De AI Act na de Digital Omnibus: wat verandert er voor je organisatie, en wanneer

Wat is de Digital Omnibus?

De Omnibus is een gerichte vereenvoudiging van de AI Act en geldt sinds 27 juli 2026 in de hele EU.

De Digital Omnibus on AI is een Europese verordening die de AI Act op een aantal punten wijzigt. De Commissie noemt het een “targeted simplification”, een gerichte vereenvoudiging van de AI-regels. Het verloop, volgens de Europese Commissie:

• 19 november 2025
  de Commissie presenteerde het voorstel, als deel van een breder pakket om digitale regels eenvoudiger te maken.
• 7 mei 2026
  het Europees Parlement en de Raad van de EU bereikten een politiek akkoord. De Commissie wees erop dat dit “only five months”, amper vijf maanden, na haar voorstel was.
• 27 juli 2026
  de gewijzigde regels traden in werking in de hele EU. De Commissie verwijst naar de definitieve tekst in het Publicatieblad van de Europese Unie.

De AI Act Service Desk van de Commissie toont de AI Act inmiddels in de versie “as at 27 July 2026”, met de wijzigingen gemarkeerd.

Welke termijnen schoven op?

De regels voor AI met een hoog risico gelden nu vanaf 2 december 2027 en 2 augustus 2028.

De belangrijkste wijziging gaat over AI met een hoog risico. Oorspronkelijk zouden die regels gelden vanaf 2 augustus 2026 en 2 augustus 2027, volgens de AI Act Service Desk. Na de Omnibus staan in artikel 113 twee nieuwe, vaste data:

• 2 december 2027
  voor AI-systemen met een hoog risico uit bijlage III. De Commissie noemt gebieden zoals biometrie, kritieke infrastructuur, onderwijs, werk, migratie, asiel en grenscontrole. Ook AI voor toegang tot essentiële diensten hoort erbij, zoals een kredietscore die iemand een lening kan kosten.
• 2 augustus 2028
  voor AI met een hoog risico die deel is van producten waarvoor Europese productregels gelden (bijlage I). De voorbeelden van de Commissie zijn liften en speelgoed.

Vanaf die data gelden strenge verplichtingen. De Commissie noemt onder meer het vastleggen van wat het systeem doet (logging), zodat resultaten te herleiden zijn, en passend menselijk toezicht. Waarom het uitstel? Volgens de Commissie moet deze volgorde ervoor zorgen dat technische normen en andere hulpmiddelen klaar zijn “before the rules start to apply”, dus voordat de regels gaan gelden. Op 19 oktober 2026 publiceerde de Commissie in het Publicatieblad de verwijzing naar de eerste geharmoniseerde norm voor de AI Act: EN 18286:2026, over kwaliteitsmanagement. Wie deze norm toepast, wordt vermoed te voldoen aan artikel 17. Meer normen worden “expected to follow”.

Een detail voor systemen die al in gebruik zijn. Volgens artikel 111 vallen AI-systemen met een hoog risico die vóór de nieuwe data op de markt kwamen, alleen onder de regels als hun ontwerp daarna ingrijpend verandert. Voor systemen die bedoeld zijn voor gebruik door de overheid geldt een harde einddatum: zij moeten uiterlijk 2 augustus 2030 voldoen.

→ Lees ook: AI bij de overheid: wat gemeenten en het Rijk nu doen, en wat de AI Act vraagt

Wat werd er van het voorstel?

Het voorstel koppelde de start aan normen, de definitieve tekst noemt vaste data.

Hier gaan veel oudere samenvattingen de mist in: ze beschrijven het voorstel, niet de wet.

Het voorstel (november 2025). De Commissie wilde de start van de regels voor hoog risico koppelen aan de beschikbaarheid van normen en hulpmiddelen. Wel met een einddatum, volgens de AI Act Service Desk: de regels voor bijlage III zouden “maximum 16 months later than originally envisaged” gelden, de regels voor bijlage I hoogstens 12 maanden later.

De definitieve tekst (juli 2026). In de wet zelf is die koppeling aan normen vervangen door vaste data. Artikel 113 noemt nu 2 december 2027 en 2 augustus 2028. Die data komen overeen met het maximale uitstel uit het voorstel. Volgens de Commissie geeft het akkoord “a clear implementation timeline”, een duidelijk tijdpad. Lees je dat de regels voor hoog risico ingaan “zodra de normen klaar zijn”, dan gaat die tekst dus over het voorstel.

