Plan een oriënterend gesprek

De EU AI Act: verplichtingen, deadlines en wat de Digital Omnibus verandert

Laatst bijgewerkt: juli 2026 · Leestijd: 6 min · Status: wijzigingsverordening aangenomen, publicatie in het Publicatieblad volgt

De EU AI Act (Verordening 2024/1689) is de eerste brede AI-wet ter wereld en werkt met risicocategorieën: verboden praktijken, hoog risico, beperkt risico en minimaal risico. Het Digital Omnibus-pakket dat de deadlines voor hoog-risico-AI verschuift, is door Parlement en Raad aangenomen: de verplichtingen voor Bijlage III gelden vanaf 2 december 2027, voor Bijlage I vanaf 2 augustus 2028. De transparantieplicht van Artikel 50 blijft in hoofdzaak staan op 2 augustus 2026.

De AI Act is sinds 1 augustus 2024 van kracht en treedt gefaseerd in werking.1 Verboden AI-praktijken (Artikel 5) en de AI-geletterdheidsplicht (Artikel 4) gelden al sinds 2 februari 2025; de regels voor general purpose AI sinds 2 augustus 2025.

Voor de zwaarste categorie, hoog-risico-AI, is de planning dit voorjaar gewijzigd. De Europese Commissie stelde in november 2025 voor om de deadlines uit te stellen2, omdat de geharmoniseerde standaarden die organisaties nodig hebben om te kunnen voldoen nog niet gereed zijn. Dat voorstel is inmiddels door het volledige wetgevingsproces: het Europees Parlement stemde op 16 juni 2026 in en de Raad van de EU gaf op 29 juni 2026 zijn definitieve goedkeuring.3 Publicatie in het Publicatieblad volgt, waarna de wijzigingen drie dagen later in werking treden. Het wetgevingsproces is daarmee afgerond; de formele inwerkingtreding volgt na publicatie. Tot dat moment geldt formeel nog de oorspronkelijke datum van 2 augustus 2026.

Kern: de Digital Omnibus geeft ruimte voor hoog-risico-AI, maar verschuift niet alles. De transparantieplicht van Artikel 50 gaat in hoofdzaak gewoon op 2 augustus 2026 in; alleen de markeringsplicht voor generatieve AI die dan al op de markt is, verschuift naar 2 december 2026. Wie chatbots, AI-content of deepfakes inzet, heeft nog enkele weken.

De risicocategorieën in het kort

De AI Act reguleert AI-systemen op basis van het risico dat zij vormen. In de praktijk worden vier niveaus onderscheiden:

  1. Onaanvaardbaar risico (Artikel 5): verboden. Denk aan social scoring, manipulatieve technieken en het ongericht verzamelen van gezichtsbeelden voor herkenningsdatabases. Deze verboden gelden sinds 2 februari 2025. Het Digital Omnibus-akkoord voegt een nieuw verbod toe op AI die niet-consensueel intiem beeldmateriaal genereert, geldend per 2 december 2026.4
  2. Hoog risico (Artikel 6, Bijlage I en III): toegestaan onder strikte eisen. AI in domeinen als werving en selectie, kredietscoring, onderwijs, kritieke infrastructuur en rechtshandhaving (Bijlage III), en AI als veiligheidscomponent in gereguleerde producten (Bijlage I). Eisen: risicobeheersysteem, datakwaliteit, technische documentatie, menselijk toezicht en conformiteitsbeoordeling.
  3. Beperkt risico (Artikel 50): transparantieplichten. Artikel 50 kent verschillende plichten naar rol en toepassing: systemen die rechtstreeks met personen interacteren moeten kenbaar maken dat sprake is van AI, aanbieders van generatieve AI markeren synthetische output machineleesbaar, en deployers maken deepfakes en bepaalde AI-teksten over onderwerpen van publiek belang herkenbaar bekend.
  4. Minimaal risico: geen aanvullende verplichtingen vanuit de risicoclassificatie. Horizontale verplichtingen, zoals maatregelen voor AI-geletterdheid, blijven wel gelden. Volgens de Europese Commissie valt de overgrote meerderheid van AI-systemen in deze categorie.5

