De digitale omnibus inzake AI: wat Verordening 2026/1744 veranderde

Het juridisch kader

De digitale omnibus inzake AI is Verordening (EU) 2026/1744 van 8 juli 2026. Ze verscheen op 24 juli 2026 in het Publicatieblad en trad op 27 juli 2026 in werking, de derde dag na de bekendmaking (artikel 4). Ze wijzigt drie teksten: de AI-verordening, Verordening (EU) 2024/1689 (artikel 1), de luchtvaartverordening (EU) 2018/1139 (artikel 2) en de machineverordening (EU) 2023/1230 (artikel 3).

De wijzigingen maken nu deel uit van de AI-verordening zelf. EUR-Lex publiceert een geconsolideerde versie van de AI-verordening van 27 juli 2026. Als we hieronder een artikel van de AI-verordening noemen, bedoelen we de gewijzigde versie.

De overwegingen leggen uit waarom. De normen die aanbieders van hoogrisico-AI technische oplossingen moeten bieden, kwamen te laat, net als de oprichting van de nationale toezichthouders (overweging 2). De omnibus geeft daarom extra tijd en sleutelt gericht aan de tekst. Aan de risicogebaseerde opbouw van de AI-verordening raakt hij niet.

De nieuwe data

Artikel 113 van de AI-verordening luidt nu zo:

• 2 februari 2025: de hoofdstukken I en II (definities, AI-geletterdheid, verboden) behouden hun datum.
• 27 juli 2026: de artikelen 102 tot 110 (de wijzigingen van andere EU-handelingen) gelden.
• 2 augustus 2026: de algemene toepassingsdatum blijft. Daaronder vallen ook de transparantieplichten van artikel 50.
• 2 december 2026: de twee nieuwe verboden in artikel 5, lid 1, punten ba) en bb), en de regels in artikel 5, leden 1 bis en 1 ter, gelden.
• 2 december 2027: hoofdstuk III, afdelingen 1 tot 3, geldt voor hoogrisico-AI-systemen onder artikel 6, lid 2, en bijlage III, zoals AI voor werving, onderwijs of kredietscores.
• 2 augustus 2028: dezelfde regels gelden voor hoogrisico-AI-systemen onder artikel 6, lid 1, en bijlage I, die veiligheidscomponent zijn van producten als speelgoed, liften of medische hulpmiddelen.

Twee overgangsregels in artikel 111 tellen ook mee. Aanbieders van generatieve AI-systemen die vóór 2 augustus 2026 in de handel zijn gebracht, moeten synthetische output uiterlijk op 2 december 2026 markeren volgens artikel 50, lid 2 (artikel 111, lid 4). Hoogrisicosystemen die al vóór hun datum uit hoofdstuk III op de markt waren, vallen alleen onder de verordening als hun ontwerp daarna ingrijpend verandert. Systemen bedoeld voor overheidsinstanties moeten wel in elk geval uiterlijk op 2 augustus 2030 in orde zijn (artikel 111, lid 2).

