De Europese Commissie publiceerde eind 2025 het Digitale Omnibuspakket , met voorstellen om delen van het digitale wetgevingskader van de EU te vereenvoudigen en te harmoniseren, waaronder wijzigingen in de AVG , NIS 2 en meer.
Hoewel de bredere digitale omnibus nog steeds in onderhandeling is, werd de afzonderlijke digitale omnibus inzake AI (AI Omnibus) versneld behandeld omdat deze gewijzigde termijnen voorstelde voor verplichtingen met betrekking tot AI-systemen met een hoog risico onder de EU AI-wetgeving. Deze voorgestelde wijzigingen moesten van kracht worden voordat de eerste verplichtingen met betrekking tot AI-systemen met een hoog risico onder de EU AI-wetgeving op 2 augustus 2026 van toepassing zouden zijn.
Op 7 mei 2026 bereikten de onderhandelaars van het Europees Parlement en de Raad een voorlopig akkoord over de AI-omnibusverordening, waardoor de deadlines voor de naleving van de regelgeving voor AI-systemen met een hoog risico werden uitgesteld tot 2027 en 2028. De definitieve verordening trad op 27 juli 2026 in werking.
Wat is er dan veranderd? In deze blog bespreken we enkele belangrijke wijzigingen die de AI Omnibus aanbrengt in de EU-wetgeving inzake kunstmatige intelligentie en wat deze betekenen voor organisaties.
Herziene nalevingstermijnen voor AI-systemen met een hoog risico.
Onder de AI Omnibus krijgen aanbieders en implementeerders van risicovolle AI-systemen een langere termijn om ervoor te zorgen dat ze aan de regelgeving voldoen.
Vanaf 2 december 2027 moeten AI-systemen die als hoog risico worden aangemerkt in de zin van artikel 6(2) en bijlage III , voor zover het gebruik ervan is toegestaan onder de relevante EU- of nationale wetgeving, kunnen aantonen dat ze aan de vereisten voldoen.
Dit omvat AI-systemen die worden gebruikt in onder meer de volgende gebieden:
- Biometrie
- Kritische infrastructuur
- Onderwijs en beroepsopleiding
- Werkgelegenheid, werknemersbeheer en toegang tot zelfstandig ondernemerschap
- Toegang tot en gebruik van essentiële particuliere diensten en essentiële publieke diensten en uitkeringen.
- Rechtshandhaving
- Beheer van migratie, asiel en grenscontrole
- Rechtspleging en democratische processen.
Opname in bijlage III betekent niet automatisch dat elk AI-systeem dat in een van deze gebieden wordt gebruikt, als hoog risico wordt beschouwd. Ook de classificatieregels en uitzonderingen in artikel 6 moeten in acht worden genomen.
Vanaf 2 augustus 2028 gelden er verplichtingen voor systemen met een hoog risico op AI-systemen zoals bedoeld in artikel 6(1) en bijlage I. Dit omvat AI-systemen met een hoog risico die worden gebruikt als veiligheidscomponenten van bepaalde gereguleerde producten, of die zelf dergelijke producten zijn, wanneer het betreffende product onderworpen is aan een conformiteitsbeoordeling door een derde partij. Dit omvat:
- Toys
- Liften
- Medische apparaten
- Voertuigen.
De AI Omnibus verfijnt ook de definitie van wat als veiligheidscomponent wordt beschouwd. Producten met AI-functies die gebruikers alleen ondersteunen of de prestaties optimaliseren, vallen niet automatisch onder de verplichtingen voor producten met een hoog risico. De focus ligt in plaats daarvan op de vraag of een storing of defect veiligheids- of gezondheidsrisico's met zich meebrengt.
Een uitgebreidere wettelijke basis voor de verwerking van bijzondere categorieën persoonsgegevens
De AI Omnibus breidt de wettelijke basis voor de verwerking van gevoelige gegevens ten behoeve van het opsporen en beperken van vooringenomenheid uit naar gebruikers van risicovolle AI-systemen en aanbieders en gebruikers van andere AI-systemen en -modellen. Voorheen was deze wettelijke basis alleen van toepassing op aanbieders van risicovolle AI.
