Bij veel organisaties stond 2 augustus 2026 al twee jaar in de agenda. Op die dag zou het grootste deel van de AI-verordening van toepassing worden, inclusief de zware verplichtingen voor hoogrisicosystemen. Een week voor de deadline schoof die datum toch nog op. Op 27 juli 2026 trad Verordening (EU) 2026/1744 in werking, beter bekend als de Digital Omnibus voor AI. Die verschuift de deadlines voor AI met een hoog risico naar december 2027 en augustus 2028. De rest van de wet ging op 2 augustus gewoon in.
#Waar de Digital Omnibus vandaan komt
De Europese Commissie presenteerde het voorstel op 19 november 2025, als onderdeel van een breder pakket om digitale regelgeving te vereenvoudigen. De aanleiding was praktisch: veel van de technische normen en richtsnoeren die aanbieders nodig hadden om aan de eisen voor AI met een hoog risico te voldoen, waren nog niet af. Vasthouden aan de oorspronkelijke datum zou bedrijven dwingen te voldoen aan eisen waarvan de invulling nog niet vaststond.
Het pakket bestond uit twee sporen. Het AI-spoor is inmiddels wet: het Europees Parlement stemde in op 16 juni 2026, de Raad volgde op 29 juni 2026, en sinds 27 juli 2026 is de verordening van kracht. Het tweede spoor, met voorstellen die onder meer de AVG en de cookieregels raken, ligt nog bij Parlement en Raad. Daarover verderop meer.
#De tijdlijn zoals die er nu uitziet
De AI-verordening trad op 1 augustus 2024 in werking en wordt stap voor stap van toepassing. Zo ziet het schema eruit na de omnibus:
#Wat er verschuift
De grootste verschuiving zit bij AI met een hoog risico. De verplichtingen voor systemen uit bijlage III (denk aan AI voor werving en selectie, beoordeling van werknemers of toegang tot voorzieningen) gelden nu vanaf 2 december 2027 in plaats van 2 augustus 2026. Daarmee schuiven ook de plichten mee van organisaties die zulke systemen inzetten: menselijk toezicht, werknemers vooraf informeren, logging en de beoordeling van gevolgen voor grondrechten (FRIA).
Voor AI met een hoog risico die als veiligheidscomponent in gereguleerde producten zit, zoals machines of medische hulpmiddelen (bijlage I), is de nieuwe datum 2 augustus 2028. Lidstaten hebben tot 2 augustus 2027 de tijd om een nationale AI-sandbox op te zetten.
Voor kleinere bedrijven brengt de omnibus verlichting: vereenvoudigde technische documentatie, eisen die meeschalen met de omvang van de organisatie en lagere boeteplafonds voor het mkb.
#Wat er niet verschuift
Hier ging de berichtgeving de afgelopen maanden vaak mis. Alleen het deel over AI met een hoog risico is uitgesteld. Dit geldt allemaal gewoon:
- De verboden praktijken, zoals social scoring, sinds 2 februari 2025.
- De regels voor GPAI-modellen, sinds 2 augustus 2025.
- De transparantieverplichtingen van artikel 50, sinds 2 augustus 2026. Chatbots moeten duidelijk maken dat je met AI praat. Door AI gegenereerde audio, beelden, video en tekst moeten machineleesbaar gemarkeerd zijn. Deepfakes moeten als kunstmatig herkenbaar zijn. Wie emotieherkenning of biometrische categorisering inzet, moet betrokkenen informeren. Er is één overgangsregeling: generatieve systemen die al op de markt waren, krijgen tot 2 december 2026 de tijd voor de machineleesbare markering.
- De boetes. De plafonds blijven staan: tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet voor verboden praktijken, en tot 15 miljoen euro of 3 procent voor onder meer schendingen van de transparantieplichten.
En de AVG stond hier altijd al los van. Persoonsgegevens in een AI-tool vragen vandaag om dezelfde grondslag, doelbinding en dataminimalisatie als vorig jaar.
#AI-geletterdheid: afgezwakt, niet geschrapt
De omnibus herschrijft ook artikel 4. Eerst stond er dat organisaties moeten zorgen voor voldoende AI-geletterdheid bij de mensen die namens hen met AI-systemen werken. Nu staat er dat ze maatregelen moeten nemen die de ontwikkeling van AI-geletterdheid ondersteunen. Juristen noemen dat een verschuiving van een resultaatsverplichting naar een inspanningsverplichting.
Aan wat in de praktijk verstandig is, verandert weinig. Je moet nog steeds kunnen laten zien dat je iets doet: uitleggen waarvoor AI wel en niet gebruikt mag worden, en welke gegevens niet in een prompt horen. Onze gids over wat je wel en niet met AI mag delen kun je daarvoor gebruiken.
