De Digitale Omnibus voor AI is er: wat verandert er nu écht?

Een paar maanden geleden hebben we een blog geschreven over het compromis dat de Raad en het Parlement had bereikt over de Digitale Omnibus voor AI. Toen stond de formele publicatie nog uit, maar was inhoudelijk al vrijwel alles duidelijk. Ondertussen is de laatste stap gezet: afgelopen vrijdag is de Omnibus in het Publicatieblad verschenen als Verordening 2026/1744, en drie dagen later, afgelopen maandag dus, is hij formeel in werking getreden. Daarmee is de AI Act op een aantal punten definitief gewijzigd.

In dit blog lopen we langs de belangrijkste inhoudelijke wijzigingen, en wat die concreet betekenen voor organisaties die met de AI Act aan de slag zijn. Voor de bredere context van hoe we tot dit compromis zijn gekomen verwijzen we je graag door naar onze eerdere blog.

Uitstel hoog-risico-AI: harde data, geen mitsen of maren

Het meest in het oog springende onderdeel van de Omnibus (maar eigenlijk juridisch het minst spannende) is het uitstel van de verplichtingen voor hoog-risico-AI-systemen. De voorwaardelijke mechaniek die de Commissie oorspronkelijk voor ogen had, waarin de inwerkingtreding zou worden gekoppeld aan een besluit over de beschikbaarheid van compliance-instrumenten, heeft het niet gehaald. Raad en Parlement wilden vaste data, en dat is precies wat er is gekomen.

Concreet betekent dit dat bijlage III-toepassingen pas van toepassing worden per 2 december 2027, en bijlage I-toepassingen per 2 augustus 2028. Bestaande hoog-risico-AI-systemen die vóór 2 augustus 2026 in gebruik zijn genomen behouden hun oorspronkelijke compliance-termijn van december 2030.

Belangrijk om te benadrukken: dit uitstel geldt uitsluitend voor het hoog-risico-regime. De regels rond verboden praktijken, general-purpose AI zijn al actief; en, niet onbelangrijk, de transparantieverplichtingen van artikel 50 gaan gewoon per 2 augustus aanstaande in. Op LinkedIn zien we met enige regelmaat het verkeerde beeld ontstaan dat "alles" is uitgesteld. Dat is niet zo. Chatbots moeten hun disclaimers op orde hebben, en gegenereerde content moet machineleesbaar worden gemarkeerd. Alleen voor generatieve (GP)AI-systemen is er nog een kleine adempauze: voor hen schuiven de transparantieverplichtingen een paar maanden door naar 2 december 2026.

Twee nieuwe verboden praktijken: NCII en CSAM

Zoals verwacht zijn de twee verboden praktijken die Raad en Parlement gezamenlijk hadden voorgesteld, één-op-één in de Omnibus terechtgekomen. Het gaat om AI-systemen die realistische intieme beelden of video's kunnen genereren van een identificeerbare persoon zonder diens vrijelijke, specifieke, geïnformeerde en ondubbelzinnige toestemming, en om AI-systemen die kindermisbruikmateriaal kunnen genereren in de zin van de betreffende richtlijn.

Dat beide medewetgevers hier woordelijk hetzelfde amendement hadden ingediend, tekende de politieke urgentie al: dit moest erin, en snel. De aanleiding was de Grok-controverse van eind vorig jaar waarmee met gemak dergelijk gevoelig materiaal kon worden gegenereerd. Deze verboden treden in werking per 2 december 2026, waarmee providers een paar maanden extra krijgen om hun waarborgen op orde te brengen.

AI-geletterdheid: verplichting blijft, maatstaf verdwijnt

Op het punt van AI-geletterdheid is uiteindelijk een compromis gesloten dat op het eerste gezicht subtiel is. De primaire verplichting van artikel 4 blijft rusten bij organisaties die AI inzetten: zij moeten maatregelen nemen om de AI-geletterdheid van hun personeel te ondersteunen en te ontwikkelen.

Wat er is toegevoegd, is een expliciete afzwakking: deze verplichting houdt níet in dat een bepaald niveau van AI-geletterdheid bij individuele personen moet worden gewaarborgd. Vertaald naar de praktijk betekent dit dat toezichthouders niet mogen eisen dat medewerkers een specifieke training hebben gevolgd of een bepaald competentieniveau hebben bereikt. Het is in feite een verschuiving van resultaatsverplichting naar iets wat meer op een inspanningsverplichting lijkt.

Voor de meeste organisaties zal dit in de praktijk weinig veranderen. Wie serieus met AI-geletterdheid bezig was, blijft dat gewoon doen. Maar het maakt handhaving door toezichthouders een stuk lastiger, wat organisaties iets meer ademruimte moet geven.