Dit is geen algemene toestemming om gevoelige informatie te verwerken. De verwerking moet voldoen aan de voorwaarden van de AI-wet en, afhankelijk van de omstandigheden, noodzakelijk zijn. Organisaties moeten ook waarborgen implementeren, waaronder toegangscontrole, beveiligings- en privacybeschermende maatregelen, beperkingen op hergebruik en passende verwijdering van gegevens.
Beperkte respijtperiode voor het markeren van door AI gegenereerde content.
De AI Omnibus heeft de transparantievereisten van de AI-wetgeving voor door AI gegenereerde content over het algemeen niet uitgesteld.
De transparantieverplichtingen van artikel 50 zijn over het algemeen van toepassing vanaf 2 augustus 2026. Dit omvat de verplichting voor aanbieders van bepaalde AI-systemen die synthetische audio-, beeld-, video- of tekstinhoud genereren, om ervoor te zorgen dat de output is gemarkeerd in een machineleesbaar formaat en herkenbaar is als kunstmatig gegenereerd of gemanipuleerd.
De AI Omnibus introduceert echter een beperkte overgangsperiode voor systemen die al op de markt zijn. Aanbieders van relevante systemen die vóór 2 augustus 2026 op de markt worden gebracht, hebben tot 2 december 2026 de tijd om te voldoen aan de verplichtingen inzake machineleesbare markering in artikel 50(2).
Voor organisaties is het belangrijk om te weten dat 2 december 2026 een beperkte overgangsperiode is voor bepaalde bestaande systemen, en niet de algemene ingangsdatum voor de transparantievereisten van de AI-wetgeving.
FRIAs kunnen gebruikmaken van DPIAs
Volgens de AI Omnibus kunnen effectbeoordelingen van fundamentele rechten (FRIA's) nu verwijzingen bevatten naar, of de relevante onderdelen omvatten van, een effectbeoordeling van gegevensbescherming (DPIA) die is uitgevoerd in het kader van de Algemene Verordening Gegevensbescherming of de Richtlijn inzake rechtshandhaving.
De twee beoordelingen blijven verschillend, maar organisaties die al gegevensbeschermingsimpactanalyses uitvoeren, kunnen mogelijk relevante analyses hergebruiken in plaats van deze onnodig te dupliceren.
Verbod op schadelijke AI-systemen
De Omnibuswet introduceert een verbod op AI-systemen die niet-consensueel intiem materiaal of materiaal met betrekking tot seksueel misbruik van kinderen genereren, met ingang van 2 december 2026.
Het verbod geldt voor het in de handel brengen van AI-systemen op de EU-markt met als doel het creëren of manipuleren van dit materiaal. Het kan ook van toepassing zijn wanneer dit een redelijkerwijs voorzienbaar en reproduceerbaar gevolg van het systeem is en het systeem niet beschikt over redelijke en adequate technische veiligheidsmaatregelen om dergelijk gebruik te voorkomen.
Voor ontwikkelaars geldt het verbod wanneer zij een AI-systeem gebruiken om het verboden materiaal te genereren of te manipuleren.
Flexibiliteit voor het mkb uitgebreid naar kleine en middelgrote bedrijven
De AI Omnibus introduceert een nieuwe categorie kleine en middelgrote ondernemingen (SMC's) en breidt een aantal regelgevende flexibiliteiten die voorheen beschikbaar waren voor het mkb uit naar deze bedrijven.
Deze omvatten:
- De mogelijkheid om vereenvoudigde technische documentatie te gebruiken voor AI-systemen met een hoog risico.
- Evenredige implementatie van bepaalde eisen van het kwaliteitsmanagementsysteem
- Verlaagd maximumboetebedrag, waarbij de relevante boetes voor SMC's worden gemaximeerd op het laagste van het toepasselijke percentage of een vast geldbedrag.
Deze wijzigingen betekenen niet dat elke vrijstelling voor het mkb automatisch ook van toepassing is op kleine en middelgrote ondernemingen (mkb's). De AI Omnibus breidt specifieke vereenvoudigings- en proportionaliteitsmaatregelen uit naar deze nieuwe categorie bedrijven.
