De EU AI Act: verplichtingen, deadlines en wat de Digital Omnibus verandert
De EU AI Act (Verordening 2024/1689) reguleert AI-systemen op basis van hun risico's. De AI Omnibus, Verordening (EU) 2026/1744, is sinds 27 juli 2026 van kracht. De belangrijkste hoog-risicoverplichtingen gelden vanaf 2 december 2027 voor systemen onder artikel 6, tweede lid, en Bijlage III, en vanaf 2 augustus 2028 voor systemen onder artikel 6, eerste lid, en Bijlage I. De transparantieverplichtingen van artikel 50 gelden in hoofdzaak al sinds 2 augustus 2026.
De AI Act is sinds 1 augustus 2024 van kracht en wordt gefaseerd van toepassing.1 De oorspronkelijke verboden AI-praktijken (artikel 5) en de verplichting rond AI-geletterdheid (artikel 4) gelden sinds 2 februari 2025. De verplichtingen voor aanbieders van general-purpose AI-modellen (GPAI) gelden sinds 2 augustus 2025. Voor modellen die vóór die datum op de markt zijn gebracht, geldt een overgang tot 2 augustus 2027.
Voor hoog-risico-AI is de planning definitief gewijzigd. De Europese Commissie stelde in november 2025 vereenvoudigingen en uitstel voor, mede vanwege vertraging bij de standaarden en uitvoeringskaders.2 De uiteindelijke wijzigingsverordening, de AI Omnibus (Verordening (EU) 2026/1744), is op 24 juli 2026 gepubliceerd en sinds 27 juli 2026 van kracht. De belangrijkste verplichtingen voor hoog-risicosystemen onder artikel 6, tweede lid, en Bijlage III gelden vanaf 2 december 2027. Voor systemen onder artikel 6, eerste lid, en Bijlage I is dat 2 augustus 2028.3
De AI Omnibus heeft ook artikel 4 aangepast. Aanbieders en gebruiksverantwoordelijken moeten maatregelen nemen die de ontwikkeling van AI-geletterdheid ondersteunen bij medewerkers en anderen die namens hen met AI werken. Die maatregelen moeten aansluiten op hun kennis, ervaring, de toepassing en de personen op wie de AI wordt toegepast. De wet verlangt geen garantie op een bepaald kennisniveau van ieder individu.4
Kern: De transparantieverplichtingen van artikel 50 gelden in hoofdzaak sinds 2 augustus 2026. De overgang tot 2 december 2026 geldt uitsluitend voor de machineleesbare markeringsplicht uit artikel 50, tweede lid, voor aanbieders van systemen die synthetische content genereren en vóór 2 augustus 2026 op de markt zijn gebracht. Chatbotmeldingen en de openbaarmaking van deepfakes door gebruiksverantwoordelijken zijn daarmee niet algemeen uitgesteld.
De risicocategorieën in het kort
De AI Act reguleert AI-systemen op basis van het risico dat zij vormen. In de praktijk worden vier niveaus onderscheiden:
- Onaanvaardbaar risico (artikel 5): verboden. Hieronder vallen onder meer de in artikel 5 omschreven vormen van social scoring, manipulatieve technieken en het ongericht verzamelen van gezichtsbeelden voor herkenningsdatabases. De oorspronkelijke verboden gelden sinds 2 februari 2025. De AI Omnibus voegt per 2 december 2026 specifieke verboden toe rond het genereren of manipuleren van niet-consensueel intiem materiaal en materiaal van seksueel kindermisbruik. Voor aanbieders gaat het om systemen die daarvoor zijn bedoeld, of die dit onder de wettelijke voorwaarden voorzienbaar en reproduceerbaar mogelijk maken zonder passende waarborgen. Voor gebruiksverantwoordelijken gaat het om doelgericht gebruik voor die doeleinden.4
- Hoog risico (artikel 6, Bijlage I en III): toegestaan onder strikte eisen. Denk aan bepaalde AI-toepassingen voor werving en selectie, kredietwaardigheid, onderwijs, kritieke infrastructuur en rechtshandhaving (Bijlage III), en aan AI als product of veiligheidscomponent binnen de toepasselijke productwetgeving (Bijlage I). De classificatie volgt uit de voorwaarden en uitzonderingen van artikel 6. Het stelsel stelt onder meer eisen aan risicobeheersing, datakwaliteit, technische documentatie, menselijk toezicht en conformiteitsbeoordeling. Welke verplichtingen uw organisatie heeft, hangt ook af van haar rol.
