De EU AI Act (Verordening (EU) 2024/1689) volgt een risicogebaseerde benadering, die in de praktijk vaak wordt samengevat in vier niveaus: onaanvaardbaar, hoog, beperkt en minimaal risico. Die indeling is een bruikbare vereenvoudiging, maar geen formele classificatie waarin ieder AI-systeem verplicht precies één label krijgt. De verordening bevat onder meer verboden praktijken, hoogrisicosystemen, transparantieverplichtingen en systemen waarvoor geen specifieke aanvullende verplichting geldt.

De wet onderscheidt daarbij aanbieders (wie een AI-systeem ontwikkelt, of onder eigen naam op de markt brengt of in gebruik stelt) van gebruiksverantwoordelijken oftewel deployers (wie een AI-systeem onder eigen verantwoordelijkheid gebruikt, buiten puur persoonlijk, niet-beroepsmatig gebruik). Beide rollen brengen eigen verplichtingen met zich mee. En de meeste "gewone" bedrijven zijn deployer, niet aanbieder.

Twee onderdelen van de wet zijn al ruim een jaar van kracht:

Verbod op onaanvaardbare AI-praktijken (sinds 2 februari 2025). Onder de acht verboden categorieën vallen onder meer bepaalde schadelijke manipulatieve technieken (verboden wanneer zij gedrag wezenlijk verstoren en daardoor aanzienlijke schade veroorzaken of kunnen veroorzaken), bepaalde vormen van social scoring, en emotieherkenning op de werkvloer of in het onderwijs. Voor enkele van deze verboden gelden specifieke wettelijke voorwaarden en uitzonderingen, bijvoorbeeld voor medische of veiligheidsdoeleinden.

AI-geletterdheidsverplichting (sinds 2 februari 2025). Aanbieders en gebruiksverantwoordelijken moeten naar beste vermogen maatregelen nemen om ervoor te zorgen dat personeel en andere personen die namens hen met AI-systemen werken over voldoende AI-geletterdheid beschikken. De vereiste kennis en training hangen af van de ervaring van de betrokken personen, de gebruikscontext en de risico's van het systeem. De wet schrijft geen universeel diploma of verplichte cursus voor. Juist dit onderdeel wordt in de praktijk vaak over het hoofd gezien, terwijl het al geldt en relevant is zodra medewerkers met ChatGPT, Copilot of vergelijkbare tools werken.

De Digital Omnibus (Verordening (EU) 2026/1744) is op 24 juli 2026 gepubliceerd in het Publicatieblad van de EU en op 27 juli 2026 in werking getreden. Dit wijzigt ook artikel 4: de verplichting verschuift van het waarborgen van een toereikend niveau van AI-geletterdheid naar het nemen van maatregelen die de ontwikkeling van AI-geletterdheid ondersteunen, met de expliciete toevoeging dat een specifiek kennisniveau van individuele personen niet gegarandeerd hoeft te worden. De kern, aantoonbare inspanning leveren, blijft staan.

Sinds 2 augustus 2025 gelden daarnaast specifieke verplichtingen voor aanbieders van general purpose AI-modellen (de modellen achter tools als ChatGPT, Claude en Gemini): transparantie, documentatie en, voor de krachtigste modellen, aanvullende eisen rond systeemrisico.

Let op: via de Digital Omnibus komen per 2 december 2026 twee nieuwe verboden praktijken bij artikel 5 lid 1, gericht tegen non-consensuele seksuele deepfakes en tegen AI-gegenereerd materiaal van seksueel kindermisbruik. Het aantal verboden categorieën stijgt daarmee van acht naar tien.

Op deze datum werden de transparantieverplichtingen van artikel 50 van kracht. Dit onderdeel is niet uitgesteld door het Digital Omnibus-pakket en kan relevant zijn voor organisaties die onder meer chatbots, synthetische content of bepaalde AI-systemen voor beslissingen over personen aanbieden of gebruiken. Concreet, met de bijbehorende nuances:

  • Chatbots. Biedt u een chatbot aan die rechtstreeks met gebruikers communiceert? Dan moet u er als aanbieder voor zorgen dat gebruikers weten dat zij met een AI-systeem communiceren, tenzij dit voor een redelijk geïnformeerde, oplettende en omzichtige persoon al duidelijk is uit de omstandigheden en de gebruikscontext.
  • AI-gegenereerde content. Hiervoor gelden verschillende verplichtingen voor verschillende rollen: aanbieders van systemen die synthetische audio-, beeld-, video- of tekstcontent genereren, moeten zorgen voor een technische, machineleesbare markering. Gebruiksverantwoordelijken moeten deepfakes herkenbaar maken, en voor AI-gegenereerde of gemanipuleerde tekst over onderwerpen van algemeen belang geldt in beginsel een openbaarmakingsplicht; met uitzonderingen wanneer er menselijke redactionele controle is, en een aangepaste regeling voor artistieke, satirische en fictieve werken.

Afzonderlijke informatieplicht voor hoogrisicosystemen. Artikel 26 bevat een verplichting voor gebruiksverantwoordelijken van bepaalde hoogrisico-AI-systemen uit Bijlage III die beslissingen over natuurlijke personen nemen of ondersteunen: zij informeren de betrokken personen dat zij aan het gebruik van dat systeem worden onderworpen. Deze verplichting staat los van artikel 50 en valt onder het hoogrisicoregime waarvan de toepassingsdatum is opgeschoven via de Digital Omnibus.