Wat nu met AI-geletterdheid?

AI-geletterdheid blijft verplicht, maar de wet eist geen vast niveau meer.

AI-geletterdheid raakt bijna elke organisatie. De plicht geldt namelijk voor alle aanbieders van AI-systemen en alle organisaties die AI-systemen inzetten, niet alleen voor systemen met een hoog risico. Het gewijzigde artikel 4 zegt nog steeds dat aanbieders en gebruikers van AI-systemen maatregelen nemen om de AI-geletterdheid te bevorderen van hun personeel en van anderen die namens hen met AI werken. Nieuw is de zin dat deze plicht niet vereist dat organisaties “any specific level of AI literacy of any individual” garanderen.

De Commissie vat het in haar vragen en antwoorden over AI-geletterdheid zo samen: AI-geletterdheid blijft een verplichting, “but no specific - or ‘sufficient’ - level is mandated”. Wat dat in de praktijk betekent, volgens dezelfde vragen en antwoorden:

• De plicht geldt sinds 2 februari 2025. Nationale markttoezichthouders houden er vanaf 2 augustus 2026 toezicht op en kunnen handhaven.
• Een certificaat is niet nodig. Intern bijhouden welke trainingen je geeft, kan wel.
• Er is geen verplichte vorm en geen verplichte training. Wat passend is, hangt af van de rol van de organisatie, het risico van de AI-systemen en de kennis van de mensen die ermee werken.
• Wie AI-systemen met een hoog risico inzet, moet er nog steeds voor zorgen dat medewerkers zijn opgeleid om menselijk toezicht te houden. Die plicht “remains in place”.

Wat er nog niet is. Volgens artikel 4 publiceert de Commissie praktijkvoorbeelden en stelt de Europese AI Board aanbevelingen op. Voor zover deze bronnen laten zien, is geen van beide verschenen. De Commissie heeft wel een verzameling praktijkvoorbeelden, maar overnemen daarvan betekent volgens haar niet automatisch dat je aan de regels voldoet. AI-geletterdheid is daarmee meer een vraag voor de directie dan een vinkje voor HR. Zie ook leiderschap in het AI-tijdperk: ethische valkuilen vermijden.

Wat deed de Omnibus nog meer?

De Omnibus verbiedt ook ‘nudify’-apps en geeft groeiende bedrijven meer ruimte.

Volgens het overzicht van de Commissie doet de Omnibus ook het volgende:

• Een verbod op ‘nudify’-apps.
  Een nieuw verbod geldt voor AI-systemen die zonder toestemming seksueel expliciete beelden maken, en voor beelden van seksueel misbruik van kinderen. Volgens het tijdpad van de Service Desk geldt dit verbod vanaf 2 december 2026.
• Meer ruimte voor groeiende bedrijven.
  Een aantal vereenvoudigde regels voor het mkb, zoals eenvoudigere technische documentatie, geldt nu ook voor kleine midcaps. In de voorstelfase schatte de Commissie dat dit de invoering makkelijker maakt voor “an additional 8,250 companies in Europe”. Dat is een schatting, geen meting.
• Meer proeftuinen.
  Meer bedrijven krijgen toegang tot regulatory sandboxes, proeftuinen onder toezicht, ook op Europees niveau. Volgens het tijdpad van de Service Desk moet elke lidstaat uiterlijk 2 augustus 2027 minstens één zo’n proeftuin hebben.
• Eenvoudiger registratie.
  In de woorden van de Commissie vereenvoudigt de Omnibus de plicht om vrijgestelde AI-systemen te registreren in de centrale EU-databank.
• Ruimte om vooroordelen op te sporen.
  Bijzondere persoonsgegevens mogen worden verwerkt om vooroordelen (bias) op te sporen en te corrigeren, maar volgens artikel 4a alleen als dat strikt noodzakelijk is en onder passende waarborgen.
• Een sterker AI Office.
  Het AI Office van de Commissie krijgt meer toezicht op bepaalde AI-systemen, zoals systemen in grote onlineplatforms en zoekmachines.
• Minder dubbele regels.
  De verhouding tussen de AI Act en andere Europese wetten, vooral de Machineverordening, is verduidelijkt.

Wat is er niet veranderd?