De tijdlijn na de Digital Omnibus

Tijdlijn van de EU AI Act na de Digital Omnibus, met de ongewijzigde transparantieplicht van Artikel 50 per 2 augustus 2026 gemarkeerd De EU AI Act na de Digital Omnibus Gefaseerde inwerkingtreding, met de verschoven hoog-risico-deadlines 2 feb 2025 verstreken Verboden praktijken (Art. 5), AI-geletterdheid (Art. 4) 2 aug 2025 verstreken Verplichtingen general purpose AI (GPAI) 2 aug 2026 ongewijzigd Transparantieplicht (Art. 50) Chatbot-melding, labeling AI-content en deepfakes 2 dec 2026 Verbod niet-consensueel intiem AI-beeldmateriaal markering bestaande generatieve AI (Art. 50, lid 2) 2 dec 2027 verschoven Hoog risico Bijlage III was 2 aug 2026 2 aug 2028 verschoven Hoog risico Bijlage I was 2 aug 2027 Tijdlijn van de EU AI Act na de Digital Omnibus, met de ongewijzigde transparantieplicht van Artikel 50 per 2 augustus 2026 gemarkeerd De EU AI Act na de Digital Omnibus met de verschoven hoog-risico-deadlines 2 feb 2025 verstreken Verboden praktijken (Art. 5), AI-geletterdheid (Art. 4) 2 aug 2025 verstreken Verplichtingen general purpose AI (GPAI) 2 aug 2026 ongewijzigd Transparantieplicht (Art. 50) Chatbot-melding, labeling AI-content en deepfakes 2 dec 2026 Verbod niet-consensueel intiem AI-beeldmateriaal markering bestaande generatieve AI (Art. 50, lid 2) 2 dec 2027 verschoven Hoog risico Bijlage III was 2 aug 2026 2 aug 2028 verschoven Hoog risico Bijlage I was 2 aug 2027
Figuur: de belangrijkste AI Act-mijlpalen na de Digital Omnibus; de transparantieplicht van Artikel 50 blijft in hoofdzaak per 2 augustus 2026 gelden.

De verschuiving is geen versoepeling van de kern. De uitstelbepaling laat de eisen aan hoog-risico-AI grotendeels intact; de ingangsdatum schuift omdat de standaarden waarop de compliance-route steunt niet eerder gereed zijn. Het Omnibus-pakket bevat daarnaast wel inhoudelijke vereenvoudigingen, verduidelijkingen en wijzigingen in de uitvoering en het toezicht, van sandboxes tot de rolverdeling in het toezicht op general purpose AI.4

Wat dit betekent voor uw organisatie

Gebruikt u AI voor werving en selectie, kredietwaardigheidsbeoordeling, toegang tot essentiële diensten of andere besluiten met aanzienlijke gevolgen voor personen? Dan kan het systeem onder Bijlage III vallen zodra de verplichtingen ingaan; de precieze classificatie hangt af van doel, context en de uitzonderingen van Artikel 6. De extra tijd tot december 2027 is welkom, maar de eisen zijn omvangrijk: wie pas in 2027 begint met een risicobeheersysteem, datakwaliteitsborging en menselijk toezicht, komt in dezelfde tijdsklem als organisaties nu bij NIS2.

Zet u chatbots of generatieve AI in richting klanten of publiek? Dan geldt de transparantieplicht over enkele weken. Dit is de deadline die in de berichtgeving over het uitstel ondersneeuwt, en precies daarom de deadline waarop organisaties zich laten verrassen. Eén nuance uit het akkoord: voor de markeringsplicht van AI-gegenereerde content (Artikel 50, tweede lid) geldt een overgangstermijn tot 2 december 2026, maar alleen voor systemen die vóór 2 augustus 2026 al op de markt zijn. Wat u daarna introduceert, moet direct bij introductie voldoen.

Bent u afnemer, geen ontwikkelaar? Ook dan kunnen verplichtingen gelden. Deployers van hoog-risico-AI moeten onder meer de gebruiksinstructies volgen, passend menselijk toezicht organiseren en beschikbare logs bewaren; voor bepaalde toepassingen komt daar een grondrechteneffectbeoordeling of transparantieplicht bij. "Wij bouwen zelf geen AI" is geen vrijstelling.

AI Act en NIS2: één governance-vraagstuk

Voor organisaties die ook onder de Cyberbeveiligingswet vallen, loont het om AI Act en NIS2 niet als losse dossiers te behandelen. AI-systemen draaien op netwerk- en informatiesystemen en verwerken vaak bedrijfskritische of gevoelige gegevens. Daarmee raken AI-risico's direct aan de risicoanalyse, het leveranciersbeheer en de incidentprocessen die de Cbw-zorgplicht vraagt. Wie beide regimes vanuit dezelfde architectuur en hetzelfde risicomodel bedient, voorkomt dubbele structuren en tegenstrijdige keuzes.

Voor de samenhang met de zorgplicht, zie NIS2 en de Cyberbeveiligingswet (Cbw) en Security architectuur.

Wat organisaties nu moeten organiseren

  1. Classificatie. Welke AI-systemen gebruikt of levert uw organisatie, en in welke risicocategorie vallen ze? Dit is de basis; zonder inventarisatie geen compliance.
  2. Prioritering op de tijdlijn. Wat moet vóór 2 augustus 2026 staan (transparantie), wat vóór december 2027 (hoog risico Bijlage III), en wat kan mee in de reguliere cyclus?
  3. Integratie met uw security-governance. AI-risico's inbedden in uw bestaande risicomanagement, leveranciersbeheer en architectuur, in plaats van een parallel compliance-spoor op te tuigen.

