Maurice Müller
Senior Content Manager
Maurice Müller is journalist en content strategist met ervaring op het gebied van zowel gedrukte als digitale media. Bij Formalize vertaalt hij complexe onderwerpen op het gebied van compliance en regelgeving naar duidelijke, praktische inhoud voor compliance-, risico- en beveiligingsprofessionals in heel Europa.
Belangrijkste punten
De verplichtingen inzake AI met een hoog risico voor op zichzelf staande systemen worden uitgesteld van augustus 2026 tot december 2027. Voor AI die is ingebed in gereguleerde producten geldt een uitstel tot augustus 2028.
GPAI-modellen, algemene verboden gebruikssituaties en algemene transparantieverplichtingen blijven volgens de oorspronkelijke tijdlijn van kracht. Alleen de watermerkvereisten van artikel 50, lid 2, zijn aangepast, met een overgangsperiode tot 2 december 2026 voor systemen die al op de markt zijn.
Slechts 5 tot 15% van de AI-systemen die binnen organisaties worden ingezet, valt onder het toepassingsgebied van de EU AI-verordening, maar aanverwante regelgeving zoals de AVG, NIS 2 en DORA is nog steeds van toepassing op de rest.
Het uitstel weerspiegelt het ontbreken van definitieve technische normen, geen lagere regelgevingsverwachtingen.
Niets doen is geen strategie: inventarisatie, classificatie en governancewerkzaamheden zouden al in gang moeten zijn gezet.
Wat is de EU AI-verordening?
De EU AI-verordening (Verordening (EU) 2024/1689) is een verordening inzake productveiligheid die specifieke eisen vaststelt voor AI-modellen en -systemen die in de hele EU worden ingezet. Het is het eerste overkoepelende regelgevingsframework voor AI in Europa en is rechtstreeks van toepassing in alle lidstaten, in tegenstelling tot een richtlijn die omzetting in nationaal recht vereist.
De Verordening hanteert een risicogebaseerde aanpak, waarbij AI-systemen worden ingedeeld in vier niveaus: onaanvaardbaar risico (verboden), hoog risico, beperkt risico en minimaal risico. De meeste complianceverplichtingen zijn gericht op de categorie met hoog risico.
Een van de meest voorkomende fouten die organisaties maken, is de AI-verordening te beschouwen als een regelgeving inzake cyberbeveiliging. Dat is niet het geval. De verordening is geworteld in de productveiligheidswetgeving en bevat expliciete fundamentele rechtenbescherming. Dit onderscheid is van belang voor de manier waarop organisaties compliance benaderen en welke interne teams hierin het voortouw moeten nemen. Een cyberbeveiligingsteam alleen zal niet volstaan.
Wat is de Digitale Omnibus inzake AI, en wat brengt deze met zich mee?
De Digitale Omnibus inzake AI is een reeks gerichte wijzigingen op de EU AI-verordening, die in juli 2026 formeel is aangenomen. Het maakte deel uit van een breder initiatief ter vereenvoudiging van de EU, dat deels werd gedreven door bezorgdheid over de complexiteit van de regelgeving, zoals uiteengezet in het rapport van Mario Draghi uit 2024 over het concurrentievermogen van de EU.
De belangrijkste reden voor de wijziging was van praktische aard: de meeste technische normen die nodig waren om de vereisten van de AI-wet voor systemen met een hoog risico in de praktijk te brengen, waren nog niet afgerond. Zonder die normen hadden organisaties geen duidelijke manier om aan te tonen dat ze aan de vereisten voldeden. Met de Omnibus zijn de deadlines verlengd, zodat ze aansluiten bij het moment waarop die normen naar verwachting beschikbaar zullen zijn.
Deadlines verlengd voor AI-systemen met een hoog risico
Op zichzelf staande AI-systemen met een hoog risico die zijn opgenomen in bijlage III (met gebruikssituaties zoals rekruteringstools, kredietbeoordeling, wetshandhaving, onderwijs en grenscontrole) moeten nu uiterlijk op 2 december 2027 aan de voorschriften voldoen; de deadline is verlengd van 2 augustus 2026.
AI-systemen met een hoog risico die zijn ingebed in gereguleerde producten uit bijlage I (zoals medische hulpmiddelen, machines en voertuigen) moeten nu uiterlijk op 2 augustus 2028 aan de voorschriften voldoen; de termijn is verlengd van 2 augustus 2027.
Nieuwe verboden toegevoegd
De Omnibus-verordening introduceert nieuwe verboden AI-praktijken met betrekking tot systemen die zonder toestemming intieme beelden en materiaal van seksueel misbruik van kinderen genereren. Deze zijn onmiddellijk van kracht.
Aanpassing van de transparantieverplichtingen
De vereisten inzake watermerken en de vermelding van synthetische inhoud op grond van artikel 50, lid 2, gelden nu vanaf 2 december 2026 voor systemen die al op de markt zijn. Nieuwe systemen moeten vanaf de datum waarop ze op de markt worden gebracht aan deze vereisten voldoen.