- Beperkt risico (artikel 50): transparantieverplichtingen. Aanbieders moeten bij rechtstreekse interactie met personen waar vereist kenbaar maken dat sprake is van AI en synthetische output waar vereist machineleesbaar markeren. Gebruiksverantwoordelijken hebben eigen informatieplichten, onder meer bij emotieherkenning, biometrische categorisering, deepfakes en bepaalde AI-teksten over onderwerpen van publiek belang. De plichten en uitzonderingen verschillen per toepassing.
- Minimaal risico: geen aanvullende verplichtingen vanuit de risicoclassificatie. Horizontale verplichtingen, zoals maatregelen ter ondersteuning van AI-geletterdheid, blijven binnen de reikwijdte van de wet wel gelden. Volgens de Europese Commissie valt de overgrote meerderheid van AI-systemen in deze categorie.5
Deze indeling helpt bij de eerste beoordeling. Transparantieverplichtingen kunnen ook naast de eisen voor hoog-risico-AI gelden; de categorieën vormen dus geen volledig gescheiden regimes.
De tijdlijn na de Digital Omnibus
De extra tijd voor hoog-risico-AI laat de belangrijkste eisen aan risicobeheersing, documentatie en menselijk toezicht overeind. De vertraagde beschikbaarheid van standaarden en uitvoeringskaders was aanleiding voor het uitstel. Het Omnibus-pakket bevat daarnaast inhoudelijke vereenvoudigingen en wijzigingen, waaronder de aangepaste AI-geletterdheidsplicht, ruimere mogelijkheden voor sandboxes en veranderingen in de bevoegdheden van het AI Office.4
Wat dit betekent voor uw organisatie
Gebruikt u AI voor werving en selectie, kredietwaardigheidsbeoordeling, toegang tot essentiële diensten of andere besluiten met aanzienlijke gevolgen voor personen? Dan kan uw toepassing onder Bijlage III vallen. Bepaal de classificatie nu aan de hand van doel, context en de voorwaarden en uitzonderingen van artikel 6. De belangrijkste verplichtingen gelden vanaf 2 december 2027; voor bestaande systemen kunnen overgangsbepalingen relevant zijn. Breng in kaart welke eisen bij de leverancier liggen en wat uw eigen organisatie moet regelen rond het gebruik, de gegevens en het menselijk toezicht.
Zet u chatbots of generatieve AI in richting klanten of publiek? Toets dan of u voldoet aan de toepasselijke verplichtingen van artikel 50. Aanbieders moeten bij directe interactie met personen de vereiste herkenbaarheid als AI organiseren en synthetische output waar vereist machineleesbaar markeren. Gebruiksverantwoordelijken hebben eigen informatieplichten, onder meer bij deepfakes en bepaalde AI-teksten over onderwerpen van publiek belang. Bij die teksten kan een uitzondering gelden wanneer menselijke beoordeling of redactionele controle plaatsvindt en een natuurlijke of rechtspersoon de redactionele verantwoordelijkheid voor de publicatie draagt.
De overgang tot 2 december 2026 geldt uitsluitend voor de markeringsplicht uit artikel 50, tweede lid, voor aanbieders van systemen die vóór 2 augustus 2026 op de markt zijn gebracht. Voor systemen die vanaf die datum op de markt komen, geldt die verplichting direct. De datum waarop uw organisatie een systeem gaat gebruiken, is dus niet op zichzelf bepalend voor deze overgang. Gebruik de richtsnoeren van de Europese Commissie om de toepasselijke plichten en uitzonderingen per toepassing vast te stellen.4
Bent u afnemer, geen ontwikkelaar? Ook dan kunnen verplichtingen gelden. Als gebruiksverantwoordelijke moet u nu al de toepasselijke verboden, de verplichting rond AI-geletterdheid en eventuele transparantieplichten naleven. Vanaf de toepasselijke datum moeten gebruiksverantwoordelijken van hoog-risico-AI onder meer de gebruiksinstructies volgen, passend menselijk toezicht organiseren en beschikbare logs bewaren. Voor bepaalde organisaties en toepassingen komt daar een grondrechteneffectbeoordeling bij. Leg vast welke rol uw organisatie heeft en wat u zelf en met de leverancier moet organiseren.