Voor de machineleesbare markering geldt een overgangsregeling: aanbieders van relevante AI-systemen die al vóór 2 augustus 2026 op de markt zijn gebracht, krijgen tot 2 december 2026 de tijd om aan deze technische eis te voldoen. Deze overgangsregeling volgt uit Verordening (EU) 2026/1744 en ziet op het moment waarop het AI-systeem op de markt is gebracht, niet op de vraag of specifieke content al vóór 2 augustus 2026 gepubliceerd was. De wijziging is op 27 juli 2026 in werking getreden, drie dagen na publicatie in het Publicatieblad.

Voor zelfstandige AI-systemen met een hoog risico uit Bijlage III (denk aan software voor cv-screening, kredietbeoordeling of andere geautomatiseerde besluitvorming over mensen) zouden oorspronkelijk per 2 augustus 2026 zware eisen gaan gelden: risicobeheer, technische documentatie, menselijk toezicht en een formele conformiteitsbeoordeling. Voor hoogrisico-AI die als veiligheidscomponent is ingebouwd in gereguleerde producten (Bijlage I, zoals medische hulpmiddelen of machines) gold oorspronkelijk al een latere datum: 2 augustus 2027.

Via de Digital Omnibus zijn beide deadlines opgeschoven. Het Europees Parlement stemde hiermee in op 16 juni 2026, de Raad gaf zijn definitieve goedkeuring op 29 juni 2026. De wijzigingsverordening, Verordening (EU) 2026/1744, is op 24 juli 2026 gepubliceerd in het Publicatieblad van de EU en op 27 juli 2026 in werking getreden. De nieuwe datums voor hoogrisico-AI zijn daarmee formeel geldend recht. Concreet:

  • Bijlage III-systemen (zelfstandige hoogrisico-AI, zoals wervingssoftware en kredietscoring): van 2 augustus 2026 naar 2 december 2027.
  • Bijlage I-systemen (hoogrisico-AI als veiligheidscomponent in gereguleerde producten): van 2 augustus 2027 naar 2 augustus 2028.

Het pakket verschuift niet alleen deze datums, maar wijzigt ook enkele inhoudelijke verplichtingen en vereenvoudigingen. Het is dus meer dan een kwestie van "de deadline is opgeschoven".

De bestaande, beperkte mogelijkheid om onder strikte voorwaarden bijzondere persoonsgegevens te verwerken voor het detecteren en corrigeren van bias en discriminatie in AI-systemen wordt verruimt en de samenloop met sectorale productwetgeving wordt verduidelijkt.

De kernverplichtingen voor hoogrisico-AI zelf blijven inhoudelijk grotendeels ongewijzigd, alleen later van toepassing. Vroegtijdige voorbereiding blijft dan ook verstandig.

Het pakket breidt daarnaast de bestaande vereenvoudigingsmaatregelen voor kleinere ondernemingen uit naar zogeheten small mid-cap-bedrijven: ondernemingen met minder dan 750 werknemers en een jaaromzet van maximaal 150 miljoen euro of een balanstotaal van maximaal 129 miljoen euro (waarbij partner- en verbonden ondernemingen kunnen meetellen). Voor deze groep voorziet het pakket onder meer in vereenvoudigde documentatie en prioritaire toegang tot regulatory sandboxes. Geen onvoorwaardelijk toegangsrecht, maar wel een reële verlichting ten opzichte van de eisen voor grote ondernemingen.

Voor de meeste bedrijven die AI gebruiken zonder zelf AI te ontwikkelen, komt het neer op drie aandachtspunten:

  1. Breng in kaart welke AI-tools binnen uw organisatie worden gebruikt, en in welke rol. Vaak meer dan gedacht, en niet altijd met medeweten van IT of directie. Bepaal per toepassing of u aanbieder of gebruiksverantwoordelijke bent, en of er sprake kan zijn van een hoogrisicotoepassing.
  2. Zorg dat de AI-geletterdheidsverplichting geen dode letter is. Deze verplichting geldt al. Organisaties moeten daarom ook zonder voorafgaande toezichthandhaving kunnen aantonen welke maatregelen zij hiervoor hebben genomen.
  3. Bereid u voor op de transparantieplicht van 2 augustus, met name als u een chatbot aanbiedt, AI-gegenereerde content publiceert, of AI-ondersteunde beoordelingen van mensen gebruikt binnen een hoogrisicocontext.

Op basis van onze eigen projectervaring kan het opzetten van risicobeheer, governance en documentatie voor hoogrisico-AI meerdere maanden vergen; de werkelijke doorlooptijd hangt af van het aantal systemen, de organisatieomvang en de bestaande beheersmaatregelen.

Lexent verzorgt awareness trainingen die medewerkers en bestuur meenemen in wat de AI Act concreet van hen vraagt, inclusief de AI-geletterdheidsverplichting. Daarnaast voeren wij een juridische en technische scan uit om te bepalen welke AI-toepassingen binnen uw organisatie onder welk risiconiveau vallen, en welke verplichtingen daaruit voortvloeien. De beoordeling en classificatie worden door onze eigen specialisten uitgevoerd en niet autonoom aan een AI-systeem overgelaten, juist omdat de classificatie van uw specifieke AI-gebruik precisie vraagt.

Wilt u weten welke AI Act-verplichtingen nu al voor uw organisatie gelden, en welke relevant worden op de eerstvolgende wettelijke toepassingsdata? Neem contact met ons op voor een vrijblijvend gesprek.