Wat is er precies veranderd op 27 juli 2026?
Negen dagen voor de grote deadline van 2 augustus 2026 trad Verordening (EU) 2026/1744 in werking, beter bekend als de Digital Omnibus on AI. Die wijzigt de AI-verordening op een aantal punten, en het meest zichtbare punt is uitstel: de verplichtingen voor AI-systemen met een hoog risico gaan later gelden dan oorspronkelijk vastgelegd.
Het traject liep lang. De Europese Commissie stelde de Omnibus voor op 19 november 2025. Het Europees Parlement stelde zijn standpunt vast op 16 juni 2026, de Raad besloot op 29 juni 2026, en publicatie in het Publicatieblad volgde eind juli.
De wijzigingsverordening noemt de reden onomwonden: de geharmoniseerde normen, gemeenschappelijke specificaties en richtsnoeren waarop bedrijven zich zouden moeten baseren kwamen te laat beschikbaar, en de nationale bevoegde autoriteiten waren te laat aangewezen. Het uitstel is dus geen versoepeling van de ambitie, maar een erkenning dat het ondersteunende stelsel er nog niet stond.
Welke deadlines gelden nu?
| Datum | Wat gaat gelden | Status |
|---|---|---|
| 2 februari 2025 | Verboden praktijken (art. 5), AI-geletterdheid (art. 4) | Geldt |
| 2 augustus 2025 | Verplichtingen aanbieders general-purpose AI, governance, sanctieregime | Geldt |
| 2 augustus 2026 | Algemene toepassing, transparantieplicht (art. 50), handhaving | Geldt |
| 2 december 2026 | Nieuw verbod op AI voor niet-consensueel intiem beeldmateriaal en CSAM | Komt |
| 2 december 2027 | Hoog-risico AI-systemen uit bijlage III | Uitgesteld vanaf 2 aug 2026 |
| 2 augustus 2028 | Hoog-risico AI ingebouwd in gereguleerde producten (bijlage I) | Uitgesteld |
| 2 december 2030 | Hoog-risicosystemen die vóór 2 augustus 2026 al in gebruik waren | Ongewijzigd |
Twee dingen vallen op. Het uitstel raakt uitsluitend hoofdstuk III, het hoog-risicoregime. En systemen die je al in gebruik had vóór augustus 2026 vielen sowieso al onder een veel latere termijn, wat voor bestaande toepassingen weinig verandert.
Wat geldt er dan wél sinds 2 augustus 2026?
De transparantieplicht van artikel 50, en die raakt bijna iedereen. Drie situaties komen in de praktijk het vaakst voor.
Zet je een chatbot in die met klanten of medewerkers communiceert, dan moet voor die persoon duidelijk zijn dat hij met een AI-systeem praat. Dat mag niet verstopt in een cookiemelding of algemene voorwaarden.
Publiceer je synthetisch gegenereerd beeld, geluid of video, dan moet dat materiaal machineleesbaar gemarkeerd zijn als AI-gegenereerd. Bij deepfakes ligt de lat het hoogst: die moeten altijd expliciet en zichtbaar gelabeld worden, met een beperkt aantal wettelijke uitzonderingen.
Publiceer je AI-gegenereerde tekst over zaken van algemeen belang, dan geldt een vermeldingsplicht wanneer er geen menselijke redactie en verantwoordelijkheid tegenover staat.
Daarbovenop staan de verboden praktijken uit artikel 5 al sinds februari 2025 overeind, inclusief emotieherkenning op de werkvloer en social scoring. Daar is geen enkele zakelijke rechtvaardiging voor.
Is de AI-geletterdheidsplicht ook uitgesteld?
Nee, maar hij is wel versoepeld. Artikel 4 verplichtte organisaties oorspronkelijk om zo veel mogelijk te zorgen voor een toereikend niveau van AI-geletterdheid bij iedereen die met hun AI-systemen werkt. De gewijzigde tekst, die geldt sinds 27 juli 2026, spreekt van maatregelen om die ontwikkeling te ondersteunen, en voegt toe dat de verplichting niet inhoudt dat een bepaald niveau gewaarborgd moet worden.
Praktisch betekent dat: je moet aantoonbaar iets doen, maar je hoeft niet te bewijzen dat elke medewerker een examen heeft gehaald. Een gedocumenteerd trainingsaanbod, een instructie bij de introductie van een tool en een vindbare interne richtlijn zijn een redelijke invulling.
De plicht bestaat sinds 2 februari 2025 en raakt elke organisatie die AI inzet, ongeacht risicoklasse. Ook wanneer je alleen ChatGPT of Copilot gebruikt en zelf niets ontwikkelt.