Wat is er niet veranderd
De kernstructuur van de AI-verordening blijft ongewijzigd. Het op risico’s gebaseerde classificatieframework, de vier niveaus, de verplichtingen voor modellen voor AI voor algemene doeleinden (GPAI) en de toezichthoudende rol van het AI-bureau blijven allemaal gehandhaafd. De verlenging van de termijn geldt niet voor GPAI-verplichtingen of voor de algemene verboden gebruikssituaties die al van kracht zijn.
Op wie is de EU AI-verordening van toepassing?
De AI-verordening maakt in de eerste plaats onderscheid tussen twee rollen in de AI-waardeketen.
Aanbieders zijn organisaties die een AI-systeem ontwikkelen en dit onder hun eigen naam of handelsmerk op de markt brengen of in gebruik nemen. Hieronder vallen ook organisaties die AI-systemen uitsluitend voor intern gebruik ontwikkelen: als u een systeem bouwt dat nog nooit eerder op de markt is geweest en dit intern in gebruik neemt, wordt u volgens de verordening als aanbieder beschouwd.
Gebruiksverantwoordelijken zijn organisaties die een AI-systeem in een professionele context gebruiken. Als u een door een leverancier ontwikkelde AI-tool gebruikt, bent u de gebruiksverantwoordelijke. Uw verplichtingen hangen af van de risicoclassificatie van het systeem en van wat uw leverancier contractueel voor zijn rekening neemt.
Een belangrijke nuance: als een gebruiksverantwoordelijke een AI-systeem gebruikt op een manier die de aanbieder niet heeft bedoeld of expliciet heeft verboden in zijn servicevoorwaarden (bijvoorbeeld door een tool voor algemeen gebruik toe te passen op een gebruiksscenario met een hoog risico), kan de gebruiksverantwoordelijke automatisch de aanbieder van een systeem met een hoog risico worden.
Het bepalen van uw rol voor elk systeem dat u gebruikt of bouwt, is de eerste stap in elk AI-complianceprogramma. Het complianceplatform van Formalize voor de EU AI-verordening is speciaal ontwikkeld voor gebruiksverantwoordelijken en helpt teams om AI-systemen in kaart te brengen, gebruiksscenario’s te classificeren en auditklare documentatie op één plek bij te houden.
Wat zijn de belangrijkste stappen om aan de wetgeving te voldoen?
De verlenging van de deadline heeft geen invloed op uw compliancewerkzaamheden. Het verandert wel het moment waarop de verplichtingen van kracht worden.
Stel een AI-inventaris op en houd deze bij
Documenteer elk AI-systeem dat uw organisatie aanbiedt of implementeert. Beantwoord voor elk systeem de volgende vragen: valt het onder de definitie van een AI-systeem volgens de Verordening? Wat is uw rol (aanbieder of gebruiksverantwoordelijke)? Kunt u die redenering documenteren en verdedigen tegenover een auditor?
Classificeer elk systeem
Bepaal de risicoclassificatie voor elk AI-systeem op basis van de gebruikssituatie en context. Classificatie is geen eenmalige handeling. Als een systeem van doel verandert of in een nieuwe context wordt gebruikt, kan de classificatie ervan veranderen. Houd er rekening mee dat sommige nationale richtlijnen over de classificatie in het kader van de AI-verordening bekritiseerd zijn omdat ze dit als een cyberbeveiligingskwestie behandelen: de richtlijnen op EU-niveau van het AI-bureau dienen als primaire referentie.
Beoordeel uw verplichtingen en spreek een RACI-schema af met leveranciers
Bepaal voor elk systeem welke verplichtingen van toepassing zijn en wie waarvoor verantwoordelijk is. Als u een door een leverancier ontwikkeld AI-systeem met een hoog risico implementeert, moet uw leverancier zijn compliance-stappenplan met het oog op de deadline van december 2027 kunnen toelichten.
Zet vereisten om in operationele governance
Vereisten moeten worden omgezet in beleid, processen, trainingsprogramma's en monitoringprocedures. Dit is geen documentatie omwille van de documentatie zelf. Het vormt de basis voor auditgereedheid, het verzamelen van bewijsmateriaal en voortdurend toezicht.
Monitor continu
Compliance is geen project met een einddatum. AI-systemen veranderen, use cases evolueren en regelgevende richtlijnen ontwikkelen zich. Integreer monitoring in de standaardwerkzaamheden, niet alleen in sprints voorafgaand aan de deadline.
