De AI Act is vorige week gewijzigd: hoog risico kreeg uitstel, transparantie niet
Als je de afgelopen maanden hebt gelezen dat je vóór 2 augustus 2026 klaar moest zijn met je hoog-risicodossier: dat is sinds vier dagen niet meer waar. De Digital Omnibus is op 24 juli 2026 gepubliceerd en op 27 juli in werking getreden. Wat er precies verschuift, wat er juist niet verschuift, en wat ik met die extra tijd zou doen.
Wat er is veranderd
De Europese Commissie stelde in november 2025 voor om een deel van de AI-verordening te verzachten en uit te stellen, omdat de Europese normalisatie-instituten hun technische standaarden niet tijdig af hadden. Zonder die standaarden kan een bedrijf niet aantonen dat het aan de eisen voldoet, en kan een toezichthouder er ook niet goed op handhaven. Raad en Parlement bereikten daar op 7 mei 2026 een akkoord over. Dat akkoord is nu geldend recht. Concreet: de verplichtingen voor hoog-risicosystemen uit bijlage III schuiven van 2 augustus 2026 naar 2 december 2027, en voor AI die is ingebouwd in gereguleerde producten van 2 augustus 2027 naar 2 augustus 2028. Dat is zestien maanden extra voor de categorie met het zwaarste regime.
Wat op 2 augustus 2026 wél ingaat
De transparantieregels van artikel 50 worden op die datum afdwingbaar, en dat is de eerstvolgende harde deadline. Praat een klant met een chatbot of een telefonische assistent, dan moet hij weten dat het geen mens is. Publiceer je tekst, beeld, audio of video die door AI is gemaakt, dan moet dat herkenbaar zijn. Dit raakt veel meer bedrijven dan het hoog-risicoregime, want vrijwel iedereen die AI gebruikt zit in deze categorie. Het goede nieuws: dit is geen dossier van zes maanden. Het is een regel tekst voordat het gesprek begint, een label bij gegenereerde content, en een route naar een mens als de gebruiker daarom vraagt. Voor de meeste organisaties is dit een dag werk. Wie het niet regelt, overtreedt vanaf zondag wel gewoon de wet.
Wat er niet is veranderd
Drie dingen blijven staan. Verboden praktijken zijn sinds 2 februari 2025 niet toegestaan: sociale scoring, gedrag onbewust manipuleren en emotieherkenning bij medewerkers of leerlingen horen daarbij. Daar is geen uitstel voor en er komt geen overgangstermijn. De plicht om te zorgen dat je mensen weten wat AI wel en niet kan, geldt ook sinds februari 2025; de Omnibus heeft de formulering iets verzacht maar de verplichting is er nog. En de regels voor aanbieders van algemene AI-modellen gelden sinds 2 augustus 2025. Bovendien: de AVG is helemaal niet gewijzigd. In de praktijk lopen bedrijven negen van de tien keer eerder tegen een AVG-probleem aan dan tegen de AI-verordening.
Wie er in Nederland op gaat handhaven
Nederland heeft gekozen voor toezicht via bestaande, sectorale toezichthouders: onder andere de Autoriteit Persoonsgegevens, de Rijksinspectie Digitale Infrastructuur, de ACM, de AFM, De Nederlandsche Bank, de Nederlandse Arbeidsinspectie en de IGJ. De AP krijgt een coördinerende rol en wordt het vangnet voor toepassingen zonder duidelijke sectorale thuishaven, met een eigen AI-bestuurder. Dat wordt vastgelegd in de Uitvoeringswet AI-verordening, waarvan de openbare consultatie op 1 juni 2026 is gesloten. Voor jou betekent dat vooral iets praktisch: je krijgt te maken met de toezichthouder die je al kent. Werk je in de zorg, dan is dat de IGJ. In de financiële sector de AFM of DNB. De boetes lopen bij verboden praktijken op tot 35 miljoen euro of zeven procent van de wereldwijde omzet, met lagere maxima voor kleine bedrijven. Dat bedrag is niet realistisch voor een MKB-organisatie, maar reputatieschade en een verplichte stopzetting zijn dat wel.
Wat ik met die zestien maanden zou doen
Niet wachten. De praktijk is dat een risicobeoordeling, technische documentatie, ingericht menselijk toezicht en een eventuele conformiteitsbeoordeling samen zes tot twaalf maanden kosten. Wie in de zomer van 2027 begint, is te laat. Wat wél verstandig is: gebruik de ruimte om het goed te doen in plaats van snel. Begin met een inventarisatie, dat is een lijst met per AI-toepassing het doel, de leverancier, welke gegevens erin gaan en wie de uitkomst controleert. Die lijst is de basis voor elke volgende stap en de meeste organisaties hebben hem niet. Bepaal daarna per toepassing je rol: bouw je het zelf, dan ben je aanbieder; gebruik je een tool van een ander, dan ben je gebruiksverantwoordelijke. Dat onderscheid bepaalt welke verplichtingen op jou rusten, en het wordt vaak verkeerd ingeschat: ook als gebruiker van een tool van iemand anders heb je eigen verplichtingen.
En de valkuil van uitstel
Uitstel voelt als lucht, maar er zit een risico in. De ingangsdatum is nu deels afhankelijk gemaakt van de vraag of standaarden en richtsnoeren beschikbaar zijn, en de Commissie houdt de mogelijkheid om verplichtingen alsnog eerder te laten gelden. Dat maakt de planning minder voorspelbaar dan een harde datum. Wie zijn inventarisatie en classificatie nu op orde brengt, kan met elke wijziging meebewegen. Wie wacht op duidelijkheid, moet straks in een paar maanden doen waar anderen anderhalf jaar voor hadden.
De korte versie
Hoog risico: 2 december 2027 in plaats van 2 augustus 2026. Transparantie: 2 augustus 2026, dat blijft staan. Verboden praktijken en AI-geletterdheid: gelden al sinds februari 2025. AVG: onveranderd. Begin met een inventarisatie van je AI-toepassingen en bepaal per stuk of je aanbieder of gebruiker bent.