Alleen klopt het maar deels. Een deel van de regels is inderdaad uitgesteld, en dat geeft organisaties meer tijd. Maar een ander deel geldt gewoon. En er zijn zelfs regels bijgekomen. Wie nu achterover leunt, loopt straks achter.
In dit blog zetten we op een rij wat er veranderd is, wat niet, en wat je nu al kunt doen.
Wat is er gebeurd?
De Europese AI-verordening, de AI Act, is in 2024 in werking getreden. De regels gaan stapsgewijs gelden, verspreid over een aantal jaren. Een belangrijke stap stond gepland voor 2 augustus 2026: de strenge eisen voor zogenoemde AI-systemen met een hoog risico.
Die datum bleek niet haalbaar. De Europese Commissie was te laat met richtlijnen, de technische normen waren niet af en veel organisaties wisten simpelweg niet waar ze aan toe waren. Daarom kwam er een aanpassingspakket: de Digital Omnibus on AI, kortweg de AI Omnibus.
Die is op 24 juli 2026 gepubliceerd en op 27 juli 2026 in werking getreden. Het is de eerste grote aanpassing van de AI Act sinds de wet er is. En hoewel vooral het uitstel in het nieuws kwam, doet de Omnibus meer dan dat.
Wat is uitgesteld?
Het uitstel gaat over hoog-risico AI. Dat zijn systemen die grote gevolgen kunnen hebben voor mensen, bijvoorbeeld bij het selecteren van sollicitanten, het beoordelen van kredietaanvragen of in kritieke infrastructuur. Voor die systemen gelden straks zware eisen op het gebied van risicobeheer, documentatie en menselijk toezicht.
| Wat | Oorspronkelijk | Nu |
| Zelfstandige AI met een hoog risico, bijvoorbeeld voor werving, onderwijs, kredietbeoordeling en kritieke infrastructuur. | 2 augustus 2026 | 2 december 2027 |
| AI met een hoog risico in gereguleerde producten, zoals medische hulpmiddelen en machines. | 2 augustus 2027 | 2 augustus 2028 |
| Watermerk op AI-gegenereerde content, voor systemen die al op de markt waren. | 2 augustus 2026 | 2 december 2026 |
Gebruik je AI voor een van deze toepassingen, dan heb je dus meer tijd. Maar let op: meer tijd betekent niet dat de eisen lichter zijn geworden. Ze gaan alleen later in.
Welke regels gelden al?
Dit is het deel dat in het nieuws vaak onderbelicht bleef. De volgende drie regels gelden nu al. Welke voor jouw organisatie van toepassing zijn, hangt af van hoe je AI gebruikt.
Verboden blijven verboden, en er zijn er bijgekomen
Sommige AI-toepassingen zijn sinds februari 2025 verboden, zoals het manipuleren van mensen of social scoring. Daar verandert niets aan. De Omnibus voegt er zelfs twee verboden aan toe: AI die realistische intieme beelden van mensen maakt zonder hun toestemming, en AI die materiaal van kindermisbruik genereert.
Transparantie: sinds 2 augustus verplicht
De transparantieregels uit artikel 50 zijn niet uitgesteld. Ze gelden sinds 2 augustus 2026. In gewone taal:
- Laat mensen weten dat ze met AI praten. Heb je een chatbot op je website of in je klantenservice, dan moet duidelijk zijn dat mensen niet met een mens praten.
- Wees open over deepfakes. Maak je met AI beelden, video of audio die echt lijken, dan moet je dat vermelden.
- Publiceer je AI-tekst over onderwerpen van algemeen belang, vermeld dat dan. Dat hoeft niet als een mens de tekst heeft gecontroleerd en iemand er redactioneel verantwoordelijk voor is.
Dat laatste punt is precies waarom wij in onze nieuwsbrief schrijven dat AI helpt, maar dat de eindredactie mensenwerk blijft.
AI-geletterdheid: afgezwakt, maar niet weg
Tot de zomer moesten organisaties zorgen dat hun medewerkers voldoende kennis hadden van AI. De Omnibus heeft die verplichting afgezwakt. Je moet nu maatregelen nemen om de AI-kennis van je medewerkers te ondersteunen, maar je hoeft geen bepaald niveau te garanderen.
Dat klinkt als een vrijbrief, maar dat is het niet. De plicht geldt nog steeds, voor iedere organisatie die AI inzet. Ook als het ‘alleen maar’ om Copilot of ChatGPT gaat.
Wat kun je nu al doen?
Het goede nieuws: je hoeft niet in één keer alles te regelen. Begin met deze vijf stappen.
- Breng in kaart welke AI-tools worden gebruikt. Kijk niet alleen naar de tools die IT heeft uitgerold, maar ook naar wat medewerkers zelf gebruiken. Je kunt geen beleid maken voor iets waarvan je niet weet dat het er is.
- Bepaal per toepassing het risico. De meeste AI in een gemiddelde organisatie valt niet onder AI met een hoog risico. Maar gebruik je AI bij werving of om klanten te beoordelen, dan gaat het wel om AI met een hoog risico. Weet in welke categorie jouw toepassing valt.
- Check je klantcontact. Heb je een chatbot of AI-assistent die met klanten praat? Zorg dan dat het duidelijk is dat het om AI gaat. Dat is sinds 2 augustus verplicht.
- Regel AI-kennis bij je medewerkers. Denk aan een korte training, duidelijke richtlijnen en een aanspreekpunt. Het hoeft niet groots te zijn, maar je moet wel kunnen laten zien wat je hebt geregeld.
- Leg vast wat je doet. Maak een eenvoudig overzicht van je AI-toepassingen, de risico’s en de maatregelen die je hebt genomen. Daar heb je straks veel aan, ook als de eisen voor AI met een hoog risico ingaan.
Ons oordeel
Het uitstel is verstandig. Organisaties hadden geen eerlijke kans om op tijd klaar te zijn, en dat lag niet alleen aan hen. Maar de manier waarop het in het nieuws kwam, zet mensen op het verkeerde been. De AI Act staat niet stil. De richting is hetzelfde gebleven, alleen het tempo is aangepast.
Wat ons betreft is dit het moment om rustig orde op zaken te stellen. Niet uit angst voor boetes, maar omdat je toch wilt weten welke AI-toepassingen er in je organisatie worden gebruikt en wat die doen. Dat is gewoon goed beheer. En wie nu begint, hoeft in 2027 niet in paniek te raken.
Wil je weten waar jouw organisatie staat? Met onze Shadow AI-rapportage zie je in korte tijd welke AI-tools er gebruikt worden en waar de risico’s zitten. Neem gerust contact met ons op.
Dit blog is geen juridisch advies. Twijfel je of een toepassing onder AI met een hoog risico valt, laat dat dan juridisch toetsen.