EU AI Act: de Digital Omnibus is in werking, dit zijn de deadlines voor hoog-risico AI

De Digital Omnibus op AI is niet langer een akkoord in wording. Verordening (EU) 2026/1744 is op 24 juli 2026 gepubliceerd in het Publicatieblad en op 27 juli 2026 in werking getreden. Daarmee is het eerste wijzigingspakket op de EU AI Act definitief, en gelden de nieuwe deadlines voor hoog-risico AI met zekerheid. De term uitstel is alleen voor een deel van de verordening juist. Andere verplichtingen lopen gewoon door.

Van akkoord naar wet

Op 7 mei 2026 bereikten de Raad, het Europees Parlement en de Europese Commissie een voorlopig akkoord. Na formele aanname volgden de publicatie op 24 juli en de inwerkingtreding drie dagen later. Wie zijn planning nog op het akkoord of op een van de eerdere voorstellen baseert, kan die nu bijwerken. De tekst van de verordening is de bron, niet de nieuwsberichten van de afgelopen maanden.

De nieuwe deadlines voor hoog-risico AI

De Omnibus hanteert twee sporen. Voor zelfstandige hoog-risico AI-systemen uit Annex III, zoals toepassingen voor werving, kredietbeoordeling en biometrie, gaan de eisen in op 2 december 2027. Voor hoog-risico AI die is ingebouwd in producten onder Annex I, zoals medische hulpmiddelen en machines, geldt 2 augustus 2028. Oorspronkelijk stond voor beide categorieën 2 augustus 2026 in de verordening.

Wat je met die data doet, hangt af van je rol. Een aanbieder van een Annex III-systeem moet het risicobeheersysteem, de technische documentatie, de eisen aan data en het menselijk toezicht op tijd hebben ingericht. Een organisatie die zulke systemen alleen gebruikt, heeft als gebruiksverantwoordelijke een eigen lijst plichten. Beide rollen beginnen bij dezelfde vraag: welke AI zetten we in en in welke categorie valt die. Let op dat een organisatie in beide rollen kan zitten, bijvoorbeeld wanneer je een gekocht model aanpast of onder eigen naam aanbiedt. Dan gelden de aanbiedersplichten voor jou.

Wat niet is uitgesteld

Het verbod op bepaalde AI-praktijken geldt sinds 2 februari 2025 en de verplichtingen voor general-purpose AI-modellen sinds 2 augustus 2025. De transparantieverplichtingen van artikel 50 blijven per 2 augustus 2026 van toepassing. Voor de markering van synthetische content (artikel 50, lid 2) is een overgangstermijn ingebouwd: systemen die vóór 2 augustus 2026 op de markt zijn gebracht, moeten daaraan uiterlijk 2 december 2026 voldoen. Systemen die daarna op de markt komen, moeten het direct kunnen.

Ook artikel 4 over AI-geletterdheid is niet weg, maar wel versoepeld. Aanbieders en gebruiksverantwoordelijken hoeven niet langer te garanderen dat hun personeel een bepaald niveau haalt. Ze moeten maatregelen nemen die AI-geletterdheid ondersteunen. Hoe dat er in de praktijk uitziet, lees je in ons artikel over AI-geletterdheid onder artikel 4.

Wat er verder is gewijzigd

De Omnibus doet meer dan data verschuiven. De lijst van verboden praktijken is uitgebreid met AI-systemen die niet-consensuele seksueel expliciete of intieme content maken, en met systemen voor het maken of bewerken van materiaal van seksueel kindermisbruik. De verlichtingen voor het mkb gelden nu ook voor kleine midcaps, met vereenvoudigde documentatie en proportionelere eisen aan het kwaliteitsmanagementsysteem. Voor het opsporen van bias mogen bijzondere categorieën persoonsgegevens worden verwerkt, mits dat strikt noodzakelijk is. En het AI-bureau krijgt meer toezichtsbevoegdheden, onder meer over bepaalde systemen van aanbieders van general-purpose modellen en over AI in zeer grote online platforms.

Een verduidelijking die vaak wordt gemist: AI die alleen ondersteunt of prestaties optimaliseert, zonder dat daaruit een gezondheids- of veiligheidsrisico voortkomt, wordt niet automatisch als veiligheidscomponent en daarmee als hoog-risico gezien. Dat kan de classificatie van sommige systemen veranderen, dus het loont om je bestaande indeling opnieuw te toetsen.

Waarom uitstel geen pauze is

Een aanbieder van hoog-risico AI heeft na 2 december 2027 geen extra jaar meer, en de eisen zijn niet lichter geworden. De maatregelen die de verordening vraagt, komen grotendeels overeen met wat een AI-managementsysteem volgens ISO 42001 al inricht. Die norm is geen geharmoniseerde norm en geeft dus geen vermoeden van conformiteit, maar de governance eronder telt wel mee. Hoe je zo'n systeem opbouwt, staat in ons stappenplan voor ISO 42001.

Wat je nu doet

Begin met een inventaris van alle AI-systemen, inclusief AI-functies in software van leveranciers. Bepaal per systeem de risicocategorie en je rol, want zonder die twee weet je niet welke deadline voor jou geldt. Onze uitleg over risicoclassificatie onder de EU AI Act loopt die stap door. Kijk daarna of de wijzigingen rond artikel 4 en artikel 50 bij je beleid en je productdocumentatie zijn verwerkt. Leg vast op welke datum en op welke versie van de verordening je je keuzes hebt gebaseerd. Bij een toets door een auditor of toezichthouder laat dat zien op welke basis je hebt gewerkt. Het dossier rond de AI Act blijft bovendien in beweging, omdat er nog richtsnoeren en normen verschijnen die de eisen verder invullen.

Hoe Secure Audit hierin ondersteunt

Wij helpen organisaties hun positie onder de EU AI Act te bepalen, AI-systemen te classificeren en een plan te maken dat uitgaat van de definitieve data. Meer over onze aanpak staat op de pagina over compliance. Neem contact op voor een gesprek over je AI Act-positie.