AI Act en NIS2: één governance-vraagstuk
Voor organisaties die ook onder de Cyberbeveiligingswet vallen, loont het om de samenhang met de AI Act te organiseren. AI-systemen draaien op netwerk- en informatiesystemen en verwerken vaak bedrijfskritische of gevoelige gegevens. Daarmee raken AI-risico's aan de risicoanalyse, het leveranciersbeheer en de incidentprocessen die de Cbw-zorgplicht vraagt. Een gezamenlijke inrichting kan dubbel werk beperken en tegenstrijdige keuzes voorkomen. Beide wetten houden wel hun eigen reikwijdte, verantwoordelijkheden en verplichtingen; de AI Act vraagt ook aandacht voor gevolgen voor personen en hun grondrechten.
Voor de samenhang met de zorgplicht, zie NIS2 en de Cyberbeveiligingswet (Cbw) en Security architectuur.
Wat organisaties nu moeten organiseren
- Classificatie en verantwoordelijkheid. Welke AI-systemen gebruikt of levert uw organisatie, voor welk doel en met welke gevolgen voor personen? Leg per toepassing de risicoclassificatie, uw rol en de verantwoordelijke binnen uw organisatie vast. Bepaal vervolgens welke verplichtingen bij u en welke bij de leverancier liggen.
- Prioritering op de tijdlijn. Controleer eerst de verplichtingen die al gelden: de oorspronkelijke verboden, maatregelen ter ondersteuning van AI-geletterdheid en de toepasselijke transparantieplichten. Bereid waar relevant de nieuwe verboden per 2 december 2026 voor. Voor aanbieders die onder de beperkte overgang voor artikel 50, tweede lid, vallen, is dit ook de uiterste datum voor machineleesbare markering. Plan de voorbereiding op de belangrijkste hoog-risicoverplichtingen richting 2 december 2027 (artikel 6, tweede lid, en Bijlage III) of 2 augustus 2028 (artikel 6, eerste lid, en Bijlage I). Beoordeel daarbij eventuele overgangsbepalingen voor bestaande systemen.
- Integratie met uw security-governance. Neem AI-risico's op in uw risicomanagement, leveranciersbeheer en architectuur. Voeg de vereiste beoordeling van gevolgen voor personen, het menselijk toezicht en de specifieke documentatie toe. Maak afspraken over besluitvorming, wijzigingen en incidenten, met behoud van de afzonderlijke wettelijke meldplichten.
De aansluiting van AI-governance op uw organisatie raakt twee van mijn kernproposities: security-architectuur en governance, risico en aantoonbaarheid.
AI-risico's borgen in uw architectuur? Bekijk de dienst Security-architectuur →
Liever de governance- en compliancekant? Bekijk de dienst GRC en ISO 27001 →
Veelgestelde vragen over de EU AI Act
Is de AI Act al van kracht?
Ja, sinds 1 augustus 2024. De verplichtingen worden gefaseerd van toepassing. De oorspronkelijke verboden en de verplichting rond AI-geletterdheid gelden sinds 2 februari 2025; de AI Omnibus heeft de formulering van die laatste verplichting gewijzigd. De regels voor aanbieders van GPAI-modellen gelden sinds 2 augustus 2025, met een overgang tot 2 augustus 2027 voor modellen die vóór 2 augustus 2025 op de markt zijn gebracht. Artikel 50 geldt in hoofdzaak sinds 2 augustus 2026. De belangrijkste hoog-risicoverplichtingen volgen op 2 december 2027 voor Bijlage III en 2 augustus 2028 voor Bijlage I, met afzonderlijke overgangsbepalingen voor bepaalde bestaande systemen.1, 4
Is het uitstel definitief?
Ja. De AI Omnibus, Verordening (EU) 2026/1744, is op 24 juli 2026 in het Publicatieblad gepubliceerd en op 27 juli 2026 in werking getreden. De gewijzigde toepassingsdata staan daarmee in de geldende wetgeving. Het uitstel voor hoog-risico-AI is geen algemeen uitstel van de AI Act.3
Wij gebruiken alleen AI van leveranciers. Geldt de wet dan voor ons?
Bij zakelijk gebruik bent u doorgaans gebruiksverantwoordelijke, ook wel deployer genoemd. Binnen de reikwijdte van de wet moet u maatregelen nemen die de ontwikkeling van AI-geletterdheid ondersteunen bij mensen die namens u met AI werken. De maatregelen moeten passen bij hun kennis, ervaring en de toepassing; u hoeft geen individueel kennisniveau te garanderen. Daarnaast gelden de toepasselijke verboden en eventuele transparantieplichten. Bij hoog-risico-AI komen vanaf de toepasselijke datum verplichtingen bij rond onder meer gebruiksinstructies, menselijk toezicht, monitoring en het bewaren van beschikbare logs. Leg met uw leverancier vast welke informatie en ondersteuning daarvoor nodig zijn.4
Valt onze chatbot of generatieve AI onder de wet?