#Wat er op 2 december 2026 ingaat
De omnibus breidt de lijst met verboden praktijken in artikel 5 uit. Vanaf 2 december 2026 is AI verboden die realistische beelden, video of audio maakt of bewerkt waarop de intieme delen van een herkenbaar persoon te zien zijn, of die persoon bij seksuele handelingen, zonder dat die persoon daar uitdrukkelijk toestemming voor gaf. Het tweede nieuwe verbod gaat over AI die materiaal met seksueel misbruik van kinderen maakt of bewerkt.
Voor aanbieders en voor organisaties die AI gebruiken, werkt het verbod anders. Een aanbieder mag zo'n systeem niet op de markt brengen als het daarvoor bedoeld is. Hetzelfde geldt als het systeem zulke beelden voorspelbaar kan maken zonder grote technische aanpassing en er geen deugdelijke waarborgen in zitten. Daarmee kan ook een algemene beeldgenerator onder het verbod vallen. Voor jou als gebruiker is het smaller: het verbod geldt als je een systeem gebruikt om zulk materiaal te maken. De verboden staan in artikel 5, dus overtreding valt in de hoogste boetecategorie uit het lijstje hierboven.
Op dezelfde dag eindigt een overgangstermijn. Aanbieders van generatieve AI die al vóór 2 augustus 2026 op de markt was, moeten uiterlijk 2 december 2026 aan artikel 50 lid 2 voldoen. Wat hun systeem maakt, moet dan machineleesbaar gemarkeerd zijn. Die plicht ligt bij de leverancier, niet bij de organisatie die de tool gebruikt.
Voor een werkgever levert dit twee concrete punten op. Neem in je AI-beleid op dat medewerkers met AI geen seksuele beelden van echte personen maken. En kijk in je AI-register welke beeldgeneratoren in gebruik zijn en wat de leverancier zegt over waarborgen tegen zulk materiaal. Kun je dat niet vinden, dan is dat een reden om de tool voorlopig niet toe te staan.
De data en de reikwijdte staan in de tijdlijn van de AI Act Service Desk en de bijgewerkte tekst van artikel 5, de boetes in artikel 99, allemaal van de Europese Commissie. Gecontroleerd op 28 oktober 2026.
#De AVG-omnibus is er nog niet
Het tweede spoor van het pakket is nog een voorstel. Het zou onder meer de cookieregels naar de AVG verplaatsen, de drempel voor het melden van datalekken verhogen en een grondslag toevoegen voor het trainen van AI-modellen. Toezichthouders zijn kritisch en delen van de tekst zijn al gesneuveld in de onderhandelingen. Reken er niet op. Tot Parlement en Raad eruit zijn, geldt de AVG zoals je haar kent.
#Wat dit praktisch betekent
Uitstel is geen afstel. Voor de meeste organisaties blijft de lijst hetzelfde als vóór de omnibus:
- AI-register. Houd bij welke AI-tools in gebruik zijn en waarvoor. BeeSensible laat zien welke tools in gebruik zijn en legt per tool je besluit vast in het AI-register.
- Kort AI-beleid. Enkele pagina's met de regels voor medewerkers volstaan vaak.
- AI-geletterdheid. Ook nu het een inspanningsverplichting is, wil je kunnen laten zien wat je doet.
- Verwerkersovereenkomst en AVG-basis. Die stonden altijd al los van de AI-verordening.
- Gebruik je een hoogrisicosysteem? Dan heb je tot december 2027 extra tijd voor menselijk toezicht, logging en de FRIA. Gebruik die tijd, want aan de eisen zelf verandert weinig.
Een AI-register dat je met de hand bijhoudt, loopt achter zodra er een tool opduikt die niemand heeft genoteerd. De catalogus van BeeSensible vangt dat op: meer dan 1.000 AI-tools, elk beoordeeld op risico, en doorlopend aangevuld met tools die in organisaties opduiken.
#Wat je in de tussentijd inricht
De tijdlijn is verschoven, het risico in het dagelijkse werk niet. Een medewerker die vandaag klantgegevens in een prompt plakt, wacht niet op december 2027. De AI-verordening en de AVG vragen allebei hetzelfde: beleid dat in het werk terugkomt en waarvan je kunt laten zien hoe het uitpakt. BeeSensible verbindt daarvoor wat meestal los van elkaar staat:
De markering verschijnt terwijl iemand typt in AI-tools in de browser, zodat gevoelige gegevens gemaskeerd of verwijderd kunnen worden voordat de prompt de deur uit gaat. Dat ondersteunt dataminimalisatie onder de AVG en brengt AI-geletterdheid in de praktijk op het moment dat het ertoe doet. Het scherm Onderbouwing in het dashboard bundelt diezelfde cijfers per periode, met per wetsbepaling uitleg over wat BeeSensible bijdraagt en wat erbuiten valt. BeeSensible draait op ISO 27001-gecertificeerde EU-infrastructuur.
Zet 2 december 2027 in de agenda, maar het register, het korte beleid en de uitleg aan medewerkers regel je deze maand. Daar veranderde de omnibus niets aan.
Verder lezen: wat de AI-verordening naast de AVG betekent voor je bedrijf en de onderwerppagina AVG en AI op het werk.
