De EU AI-verordening in 2026: wat er nu echt geldt, na de digitale omnibus

Verordening (EU) 2024/1689, de EU AI-verordening, trad in werking op 1 augustus 2024. Ze is gefaseerd van toepassing. Verboden praktijken en AI-geletterdheidsverplichtingen golden vanaf 2 februari 2025. Verplichtingen voor AI-modellen voor algemene doeleinden, governance en sancties golden vanaf 2 augustus 2025.

De volgende mijlpaal, de verplichtingen voor hoogrisico-AI-systemen onder hoofdstuk III van de verordening, moest op 2 augustus 2026 ingaan. Dat gebeurde niet op die datum. Op 24 juli 2026 werd de digitale omnibus over AI, Verordening (EU) 2026/1744, gepubliceerd in het Publicatieblad en trad drie dagen later in werking, zes dagen vóór de oorspronkelijke deadline.

Wat verschoof, en wat niet

De omnibus stelt de hoogrisicoverplichtingen in twee stappen uit. Zelfstandige hoogrisicosystemen uit bijlage III, die gebruik dekken zoals werving, personeelsbeheer, kredietwaardigheidsbeoordeling, biometrie en onderwijs, vallen nu vanaf 2 december 2027 onder hoofdstuk III in plaats van vanaf 2 augustus 2026. Hoogrisicosystemen die zijn ingebed in gereguleerde producten onder bijlage I, zoals medische hulpmiddelen of machines, worden uitgesteld tot 2 augustus 2028.

• De verboden praktijken van artikel 5, van kracht sinds 2 februari 2025, blijven ongewijzigd.
• De verplichtingen voor AI-modellen voor algemene doeleinden, transparantiedocumentatie en beoordeling van systeemrisico's voor de krachtigste modellen, van kracht sinds 2 augustus 2025, blijven ongewijzigd.
• De transparantieverplichtingen van artikel 50, het bekendmaken van interactie met AI en het markeren van synthetische content, gingen zoals gepland in op 2 augustus 2026 en werden niet uitgesteld.
• Een nieuw verbod op AI-tools die niet-consensuele intieme beelden of kindermisbruikmateriaal genereren, toegevoegd door dezelfde omnibus, geldt vanaf 2 december 2026.

Waarom het uitstel geen afwezigheid van blootstelling betekent

Een uitgestelde verplichting is geen geannuleerde verplichting. Organisaties die een AI-systeem op de EU-markt brengen, waar zij ook gevestigd zijn, inclusief Zwitserse en andere niet-EU-aanbieders, blijven gebonden aan de reeds geldende verplichtingen: verboden praktijken, transparantie tegenover gebruikers die met een AI-systeem interageren, en, voor aanbieders van modellen voor algemene doeleinden, documentatie en risicobeoordeling. De extra achttien maanden voor hoogrisicosystemen zijn voorbereidingstijd, geen vrijstellingstijd.

De classificatievraag die elke organisatie die AI gebruikt nog moet beantwoorden

Ongeacht de kalender vereist de AI-verordening dat elke aanbieder of gebruiker elk AI-systeem dat hij bouwt of gebruikt classificeert: verboden, hoogrisico, beperkt risico met transparantieverplichtingen, of minimaal risico. Die classificatie-oefening, en het bewijs erachter, is wat een koper, een verzekeraar of een investeerder ruim vóór december 2027 zal vragen. Het uitstel verschoof de compliancedeadline. Het verschoof niet de due-diligencedeadline.

“De organisaties die al weten welk van hun AI-systemen hoogrisico is, en waarom, zijn niet degenen voor wie de omnibus is geschreven.”

— Aegryn

Aegryn Advisory ondersteunt organisaties bij het classificeren van hun AI-systemen onder de EU AI-verordening, het documenteren van governance en risicobeoordeling, en certificeert het resultaat onder de CIFSO-dimensie Veiligheid & Soevereiniteit, vóór het moment waarop een koper, verzekeraar of toezichthouder om bewijs vraagt.