De verboden, de transparantieregels en de regels voor AI voor algemene doeleinden bleven staan.

Heel veel. De verboden. De verboden 1 tot en met 8, zoals social scoring en emotieherkenning op de werkplek en in het onderwijs, gelden sinds februari 2025, volgens de Commissie. De Omnibus voegde er een negende aan toe. Transparantie. De transparantieregels in artikel 50 gelden vanaf augustus 2026. Mensen moeten weten dat ze met AI communiceren, tenzij dat duidelijk is, en deepfakes moeten worden gemeld. Er is één overgangsregel: aanbieders van generatieve AI-systemen die vóór 2 augustus 2026 op de markt waren, hebben tot 2 december 2026 om hun uitvoer machineleesbaar te markeren als door AI gemaakt (artikel 111 lid 4).

AI voor algemene doeleinden. De regels voor aanbieders van AI-modellen voor algemene doeleinden gelden sinds augustus 2025. Handhaving. Volgens het tijdpad van de AI Act Service Desk begon de handhaving op 2 augustus 2026, nationaal en Europees, voor AI-modellen voor algemene doeleinden, de verboden, de transparantieregels en AI-geletterdheid.

De gevolgen voor Nederland

De AP en de ACM laten al zien dat ze letten op transparantie en chatbots.

De Omnibus geldt volgens de Commissie “across the EU”, dus ook in Nederland. Twee Nederlandse toezichthouders laten al zien waar ze op letten. De AP over transparantie. De Autoriteit Persoonsgegevens schreef op 31 juli 2026 dat er vanaf 2 augustus 2026 “in veel gevallen” bij moet staan dat AI is gebruikt, bijvoorbeeld bij de chat met de klantenservice van een webwinkel. Ook wie met de huisartsenpraktijk belt, moet volgens de AP weten wanneer hij met een AI-assistent praat “en niet met een medewerker van vlees en bloed”.

ACM en AP over chatbots. In april 2026 schreef de AP dat er vanaf augustus 2026 nieuwe Europese regels voor AI gelden, maar dat die volgens de ACM en de AP “nog niet concreet genoeg” zijn. Ze werken daarom aan een leidraad voor chatbots bij klantenservice, die ze in het najaar van 2026 verwachten. Al in oktober 2025 vroegen ze de Europese Commissie om de transparantieregels in de AI Act in te vullen met duidelijke richtsnoeren voor het ontwerp van AI-chatfuncties. Eind oktober 2026 was die leidraad nog niet verschenen. Wat niet is vastgesteld. Welke Nederlandse instantie welk onderdeel van de AI Act handhaaft, staat niet in de bronnen voor dit artikel. We noemen daarom geen namen.

Wat is nog open of onzeker?

De wet ligt vast; wat nog komt, is vooral uitleg, zoals normen en richtsnoeren.

Vijf dingen om in de gaten te houden:

• Meer geharmoniseerde normen.
  Tot nu toe is er één gepubliceerd (EN 18286:2026). Volgens de Commissie volgen er meer.
• Richtsnoeren over hoog risico.
  De Commissie schrijft dat ze richtsnoeren publiceert over de eisen en plichten in de artikelen 8 tot en met 15 en artikel 25.
• Richtsnoeren over wat hoog risico is.
  Op 19 mei 2026 publiceerde de Commissie conceptrichtsnoeren met praktische voorbeelden van AI-systemen die wel of niet onder hoog risico vallen. De consultatie liep tot 23 juli 2026; de definitieve richtsnoeren volgen volgens de Commissie eind 2026.
• Aanbevelingen en voorbeelden voor AI-geletterdheid, zoals hierboven beschreven.
• Handhaving in de praktijk.
  Hoe streng de nationale markttoezichthouders worden en wat ze gaan vragen, staat niet in deze bronnen.

Wat moet je nu doen?

Gebruik de extra tijd tot 2 december 2027 en houd AI-geletterdheid op de agenda.

Deze stappen volgen uit de data hierboven. Ze zijn praktisch, geen juridisch advies.

