is dat een organisatie die 1.200 mensen een krachtige AI-assistent geeft zonder hen te leren wat die wel en niet kan, voorspelbare fouten organiseert: gelekte gegevens in prompts, ongecontroleerde output in klantcommunicatie en besluiten op basis van verzonnen cijfers. AI-geletterdheid blijft bovendien onderdeel van menselijk toezicht bij hoog-risico AI (artikel 14) en een groeiende verwachting van toezichthouders, klanten en ondernemingsraden.

Welke andere AI Act-verplichtingen raken een Copilot-uitrol?

Drie aanpalende verplichtingen verdienen een plek in hetzelfde project. Artikel 50 wordt van kracht per 2 augustus 2026 en is niet uitgesteld: AI-gegenereerde content moet in specifieke gevallen herkenbaar en machineleesbaar gemarkeerd zijn, wat relevant is voor teams die met Copilot extern publiceren. De AVG geldt onverkort voor alles wat medewerkers in prompts stoppen en voor de documenten waartoe Copilot via de tenant toegang heeft. En wie Copilot-output gaat gebruiken voor taken uit Annex III, zoals werving en selectie, moet de hoog-risico voorbereiding richting 2 december 2027 inplannen.

Dit is het punt waarop AI-geletterdheid overgaat in AI-governance: een AI-register, risicoclassificatie per toepassing, beleid voor toelaatbaar gebruik en een bewijsritme. Voor dat bredere fundament voert Embed AI een AI governance scan en een 30-daagse Readiness Sprint uit waarin Copilot als eerste usecase wordt meegenomen.

Hoe pakt u dit deze maand aan?

Begin niet met een generieke e-learning voor iedereen, maar met inzicht in waar uw organisatie staat. Zet Copilot in het AI-register, stel de rollenmatrix op, en meet vervolgens per team het huidige niveau van AI-geletterdheid. Op basis daarvan bepaalt u welke rolgerichte leerpaden nodig zijn en waar de grootste risico's zitten.

Die eerste meting kost vijf minuten: doe de AI-geletterdheid scan van LearnWize en zie direct waar uw team staat ten opzichte van wat artikel 4 vraagt.