De AI Act in het najaar van 2026: wat geldt nu en wat is uitgesteld?

Wat geldt er nu van de AI Act en wat is uitgesteld?

Op 13 oktober 2026 gelden de verboden praktijken, de regels over AI-geletterdheid, de regels voor modellen voor algemene doeleinden en de transparantieregels. Uitgesteld zijn de eisen aan hoog-risicosystemen: van 2 augustus 2026 naar 2 december 2027 voor de toepassingen uit bijlage III, en naar 2 augustus 2028 voor AI in gereguleerde producten.

Dat uitstel is geen voorstel meer: het Europees Parlement en de Raad hebben het in juni 2026 aangenomen. Wij hebben alles op 13 oktober 2026 nagelopen in de bronnen van de Europese Commissie, het Parlement en de Raad. Dit onderwerp verandert snel: controleer de tijdlijn van de AI Act Service Desk van de Commissie voordat je er een planning op bouwt.

Hoe zit de tijdlijn van de AI Act in elkaar?

De AI Act is Verordening (EU) 2024/1689. Ze is op 1 augustus 2024 in werking getreden en wordt in fasen van toepassing. De Commissie geeft op haar overzichtspagina over het regelgevend kader voor AI (bijgewerkt op 3 augustus 2026) de data die nu gelden.

Stand 13 oktober 2026. "Vastgesteld" betekent hier: het staat in de aangenomen tekst, maar de datum ligt nog in de toekomst.

Wat geldt er sinds 2 februari 2025?

Verboden praktijken

Artikel 5 verbiedt een aantal toepassingen, ongeacht wie ze gebruikt. De Commissie spreekt van acht verboden die sinds februari 2025 gelden en een negende dat de omnibus heeft toegevoegd. Bij een chatbot die teksten maakt of documenten doorzoekt, spelen deze verboden zelden. Wie AI wil inzetten om gedrag of emoties van medewerkers te beoordelen, leest het artikel eerst.

AI-geletterdheid: wel herschreven, niet verdwenen

Artikel 4 verplichtte aanbieders en gebruiksverantwoordelijken om te zorgen voor voldoende AI-geletterdheid van hun personeel. De omnibus heeft het artikel vervangen. In de aangenomen tekst van de omnibus staat nu dat aanbieders en gebruiksverantwoordelijken maatregelen nemen om de ontwikkeling van AI-geletterdheid van hun personeel te ondersteunen, rekening houdend met kennis, ervaring, opleiding en de context waarin het systeem wordt gebruikt. Er staat uitdrukkelijk bij dat de plicht niet vraagt dat je een bepaald niveau van elke medewerker garandeert. De Commissie en de lidstaten krijgen de taak organisaties daarbij te helpen, onder meer met praktijkvoorbeelden.

De plicht bestaat dus nog. Ze is geformuleerd als een inspanning in plaats van een resultaat. Wat dat voor een werkgever betekent, werken we uit in het artikel over AI-geletterdheid.

Wat geldt er sinds 2 augustus 2025?

Sinds die datum gelden de regels voor aanbieders van AI-modellen voor algemene doeleinden, zoals de modellen achter ChatGPT, Claude en Mistral Vibe. Die plichten rusten op de makers van de modellen, niet op jou als gebruiker. Op dezelfde datum moest het Europese bestuur zijn ingericht en moesten de lidstaten hun toezichthouders hebben aangewezen en sancties hebben geregeld. Nederland heeft dat laatste nog niet in een wet vastgelegd; daarover verderop meer.

Wat is er per 2 augustus 2026 gaan gelden?

Volgens de tijdlijn van de Commissie is op 2 augustus 2026 het grootste deel van de verordening van toepassing geworden en is de handhaving begonnen, op Europees en nationaal niveau, voor de regels die al golden: de verboden, AI-geletterdheid, de modelregels en transparantie. Wat níét op die datum is ingegaan, zijn de eisen aan hoog-risicosystemen.

De transparantieregels van artikel 50

Artikel 50 verdeelt de plichten over twee rollen.

• Aanbieders van systemen die met mensen praten: het systeem moet zo zijn gemaakt dat mensen weten dat ze met AI te maken hebben, tenzij dat voor een redelijk geïnformeerd persoon duidelijk is.
• Aanbieders van generatieve systemen: uitvoer moet in een machineleesbaar formaat als kunstmatig gemaakt of bewerkt herkenbaar zijn. Voor systemen die al vóór 2 augustus 2026 op de markt waren, loopt een overgangstermijn tot 2 december 2026.
• Gebruiksverantwoordelijken van emotieherkenning of biometrische categorisering: je informeert de mensen op wie het systeem wordt toegepast.
• Gebruiksverantwoordelijken die deepfakes maken: je maakt bekend dat beeld, geluid of video kunstmatig is gemaakt of bewerkt.
• Gebruiksverantwoordelijken die AI-tekst publiceren over zaken van algemeen belang: je maakt bekend dat de tekst door AI is gemaakt, tenzij een mens de tekst heeft beoordeeld en iemand de redactionele verantwoordelijkheid draagt.

De informatie moet duidelijk zijn en uiterlijk bij het eerste contact worden gegeven. Artikel 50 zelf is niet uitgesteld. Alleen de markeringsplicht uit lid 2 heeft voor bestaande systemen een overgangstermijn gekregen.

Wat regelt de digitale omnibus over AI?

Van voorstel naar wet

De Commissie stelde de omnibus op 19 november 2025 voor, als onderdeel van een breder digitaal pakket. Volgens de briefing van de onderzoeksdienst van het Europees Parlement stelde de Raad zijn positie vast op 13 maart 2026 en het Parlement op 26 maart 2026, volgde op 7 mei 2026 een akkoord en keurde het Parlement dat goed op 16 juni 2026. De Raad nam de verordening aan op 29 juni 2026, zo blijkt uit de stemuitslag van de Raad. Volgens de Commissie is de omnibus op 27 juli 2026 in werking getreden. De Commissie verwijst naar de tekst in het Publicatieblad onder nummer 2026/1744.

De aanleiding staat in dezelfde briefing: geharmoniseerde normen en hulpmiddelen voor de hoog-risico-eisen waren niet op tijd klaar, en een aantal lidstaten had zijn toezichthouders nog niet aangewezen.

De belangrijkste wijzigingen

• Hoog risico, bijlage III: de eisen gelden vanaf 2 december 2027 in plaats van 2 augustus 2026.
• Hoog risico, bijlage I: AI in gereguleerde producten zoals machines, speelgoed en liften volgt op 2 augustus 2028.
• Bestaande systemen: een hoog-risicosysteem dat vóór de toepassingsdatum op de markt is gebracht, valt alleen onder de verordening als het ontwerp daarna ingrijpend wijzigt. Voor systemen die bedoeld zijn voor overheden geldt in elk geval 2 augustus 2030.
• Nieuw verbod: AI die zonder toestemming intiem beeldmateriaal van personen maakt of bewerkt, of materiaal van seksueel kindermisbruik, is vanaf 2 december 2026 verboden.
• AI-geletterdheid: artikel 4 is herschreven, zoals hierboven beschreven.
• Kleinere bedrijven: vereenvoudigingen die voor het mkb golden, gelden nu ook voor een groep iets grotere ondernemingen, de "small mid-caps".
• Toezicht: het AI-bureau van de Commissie krijgt meer toezicht op systemen die op modellen voor algemene doeleinden zijn gebouwd.

Wat nog een voorstel is

Het pakket van november 2025 bevatte een tweede voorstel, over gegevens en de AVG. Dat is een aparte procedure. Wij hebben op 13 oktober 2026 geen aangenomen tekst van dat voorstel gevonden; de laatste stukken die wij zagen, wijzen op lopende besprekingen in de Raad. Behandel wat je daarover leest als voorstel, en volg de registers van het Parlement en de Raad voor de stand.

Wie houdt in Nederland toezicht?

De verordening geldt rechtstreeks, maar elke lidstaat regelt zelf wie toezicht houdt en hoe sancties worden opgelegd. In Nederland gebeurt dat met de uitvoeringswet AI-verordening. Die is op 20 april 2026 in internetconsultatie gegaan, tot en met 1 juni 2026. Daarna volgen de verwerking van de reacties, het advies van de Raad van State en de behandeling in de Tweede Kamer.

Het voorgestelde stelsel

• Sectorale toezichthouders: bestaande toezichthouders controleren AI binnen hun eigen domein. De Rijksinspectie Digitale Infrastructuur noemt onder meer de Inspectie Leefomgeving en Transport, de Inspectie Gezondheidszorg en Jeugd, de NVWA en de Nederlandse Arbeidsinspectie.
• Autoriteit Persoonsgegevens: toezichthouder voor de gebieden waar geen duidelijke sectorale toezichthouder is, en samen met de RDI coördinator.
• RDI: coördinator, centraal contactpunt voor Nederland en begeleider van de testomgevingen.

Stand van de wet

Wij hebben op 13 oktober 2026 geen bron van de overheid gevonden waaruit blijkt dat het wetsvoorstel bij de Tweede Kamer is ingediend. In vakmedia staat dat de indiening is doorgeschoven naar 2027, maar dat hebben wij niet in een Kamerstuk kunnen nalopen. Ga er daarom van uit dat het stelsel nog een voorstel is en dat de aanwijzing van toezichthouders kan wijzigen.

Voor jouw verplichtingen maakt dat weinig uit. De regels die al gelden, gelden ook zonder uitvoeringswet, en de AVG blijft naast de AI Act van toepassing zodra je met persoonsgegevens werkt.

Wat betekent dit als je organisatie AI-chatbots gebruikt?

Je bent gebruiksverantwoordelijke

Een organisatie die een AI-systeem onder eigen verantwoordelijkheid gebruikt, heet in de verordening gebruiksverantwoordelijke. Dat ben je al als medewerkers een chatbot gebruiken voor hun werk. De zwaarste plichten liggen bij aanbieders, maar jouw rol brengt eigen plichten mee.

• Nu: je ondersteunt de AI-geletterdheid van je mensen en blijft uit de buurt van de verboden praktijken.
• Nu, als het speelt: je bent open over deepfakes en over AI-tekst die je zonder menselijke beoordeling publiceert over zaken van algemeen belang.
• Vanaf 2 december 2027, als het speelt: de plichten voor gebruik van hoog-risicosystemen.

Wanneer wordt het hoog risico?

Een chatbot die helpt met samenvatten, schrijven of zoeken is niet vanzelf een hoog-risicosysteem. Het gaat om het doel waarvoor je AI inzet. Bijlage III noemt acht gebieden, waaronder werkgelegenheid en personeelsbeheer, toegang tot essentiële diensten, en rechtsbedeling.

Laat je AI sollicitatiebrieven beoordelen of prestaties van medewerkers volgen, dan zit je in het gebied werkgelegenheid. Het punt over rechtsbedeling gaat over AI die een rechterlijke instantie helpt bij het onderzoeken en toepassen van feiten en recht, of die op vergelijkbare wijze wordt gebruikt bij alternatieve geschilbeslechting. Een advocatenkantoor dat met AI in eigen dossiers zoekt, valt daar niet zonder meer onder. Voor dat kantoor zijn de beroepsregels de strengste maatstaf; die staan in ons artikel over beroepsgeheim en AI.

Val je er wel onder, dan vraagt artikel 26 onder meer dat je het systeem volgens de gebruiksaanwijzing gebruikt, menselijk toezicht belegt bij mensen met de juiste kennis en bevoegdheid, de werking bewaakt, logbestanden minstens zes maanden bewaart, en werknemers en hun vertegenwoordigers vooraf informeert. Of jouw toepassing hoog risico is, is een juridische beoordeling. Laat die toetsen als je twijfelt.

Wat regel je nu al?

Het uitstel geeft tijd voor de hoog-risico-eisen. Het verandert niets aan wat vandaag geldt.

1. Maak een overzicht van je AI-gebruik. Welke tools, door wie, waarvoor, ook op privéaccounts. Zie ons artikel over shadow AI.
2. Bepaal per toepassing je rol en het risico. Ben je gebruiksverantwoordelijke of bouw je zelf iets voor anderen? Raakt het doel een gebied uit bijlage III?
3. Toets op de verboden praktijken. Vooral bij alles wat medewerkers, sollicitanten of klanten beoordeelt.
4. Regel AI-geletterdheid. Een korte, herhaalde training die past bij de taken van je mensen, en een notitie van wie haar heeft gevolgd.
5. Leg transparantie vast. Wanneer vermeld je dat iets door AI is gemaakt, en wie beoordeelt teksten voordat ze naar buiten gaan?
6. Schrijf een AI-beleid. Toegestane tools, verboden invoer, controle van uitkomsten, incidenten. Een opzet staat in ons artikel over AI-beleid opstellen.
7. Vergeet de AVG niet. Verwerkersovereenkomst, register en waar nodig een DPIA. Zie ons artikel over de DPIA voor AI-tools.
8. Zet 2 december 2027 in je planning. Als een toepassing hoog risico kan zijn, begin dan nu met de beoordeling en vraag je leverancier naar zijn planning.

Wat PrivaSearch hierin doet

PrivaSearch maakt documenten doorzoekbaar nadat persoonsgegevens zijn vervangen door pseudoniemen en een collega dat heeft gecontroleerd. Het neemt geen besluiten over personen: het levert passages met een bronverwijzing, en een mens beoordeelt wat hij ermee doet. Op de pagina over de AVG en de AI Act staat per onderdeel welke maatregelen we hebben genomen en wat van jou blijft. Daar staat ook dat de inrichting een classificatie buiten de hoog-risicocategorieën ondersteunt, afhankelijk van het beoogde gebruik en de werkwijze. De classificatie van jouw gebruik maak je zelf.

Drie onderdelen raken aan wat de AI Act vraagt. De menselijke review is verplicht, niet optioneel. Antwoorden hebben een bronverwijzing, zodat een gebruiker kan nagaan waar een passage vandaan komt. En medewerkers volgen een korte training over AI-geletterdheid, met periodieke herhaling; zonder geldige training opent de werkruimte niet en weigert ook de koppeling met een AI-assistent. Die koppeling werkt met Claude, ChatGPT Business en Mistral Vibe. De stappen staan op de pagina Hoe PrivaSearch werkt.

Je omgeving maakt daarnaast een AI-beleid en een DPIA-startdocument op basis van je eigen inrichting. Het zijn startdocumenten, geen juridisch advies: de toetsing door een jurist of je functionaris gegevensbescherming en de vaststelling blijven van jou. Gepseudonimiseerde gegevens blijven voor jouw organisatie persoonsgegevens.

Wat er speelt als AI-gebruik ongeregeld blijft, staat op de pagina over de risico's. Wil je zien hoe dit er in de praktijk uitziet, vraag dan een demo aan.