Ben ik aanbieder of gebruiksverantwoordelijke?
Dit onderscheid bepaalt bijna al je verplichtingen, en de meeste organisaties zitten aan de lichte kant.
Een aanbieder ontwikkelt een AI-systeem of laat het onder eigen naam op de markt brengen. Een gebruiksverantwoordelijke zet een AI-systeem van een ander in binnen de eigen organisatie. Gebruik je Copilot, ChatGPT of een agent die een leverancier voor je bouwde, dan ben je in de regel gebruiksverantwoordelijke.
Artikel 25 regelt wanneer je alsnog aanbieder wordt. Je wordt aanbieder als je je eigen naam of merk voert op een systeem dat al op de markt is, tenzij contractueel anders geregeld, en als je een substantiële wijziging aanbrengt waarna het systeem hoog-risico blijft.
Dat is relevanter dan het klinkt. Wie een AI-oplossing laat bouwen en die intern onder een eigen productnaam uitrolt, kan zonder het te merken in de zwaardere categorie belanden.
Wat riskeer je bij overtreding?
Het sanctieregime geldt sinds augustus 2025 en de handhaving is per 2 augustus 2026 gestart.
Voor de verboden praktijken uit artikel 5 lopen boetes op tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet, waarbij het hoogste bedrag telt. Voor overtreding van de hoog-risicoverplichtingen geldt maximaal 15 miljoen euro of 3 procent. Voor het verstrekken van onjuiste informatie aan toezichthouders gelden lagere maxima.
Voor het MKB bestaat een proportionele berekening, waarbij het laagste van beide bedragen wordt gehanteerd. Dat is een verzachting, geen vrijstelling.
Het praktische risico ligt voor de meeste Nederlandse organisaties op dit moment niet bij een megaboete, maar bij twee andere dingen: een klant of aanbestedende partij die om aantoonbaarheid vraagt, en een toezichthouder die naar aanleiding van een klacht vraagt wat je precies hebt draaien.
Betekent uitstel dat ik kan wachten?
Voor de zware conformiteitsbeoordeling van een hoog-risicosysteem heb je nu inderdaad ruim een jaar extra. Maar er zijn drie redenen om niet te wachten.
Ten eerste is het voorbereidende werk hetzelfde, ongeacht de deadline. Een inventaris van alle AI die er draait, een risicoclassificatie per toepassing en een belegd eigenaarschap zijn geen compliance-oefening maar de basis om überhaupt te weten wat je doet.
Ten tweede geldt de transparantieplicht nu wel. Als je een chatbot draait die zich niet als AI meldt, ben je vandaag in overtreding, niet in december 2027.
Ten derde is een conformiteitsbeoordeling met technische documentatie en registratie in de EU-databank een traject van vele maanden, geen weken. December 2027 lijkt ver, maar wie in bijlage III valt en pas in 2027 begint, komt te laat.
Waar begin je als je nog niets hebt?
De eerste stap is altijd inventariseren, en dat is minder eenvoudig dan het klinkt. De meeste organisaties onderschatten hoeveel AI er al draait: Copilot in Microsoft 365, een AI-functie in het CRM, een chatbot op de site, en losse accounts die medewerkers zelf hebben aangemaakt.
Een werkbare volgorde:
- Inventariseer. Welke AI-systemen draaien er, wie is eigenaar, welke data zien ze, en op welke grondslag.
- Classificeer. Bepaal per toepassing de risicoklasse. De meeste vallen op minimaal of beperkt risico, en dan weet je dat ook.
- Repareer de transparantie. Chatbots labelen, AI-gegenereerd beeld markeren.
- Beleg het eigenaarschap. Iemand moet verantwoordelijk zijn, met mandaat.
- Documenteer. Niet omdat het moet, maar omdat je bij de eerste vraag van een klant of toezichthouder iets moet kunnen laten zien.
Bij Pilex zit deze volgorde ingebouwd in de eerste fasen van onze aanpak, en het AI-governance platform levert het register, het risicobord en de audit-trail als werkende functies in plaats van als spreadsheet.
Wat dit niet oplost
Een AI-inventaris en een risicoclassificatie maken je niet compliant met de AVG. Dat zijn twee verschillende kaders die elkaar overlappen maar niet vervangen. Persoonsgegevens in prompts blijven een verwerking onder de AVG, met een eigen grondslag, dataminimalisatie en verantwoordingsplicht. Zie daarvoor de gids over bedrijfsgegevens in ChatGPT.
En de AI-verordening zegt niets over of jouw specifieke AI-toepassing zinvol is. Dat blijft een bedrijfsvraag.