Een opmerking over mkb's en small mid-caps
Aangezien de meeste EU-bedrijven mkb's zijn, breidt de Digitale Omnibus ook de bestaande vereenvoudigingsmaatregelen uit. Mkb's en start-ups, en niet alleen micro-ondernemingen zoals voorheen, kunnen nu op een vereenvoudigde manier aantonen dat ze voldoen aan bepaalde elementen van het verplichte kwaliteitsbeheersysteem voor AI-systemen met een hoog risico. Andere versoepelingsmaatregelen zijn uitgebreid naar de nieuw gecreëerde categorie ‘Small Mid-Cap’ (SMC), gedefinieerd als organisaties die geen mkb's zijn, minder dan 750 personen in dienst hebben en een jaaromzet hebben van maximaal 150 miljoen euro of een jaarlijks balanstotaal van maximaal 129 miljoen euro.
Hoe zit het met AI-systemen die niet onder de EU AI-verordening vallen?
Dit is een van de belangrijkste punten om te begrijpen. Volgens de eigen impactbeoordeling van de Europese Commissie valt slechts 5 tot 15% van de AI-systemen die binnen organisaties worden ingezet, onder het toepassingsgebied van de EU AI-verordening.
Dat betekent niet dat de rest niet gereguleerd is.
De AVG is van toepassing op elk AI-systeem dat persoonsgegevens verwerkt, wat geldt voor de meeste AI-tools die in de dagelijkse bedrijfsvoering worden gebruikt. Organisaties zijn als verwerkingsverantwoordelijken en/of verwerkers verantwoordelijk voor wat zij in AI-systemen invoeren. Dit vereist op zijn minst het opstellen of bijwerken van intern beleid, criteria voor gegevensclassificatie en gebruiksinstructies.
NIS 2 en DORA zijn van toepassing op organisaties die binnen hun respectieve toepassingsgebied vallen, en AI-systemen die betrekking hebben op kritieke infrastructuur, incidentbeheer of risico’s van derden zijn waarschijnlijk relevant voor die complianceverplichtingen, hoewel de interactie tussen sectorale regels en de EU AI-verordening complex kan zijn en afhankelijk is van de context.
Sectorspecifieke regelgeving, zoals die voor medische hulpmiddelen, financiële diensten en kritieke infrastructuur, kan ook eisen stellen aan AI-systemen die buiten het toepassingsgebied van de EU AI-verordening vallen.
Internationale normen zoals ISO 42001 en het NIST AI Risicobeheer Framework bieden nuttige bestuursstructuren, maar staan niet gelijk aan naleving van de EU AI-verordening. Voor een organisatie met een goed uitgewerkte implementatie van ISO 42001 zal het traject naar naleving van de AI-verordening gemakkelijker verlopen, maar de twee frameworks hebben verschillende doelstellingen en kunnen niet door elkaar worden vervangen.
Hoe sluit AI-governance aan op bestaande GRC-frameworks?
Voor organisaties die al te maken hebben met NIS 2, DORA, ISO 27001 of de AVG, is AI-governance geen afzonderlijk programma. Het is een uitbreiding van de bestaande compliance-infrastructuur.
De kernactiviteiten zijn dezelfde: risico’s beoordelen, controles in kaart brengen, bewijsmateriaal verzamelen en auditgereedheid handhaven. Wat verandert, is het onderwerp. AI-systemen, hun gebruiksscenario’s en de manier waarop ze worden beheerd, vervangen de regelgevingsframeworks waarmee compliance-teams gewend zijn te werken.
Organisaties die al over gestructureerde GRC-workflows beschikken, zijn beter in staat om de vereisten voor AI-governance te integreren, omdat het operationele model hen bekend is. De uitdaging ligt vaak niet in het begrijpen van wat er moet gebeuren, maar in het samenbrengen van de juiste teams en ervoor zorgen dat AI-systemen worden geïnventariseerd en geclassificeerd vóór de implementatie, en niet pas daarna.
Hoe te beginnen
Het praktische uitgangspunt is een inventarisatie. Voordat er sprake kan zijn van classificatie, het in kaart brengen van verplichtingen of due diligence van leveranciers, moet u een duidelijk beeld hebben van welke AI-systemen uw organisatie aanbiedt of inzet, wat deze systemen doen en wie ervoor verantwoordelijk is.
Vanaf dat punt is het werk grotendeels bekend terrein voor elk compliance-team: classificeren, verplichtingen beoordelen, verantwoordelijkheid toewijzen, documenteren en continu bewijsmateriaal verzamelen in plaats van in een sprint vlak voor de deadline.
Formalize ondersteunt AI-governance als onderdeel van een breder GRC-framework, inclusief het in kaart brengen van AI-systemen, workflows voor risicobeoordeling, incidentbeheer en vooraf gedefinieerde configuraties voor zowel gebruiksverantwoordelijken van de EU AI-verordening als organisaties die ISO 42001 implementeren. Voor organisaties die Formalize al gebruiken voor het beheer van NIS 2, DORA of ISO 27001, past AI-governance in dezelfde structuur in plaats van als een afzonderlijke werkstroming te worden uitgevoerd.