AI-governance is geen losse dienst op deze site, maar raakt twee van mijn kernproposities: de architectuurkant en de governance- en aantoonbaarheidskant.

AI-risico's borgen in uw architectuur? Bekijk de dienst Security-architectuur →

Liever de governance- en compliancekant? Bekijk de dienst GRC en ISO 27001 →

Veelgestelde vragen over de EU AI Act

Is de AI Act al van kracht?

Ja, sinds 1 augustus 2024, met gefaseerde inwerkingtreding. Verboden praktijken en AI-geletterdheid gelden sinds februari 2025, GPAI-regels sinds augustus 2025. De hoog-risico-verplichtingen volgen in december 2027 (Bijlage III) en augustus 2028 (Bijlage I).

Is het uitstel definitief?

Ja. Het Europees Parlement stemde op 16 juni 2026 in en de Raad gaf op 29 juni 2026 zijn definitieve goedkeuring. Na publicatie in het Publicatieblad treden de wijzigingen drie dagen later in werking. Tot dat moment geldt formeel nog 2 augustus 2026, maar de nieuwe data staan vast.

Wij gebruiken alleen AI van leveranciers. Geldt de wet dan voor ons?

Ja, al hangt de zwaarte af van uw rol en het type systeem. De AI-geletterdheidsplicht geldt in elk geval. Bij hoog-risico-AI komen daar voor deployers eisen bij rond gebruik volgens de instructies, menselijk toezicht, monitoring en logging; bij chatbots en generatieve content gelden specifieke transparantieverplichtingen. Daarnaast blijft u verantwoordelijk voor de keuze en beoordeling van uw leveranciers.

Valt onze chatbot of generatieve AI onder de wet?

Vrijwel zeker onder de transparantieplicht van Artikel 50, die op 2 augustus 2026 ingaat. Die plicht verschilt per rol: systemen die rechtstreeks met personen interacteren moeten kenbaar maken dat sprake is van AI, aanbieders van generatieve AI markeren synthetische output machineleesbaar, en deployers maken deepfakes en bepaalde AI-teksten over onderwerpen van publiek belang herkenbaar bekend. Alleen voor de markeringsplicht van generatieve AI die vóór 2 augustus 2026 al op de markt is, geldt een overgangstermijn tot 2 december 2026. Welke verplichting bij uw organisatie ligt, hangt mede af van de vraag of u aanbieder of gebruiksverantwoordelijke bent.

Wat moeten we nu als eerste doen?

Inventariseer uw AI-systemen en classificeer ze. Regel vóór 2 augustus 2026 de transparantieverplichtingen. Plan de hoog-risico-voorbereiding als programma richting december 2027, niet als sluitpost.

Van uitstel naar voorsprong

Het uitstel van de hoog-risico-deadlines is geen reden om AI-governance te parkeren. De transparantieplicht komt over enkele weken, de verboden gelden al, en de hoog-risico-eisen zijn omvangrijk genoeg om de extra tijd volledig nodig te hebben. Organisaties die AI Act en NIS2 vanuit één architectuur benaderen, bouwen één keer wat anders twee keer moet.

Speelt AI-governance binnen uw bredere security-, architectuur- of compliancevraagstuk? In een oriënterend gesprek brengen we de relevante verplichtingen en de aansluiting op uw bestaande governance in kaart. Plan een oriënterend gesprek.

Bronnen

  1. Verordening (EU) 2024/1689 (AI Act), gepubliceerd in het Publicatieblad op 12 juli 2024. Via EUR-Lex. ↩
  2. Europese Commissie, voorstel Digital Omnibus on AI (COM(2025) 836), 19 november 2025; voorlopig politiek akkoord tussen Raad en Europees Parlement van 7 mei 2026. ↩
  3. Raad van de Europese Unie, persbericht Artificial intelligence: Council gives final green light to simplify and streamline rules, 29 juni 2026, via consilium.europa.eu. Zie ook Eerste Kamer der Staten-Generaal, E-dossier E260003 (Digitaal pakket): het Europees Parlement keurde het akkoord op 16 juni 2026 plenair goed. Via eerstekamer.nl. ↩
  4. Aangenomen wetgevingstekst Digital Omnibus on AI, PE-CONS 30/1/26 REV 1, 8 juli 2026: verordening tot wijziging van onder meer Verordening (EU) 2024/1689, met de nieuwe toepassingsdata, de overgangstermijn voor Artikel 50, tweede lid, en het verbod op AI voor niet-consensueel intiem beeldmateriaal. Via data.consilium.europa.eu. ↩
  5. Europese Commissie, AI Act — Shaping Europe's digital future: "The vast majority of AI systems currently used in the EU fall into this category." Via digital-strategy.ec.europa.eu. ↩