Verwerking bijzondere persoonsgegevens: verruiming, maar met waarborgen

Een van de inhoudelijk meest ingrijpende wijzigingen betreft de verwerking van bijzondere persoonsgegevens voor bias-detectie. Het bestaande artikel 10, lid 5 dat deze mogelijkheid uitsluitend openstelde voor hoog-risico-AI-systemen in de trainingsfase, is verplaatst naar een nieuw artikel 4bis, en verbreed.

De verruiming zit hem in twee elementen. Ten eerste wordt de mogelijkheid nu ook opengesteld voor andere AI-systemen dan hoog-risico, waaronder general-purpose AI, mits het strikt noodzakelijk is voor het opsporen van bias die waarschijnlijk gevolgen heeft voor fundamentele rechten. Ten tweede krijgen ook gebruiksverantwoordelijken van hoog-risico-AI-systemen deze mogelijkheid, zodat zij in hun eigen context kunnen toetsen of het systeem niet discrimineert.

Vanuit het privacy-domein is hier de nodige kritiek op gekomen, en die kritiek is begrijpelijk. Bijzondere persoonsgegevens die ooit voor een specifiek doel met toestemming zijn verzameld, kunnen nu onder een wettelijke grondslag worden ingezet voor modelevaluatie, zonder aanvullende toestemming van de betrokkenen. Dat is een verruiming waarvan het voor te stellen is dat betrokkenen daar zelf anders over denken. Tegelijkertijd is het juridisch nut ook evident: als general-purpose modellen beter kunnen worden getoetst op discriminatie, wordt compliance verderop in de keten eenvoudiger en kan ook onrecht worden voorkomen. Het is dan ook altijd een balanceeract.

Wat verder nog opvalt

Naast deze hoofdpunten zijn er enkele wijzigingen die het noemen waard zijn.

Voor MKB-ondernemingen worden op meerdere verlichtingen ingevoerd: vereenvoudigde technische documentatie, een proportioneel kwaliteitsmanagementsysteem, prioritaire toegang tot sandboxes en lagere boetes. Eerlijk gezegd blijven de zwaarste compliance-verplichtingen inhoudelijk gewoon staan; dus de vraag is hoe groot de impact hiervan echt gaat zijn.

Regulatory sandboxes krijgen een harde deadline: lidstaten moeten hun sandbox uiterlijk 2 augustus 2027 operationeel hebben. Dat was hard nodig als stok achter de deur, want in Nederland is nog immers niet eens een toezichthouder aangewezen. Daarnaast krijgt de AI Office zelf de bevoegdheid om een Unie-brede sandbox op te tuigen, en wordt testen onder reële omstandigheden mogelijk gemaakt voor bijlage I-toepassingen, wat met name voor de automotive-sector relevant is.

De AI Office krijgt exclusieve toezichtsbevoegdheid voor AI-systemen die zijn gebaseerd op general-purpose AI-modellen wanneer model en systeem van dezelfde aanbieder afkomstig zijn. Dat betekent dat de ChatGPT's, Claudes en Gemini's van deze wereld niet meer via de nationale toezichthouder zoals in Ierland lopen, maar rechtstreeks onder Europees toezicht vallen. Inclusief dwangsommen tot 5% van de wereldwijde dagomzet. Of dat toezicht ook effectief zal zijn ten aanzien van niet-EU-providers blijft een vraag. Of Chinese modellen zoals DeepSeek of Kimi K2 zich aan de regels gecommiteerd voelen is zeer betwijfelbaar. De wet is er wel; de handhavingsmogelijkheden zijn een ander verhaal.

Tot slot

Met deze Omnibus is de AI Act op een aantal punten aangepast, maar het is geen fundamentele herziening. De hoog-risico-verplichtingen zelf zijn inhoudelijk niet aangeraakt (behalve dan de bijzondere persoonsgegevens). Het GPAI-regime blijft ongewijzigd. De transparantieverplichtingen blijven staan. Wat vooral is verschoven, zijn de deadlines, wat voor organisaties nu het belangrijkste praktische gegeven is om mee te nemen.

De extra tijd is broodnodig, want de guidance en geharmoniseerde normen zijn nog altijd niet af. Dat is meteen de opmaat voor blogs in de komende maanden: de draft guidance voor hoog-risico-AI die de Commissie in mei publiceerde, en de stand van zaken rond de geharmoniseerde normen. Want ook daar valt genoeg over te zeggen.

Voor nu: zet 2 december 2027 en 2 augustus 2028 in de agenda, en gebruik de gewonnen tijd verstandig.

Bekijk intussen de opname van ons webinar van 28 juli over hoogrisico-AI-systemen en compliance vóór 2027: