Een belangrijk deel van de AI Act-planning is veranderd
Verordening (EU) 2026/1744, de Digital Omnibus on AI, is op 27 juli in werking getreden. De regels voor zelfstandige high-risk AI-systemen uit bijlage III gaan nu gelden vanaf 2 december 2027. Voor high-risk systemen die onderdeel zijn van producten onder Europese veiligheidswetgeving verschuift de datum naar 2 augustus 2028.
Dat zijn wezenlijke wijzigingen. Organisaties krijgen meer tijd terwijl standaarden, richtsnoeren en beoordelingscapaciteit verder worden ontwikkeld. Maar de AI Act als geheel is niet uitgesteld. Regels voor verboden toepassingen, aanbieders van general-purpose AI-modellen en transparantie onder artikel 50 hebben elk hun eigen planning. De richtsnoeren van de Europese Commissie voor artikel 50 wijzen nog steeds op 2 augustus 2026 voor de transparantieverplichtingen, binnen de specifieke reikwijdte en overgangsbepalingen van de wet.
De praktische conclusie is simpel: een verschoven high-risk deadline is geen reden om de implementatie stil te leggen. Het is een kans om gehaast papierwerk te vervangen door werkende beheersmaatregelen.
De deadline is minder belangrijk dan weten waar AI werkt
De meeste organisaties hebben nog geen betrouwbaar overzicht van de plekken waar AI operationeel werk raakt. Het gebruik is verspreid over ingekochte assistants, functies in bestaande software, maatwerkworkflows en experimenten van medewerkers. Juridische classificatie wordt lastig als het onderliggende proces niet eens goed is vastgelegd.
Begin daarom bij het werkproces, niet bij een lijst met modelnamen. Leg per toepassing vast wat het zakelijke doel is, wie proceseigenaar is, welke mensen worden geraakt, welke inputdata wordt gebruikt, welke output of beslissing ontstaat, welke systemen zijn gekoppeld, waar menselijke controle plaatsvindt, welke leverancier en welk model worden gebruikt, wat wordt gelogd, wat er bij fouten gebeurt en welke bedrijfsuitkomst wordt verwacht. Dat overzicht vormt de basis voor classificatie, risicoanalyse, inkoop en technische beheersing.
Een generieke registratie met alleen “chatbot voor klantenservice” is te oppervlakkig. Een bruikbaar dossier legt uit of het systeem alleen een antwoord opstelt of dit ook verstuurt, welke klantdata het mag ophalen, welke bronnen het mag gebruiken, wie uitzonderingen beoordeelt en hoe een foutieve actie wordt ontdekt en teruggedraaid.
Gebruik de extra tijd om operationeel bewijs op te bouwen
Compliance valt na livegang niet te reconstrueren uit een beleidsdocument. Organisaties hebben bewijs uit het systeem zelf nodig: welke data is benaderd, welke model- en promptversie draaide, wat het systeem produceerde, welke controles zijn uitgevoerd, of een mens het resultaat goedkeurde en wat er daarna in het proces gebeurde.
De nuttigste voorbereiding maakt daarom ook het product beter. Laat nieuwe workflows eerst in shadow mode meedraaien voordat ze uitvoeringsrechten krijgen. Meet geaccepteerde resultaten, correcties, escalaties, false positives, doorlooptijd en fouten per toepassing. Test toegangsgrenzen en uitzonderingsroutes. Houd methoden, evaluaties en wijzigingen versieerbaar bij.
Dit bewijs helpt een jurist of compliance-specialist om te bepalen wat de wet vereist. Tegelijk beantwoordt het de operationele vraag die voor een koper minstens zo belangrijk is: levert het systeem een beheerst en herhaalbaar resultaat?
Vier acties die niet tot 2027 hoeven te wachten
- Wijs voor iedere operationele AI-toepassing een eigenaar aan. Geen systeem hoort tussen IT, legal en de business in te blijven hangen zonder iemand die verantwoordelijk is voor de uitkomst.
- Scheid assisteren van uitvoeren. Leg vast wat AI mag voorbereiden, waarvoor menselijke goedkeuring nodig is en wat zelfstandig mag worden uitgevoerd.
- Bouw traceerbaarheid in het werkproces. Leg input, bronnen, modelversies, beslissingen, goedkeuringen en vervolgacties zo vast dat ze achteraf te beoordelen zijn.
- Beoordeel opnieuw wanneer het proces verandert. Een onschuldige schrijfassistent wordt een wezenlijk ander systeem zodra die toegang krijgt tot persoonsgegevens of acties mag uitvoeren in een ERP-, CRM- of zaaksysteem.
Extra tijd is alleen waardevol als die grip oplevert
De Omnibus verlaagt de tijdsdruk voor belangrijke high-risk categorieën. Bedrijven moeten die ruimte bewust gebruiken. Wachten tot de laatste maand maakt het niet eenvoudiger om systeeminventarisaties, datagrenzen, evaluaties, menselijk toezicht en audit trails te bouwen.
De organisaties die profiteren van het uitstel zijn niet de organisaties die het langst pauzeren. Het zijn de organisaties die per werkproces kunnen aantonen wat hun AI doet, welke waarde die creëert, waar het mis kan gaan en welke beheersmaatregelen dan overeind blijven.
Dit artikel biedt operationele duiding, geen juridisch advies. Classificatie en toepasselijkheid moeten worden beoordeeld aan de hand van de officiële tekst en waar nodig met gekwalificeerd juridisch advies.
Officiële bronnen: Verordening (EU) 2026/1744; definitieve goedkeuring door de Raad; richtsnoeren van de Europese Commissie voor transparantie onder artikel 50.