Dat hangt af van de toepassing en uw rol. Artikel 50 kan transparantieverplichtingen opleggen aan zowel aanbieders als gebruiksverantwoordelijken. Aanbieders moeten bij rechtstreekse interactie waar vereist herkenbaar maken dat sprake is van AI en synthetische output waar vereist machineleesbaar markeren. Gebruiksverantwoordelijken moeten onder meer deepfakes en bepaalde AI-teksten over onderwerpen van publiek belang als zodanig bekendmaken. Voor die teksten geldt een uitzondering bij menselijke beoordeling of redactionele controle én redactionele verantwoordelijkheid van een natuurlijke of rechtspersoon. Deze verplichtingen gelden in hoofdzaak sinds 2 augustus 2026.
De overgang tot 2 december 2026 geldt uitsluitend voor de machineleesbare markeringsplicht uit artikel 50, tweede lid, voor aanbieders van systemen die synthetische content genereren en vóór 2 augustus 2026 op de markt zijn gebracht. Het is geen algemene vrijstelling voor bestaande chatbots of voor de publicatie van deepfakes.4
Wat moeten we nu als eerste doen?
Inventariseer uw AI-systemen, classificeer de toepassingen en bepaal uw rol. Controleer direct of u aan de al geldende verplichtingen voldoet. Leg eventuele tekortkomingen, herstelacties en verantwoordelijken vast. Neem vervolgens de relevante deadlines en benodigde voorbereidingen op in uw planning voor leveranciers, architectuur en governance.
Van uitstel naar voorsprong
De extra tijd voor hoog-risico-AI biedt ruimte om verantwoordelijkheden, leveranciersafspraken en menselijk toezicht zorgvuldig in te richten. Ondertussen gelden de oorspronkelijke verboden, de aangepaste verplichting rond AI-geletterdheid en de belangrijkste transparantieplichten al. Begin bij de toepassingen die uw organisatie daadwerkelijk gebruikt en de besluiten die daarmee worden genomen. Door AI Act en NIS2 vanuit dezelfde architectuur en governance te benaderen, kunt u bestaande processen benutten en gericht aanvullen waar de AI Act meer vraagt.
Speelt AI-governance binnen uw bredere security-, architectuur- of compliancevraagstuk? In een oriënterend gesprek brengen we de relevante verplichtingen en de aansluiting op uw bestaande governance in kaart. Plan een oriënterend gesprek.
Bronnen
- Verordening (EU) 2024/1689 (AI Act), gepubliceerd op 12 juli 2024 en in werking sinds 1 augustus 2024. Onder meer artikelen 4, 5, 50, 111 en 113. Lees de oorspronkelijke tekst samen met de wijzigingsverordening bij bron 3. Via EUR-Lex. ↩
- Europese Commissie, Digital Omnibus on AI Regulation Proposal, COM(2025) 836, 19 november 2025. Dit is het oorspronkelijke voorstel; de definitieve wijzigingsverordening staat bij bron 3. Via digital-strategy.ec.europa.eu. ↩
- Verordening (EU) 2026/1744 van 8 juli 2026 (AI Omnibus), gepubliceerd op 24 juli 2026 en in werking sinds 27 juli 2026. De definitieve wijzigingsverordening bevat onder meer de nieuwe toepassingsdata voor hoog-risico-AI. Via EUR-Lex. Zie ook het Commissie-bericht AI Omnibus enters into force. ↩
- Verordening (EU) 2026/1744, artikel 1, punten 5, 7, 39 en 40: gewijzigde AI-geletterdheidsplicht, aanvullende verboden, overgang voor artikel 50, tweede lid, en toepassingsdata. Via EUR-Lex. Voor de uitleg van artikel 50 en de verdeling van transparantieverplichtingen: Europese Commissie, Guidelines on transparency obligations. ↩
- Europese Commissie, AI Act — Shaping Europe's digital future, toelichting op de risicocategorieën. Volgens de Commissie valt de overgrote meerderheid van AI-systemen in de EU in de categorie minimaal risico. Via digital-strategy.ec.europa.eu. ↩