Andere Overwegingen
Wijzigingen voor toezichthouders: De AI Omnibus breidt de exclusieve toezichts- en handhavingsrol van het EU AI-bureau uit en verduidelijkt deze. Het bureau heeft exclusieve bevoegdheid voor bepaalde AI-systemen die zijn gebouwd op algemene AI-modellen, wanneer het model en het systeem door dezelfde aanbieder of binnen dezelfde onderneming zijn ontwikkeld, behoudens specifieke uitzonderingen.
De exclusieve bevoegdheid omvat ook AI-systemen die deel uitmaken van, of geïntegreerd zijn in, zeer grote online platforms of zoekmachines die onder de Digital Services Act (DSA) vallen. Dit is een beperktere bevoegdheid dan wanneer het van toepassing zou zijn op elk AI-systeem dat onder de DSA valt.
AI-geletterdheid: De AI Omnibus herziet ook de eis inzake AI-geletterdheid in de AI-wetgeving. Aanbieders en implementeerders moeten maatregelen nemen om de ontwikkeling van AI-geletterdheid te ondersteunen bij medewerkers en anderen die namens hen AI-systemen bedienen of gebruiken. De herziene bepaling maakt duidelijk dat organisaties geen specifiek niveau van AI-geletterdheid voor elke individuele medewerker hoeven te garanderen.
Verlengde deadline voor regelgevingssandboxes: De deadline voor lidstaten om ervoor te zorgen dat hun bevoegde autoriteiten ten minste één nationale regelgevingssandbox voor AI in werking hebben, is verlengd van 2 augustus 2026 tot 2 augustus 2027. Het AI-bureau kan ook een regelgevingssandbox op EU-niveau instellen voor AI-systemen die niet binnen zijn bevoegdheid vallen.
Wat dit betekent voor organisaties
De wijzigingen in de EU-wetgeving inzake kunstmatige intelligentie (AI) in het kader van de AI-omnibus stroomlijnen of verduidelijken grotendeels de bestaande vereisten. Cruciaal is dat de AI-wetgeving als geheel niet wordt uitgesteld.
Als eerste stap raden we aan uw huidige AI-governanceprogramma te evalueren, dit te vergelijken met de wijzigingen in de AI Omnibus en eventuele aandachtspunten te identificeren. Zorg ervoor dat u inzicht hebt in welke AI-systemen uw bedrijf gebruikt en waar ze worden ingezet.
Transparantiemarkering is een gebied dat nu bijzondere aandacht vereist. De transparantie-eisen van artikel 50 zijn in het algemeen van toepassing sinds 2 augustus 2026. Als uw organisatie systemen levert of implementeert om content te genereren die onder de openbaarmakingsvereisten valt, dient u na te gaan welke verplichtingen voor leveranciers of implementeerders gelden. Aanbieders van relevante systemen die vóór 2 augustus 2026 al op de markt waren, dienen ook te bepalen of zij binnen de beperkte overgangsperiode vallen die eindigt op 2 december 2026.
Organisaties die AI gebruiken, moeten ook hun aanpak van AI-geletterdheid herzien in het licht van het gewijzigde artikel 4 en ervoor zorgen dat er passende maatregelen zijn getroffen om medewerkers die AI-systemen bedienen of gebruiken te ondersteunen.
Voor organisaties die verantwoordelijk zijn voor systemen met een hoog risico zoals beschreven in Bijlage III, bieden de herziene deadlines extra implementatietijd, maar ze nemen de onderliggende vereisten niet weg. Organisaties waren mogelijk al bezig om de oorspronkelijke deadline van 2 augustus 2026 te halen, terwijl organisaties die verantwoordelijk zijn voor systemen zoals beschreven in Bijlage I werkten aan het latere, productgerelateerde tijdschema van de AI-wet.
Het is van cruciaal belang te benadrukken dat de herziene deadlines geen vrijstelling van de nalevingsvereisten betekenen. De extra tijd moet worden gebruikt om de nalevingsprogramma's te versterken, de classificatie van AI-systemen te bevestigen, governance- en documentatieprocessen op te zetten, controles te testen en tekortkomingen aan te pakken ruim vóór de nieuwe deadlines van 2 december 2027 en 2 augustus 2028.
Breid je kennis uit
Podcast: Phishing for Trouble S2 E10: Built to Last: How Compliance Enables Business Resilience