1. Begin bij de AI-first organisatie.
   Spreek af wie eigenaar is van AI in je organisatie en wie beslist waar het wordt ingezet. Maak duidelijk wie verantwoordelijk is als AI een rol speelt in een gebied met een hoog risico uit bijlage III, zoals werk of onderwijs. Zet daarnaast je processen op een rij, van werving en selectie tot klantcontact, en noteer per taak of AI die doet of gaat doen, en welke taken bij mensen blijven. Zo zie je ook waar bijlage III een rol speelt.
2. Gebruik de extra tijd.
   Voor systemen uit bijlage III heb je tot 2 december 2027. Risicobeheer, documentatie en menselijk toezicht inrichten kost tijd.
3. Houd AI-geletterdheid op de agenda.
   De plicht is soepeler geworden, maar niet verdwenen, en er is nu toezicht op. Train mensen passend bij hun rol en de risico’s, en houd intern bij wat je doet.
4. Train voor menselijk toezicht waar het telt.
   Zet je AI met een hoog risico in, dan moeten medewerkers menselijk toezicht kunnen houden. Die plicht is niet veranderd. Wat er gebeurt als dat toezicht ontbreekt, beschreven we in algoritmen in de fout.
5. Maak iemand verantwoordelijk voor transparantie.
   Mensen moeten weten dat ze met AI praten, en deepfakes moeten gemeld worden. Bied je een generatief AI-systeem aan dat al vóór augustus 2026 op de markt was, let dan op 2 december 2026 voor het machineleesbaar markeren.
6. Overheden: 2030 geldt voor bestaande systemen.
   AI-systemen met een hoog risico voor de overheid die al vóór de nieuwe data op de markt waren, moeten uiterlijk 2 augustus 2030 voldoen. Nieuwe systemen moeten eerder voldoen, voor bijlage III vanaf 2 december 2027.

Achter elk van deze stappen zitten mensen die ermee aan de slag moeten. Ik denk dat AI-geletterdheid groeit als medewerkers met nieuwe technologie mogen proberen en experimenteren, passend bij hun rol. Ik zou leidinggevenden aanraden om dat enthousiasme ruimte te geven en tegelijk een kritische blik te vragen, zodat mensen menselijk toezicht ook echt kunnen houden.

Veelgestelde vragen

Is de AI Act uitgesteld?

Nee. De meeste regels gelden al, sommige sinds 2025. De Digital Omnibus verschoof vooral de regels voor AI met een hoog risico: naar 2 december 2027 (bijlage III) en 2 augustus 2028 (gereguleerde producten). Daarnaast gelden eigen termijnen voor de proeftuinen (2 augustus 2027) en voor het markeren van AI-content door systemen die al op de markt waren (2 december 2026). De verboden, de transparantieregels, AI-geletterdheid en de regels voor AI-modellen voor algemene doeleinden gelden gewoon.

Is AI-geletterdheid nog verplicht?

Ja. Artikel 4 verplicht aanbieders en gebruikers van AI-systemen nog steeds om maatregelen te nemen voor de AI-geletterdheid van hun personeel. Veranderd is dat er geen vast of ‘voldoende’ niveau meer wordt geëist. Nationale toezichthouders houden er vanaf 2 augustus 2026 toezicht op. Een certificaat is niet nodig.

Gelden de data ook voor bestaande AI?

Voor AI-systemen met een hoog risico die al vóór de nieuwe data op de markt waren, gelden de regels alleen als hun ontwerp vanaf die datum ingrijpend verandert. Systemen met een hoog risico die de overheid gebruikt, moeten in elk geval uiterlijk 2 augustus 2030 voldoen.

Zijn kleine bedrijven vrijgesteld?

De Commissie beschrijft verlichting, geen algemene vrijstelling. Een aantal vereenvoudigde mkb-regels, zoals eenvoudigere technische documentatie, geldt nu ook voor kleine midcaps. Volgens de Commissie krijgen de Europese Commissie en de lidstaten bovendien een grotere rol bij het bevorderen van AI-geletterdheid.

Waar begin je?

Zet de vraag wie eigenaar is van AI op de agenda van je volgende MT-overleg.

De vraag is eenvoudig: wie is bij ons eigenaar van AI, en hoe staan onze mensen ervoor richting december 2027? Koppel daar een kort plan voor AI-geletterdheid aan, en spreek af wie toezicht houdt waar klanten of burgers AI tegenkomen. De Omnibus gaf organisaties meer tijd en meer duidelijkheid. Een reden om te wachten gaf hij niet. Wie nu start met de AI-first organisatie, heeft straks een voorsprong in plaats van een achterstand. Wat zulke veranderingen van leiders vragen, is een vast thema in de lezing over de AI-revolutie.