Wat er verder veranderde, artikel per artikel

• AI-geletterdheid (artikel 4). Aanbieders en gebruiksverantwoordelijken "nemen maatregelen om de ontwikkeling van AI-geletterdheid" van hun personeel en van anderen die namens hen AI gebruiken "te ondersteunen". De tekst zegt nu uitdrukkelijk dat die plicht "niet inhoudt dat aanbieders of gebruiksverantwoordelijken een bepaald niveau van AI-geletterdheid moeten waarborgen voor personen". De Commissie publiceert praktische voorbeelden.
• Opsporen van vertekening (nieuw artikel 4 bis). Aanbieders van hoogrisico-AI mogen bij uitzondering bijzondere categorieën persoonsgegevens verwerken om vertekening (bias) op te sporen en te corrigeren, onder zes cumulatieve voorwaarden: andere data volstaan niet, technische beperkingen en pseudonimisering, strikte toegangscontrole, geen doorgifte aan anderen, wissen zodra de vertekening is gecorrigeerd, en een verantwoording in het verwerkingsregister. Artikel 10, lid 5, dat de oude regel bevatte, is geschrapt. Artikel 4 bis, lid 2, geeft andere aanbieders en gebruiksverantwoordelijken dezelfde mogelijkheid, met dezelfde waarborgen.
• Twee nieuwe verboden (artikel 5, lid 1, punten ba) en bb)). Verboden zijn AI-systemen die realistische intieme beelden van een identificeerbare persoon genereren of manipuleren zonder diens uitdrukkelijke toestemming, en systemen die materiaal van seksueel misbruik van kinderen genereren, behalve waar het nationale recht een verweer "zonder recht" kent. Artikel 5, lid 1 bis, beperkt het verbod voor aanbieders tot systemen die daarvoor bedoeld zijn, of waarbij zulk materiaal een "redelijkerwijs te voorzien en reproduceerbaar resultaat" is en adequate waarborgen ontbreken. Gebruiksverantwoordelijken vallen er alleen onder als ze een systeem met dat doel gebruiken.
• Veiligheidscomponent (artikel 3, punt 14, en artikel 6, leden 1 bis tot 1 quater). AI die alleen dient voor gebruikersondersteuning, prestatieoptimalisatie, efficiëntie, automatisering, gemak of kwaliteitscontrole is geen veiligheidscomponent, tenzij een storing de gezondheid of veiligheid in gevaar brengt. Een product dat alleen om niet-veiligheidsredenen, zoals radio-interferentie, een beoordeling door derden nodig heeft, voldoet niet langer aan de voorwaarde van artikel 6, lid 1, punt b).
• Kmo's en kleine midcapondernemingen. Nieuwe definities in artikel 3, punten 14 bis en 14 ter, voeren de kleine midcaponderneming (small mid-cap, SMC) in uit Aanbeveling (EU) 2025/1099. Kmo's en kleine midcaps mogen hun technische documentatie aanleveren via een vereenvoudigd formulier van de Commissie, dat aangemelde instanties moeten aanvaarden (artikel 11, lid 1). Het kwaliteitsbeheersysteem is evenredig aan de omvang (artikel 17, lid 2). Boetes voor kleine midcaps zijn beperkt tot het laagste van het percentage en het bedrag (artikel 99, lid 6 bis).
• De keten (artikel 25). Wordt iemand anders aanbieder van een hoogrisicosysteem, dan moet de oorspronkelijke aanbieder de technische documentatie bezorgen, bekende beperkingen en faalwijzen toelichten en gerichte technische toegang geven. Dat geldt niet als hij duidelijk heeft aangegeven dat zijn systeem niet tot een hoogrisicosysteem mag worden omgevormd (artikel 25, lid 2). Wie AI-systemen, modellen, tools, diensten of componenten levert die in een hoogrisicosysteem worden gebruikt, moet met de aanbieder schriftelijk afspreken welke informatie, capaciteiten, technische toegang en bijstand die nodig heeft (artikel 25, lid 4). Een inbreuk op artikel 25, lid 2 of lid 4, kan nu beboet worden volgens artikel 99, lid 4, punt da).
• Effectbeoordeling grondrechten (artikel 27, leden 4 en 5). Een gebruiksverantwoordelijke mag verwijzen naar zijn gegevensbeschermingseffectbeoordeling, en het AI-bureau maakt een sjabloon voor een vragenlijst.
• Cyberbeveiliging (artikel 42, lid 3). Hoogrisico-AI die voldoet aan de voorwaarden van artikel 12, lid 1, van de verordening cyberweerbaarheid wordt geacht te voldoen aan artikel 15 van de AI-verordening.
• Testomgevingen en testen (artikelen 57, 58, 60 en nieuw 60 bis). Elke lidstaat moet uiterlijk op 2 augustus 2027 een nationale AI-testomgeving voor regelgeving operationeel hebben. Het AI-bureau mag er een op EU-niveau opzetten. Testen onder reële omstandigheden buiten testomgevingen wordt uitgebreid tot producten uit afdeling A van bijlage I, en lidstaten kunnen het toelaten voor producten uit afdeling B.
• Het AI-bureau (artikelen 75 en 75 bis tot 75 quinquies). Het AI-bureau wordt exclusief bevoegd voor AI-systemen gebouwd op een AI-model voor algemene doeleinden als model en systeem van dezelfde aanbieder of groep komen, en voor AI in zeer grote onlineplatforms en zoekmachines, met enkele uitzonderingen (artikel 75, lid 1). Het krijgt inspectiebevoegdheden, kan toezeggingen bindend maken en kan boetes opleggen en dwangsommen tot 5% van het gemiddelde dagelijkse inkomen of de wereldwijde jaaromzet per dag (artikel 75 quater, lid 5).
• Praktijkcodes en richtsnoeren (artikelen 50, lid 7, 56, lid 6, en 96). De Commissie beoordeelt of praktijkcodes volstaan en kan uitvoeringshandelingen vaststellen als dat niet zo is. Nieuwe richtsnoeren over het combineren van de AI-verordening met sectorale productregels komen er uiterlijk op 1 augustus 2027 (artikel 96, lid 1, punt g)).
• Machines. Machines verhuizen van afdeling A naar afdeling B van bijlage I. De Commissie moet AI-eisen opnemen in de machineverordening via gedelegeerde handelingen die uiterlijk op 2 augustus 2028 gelden (artikel 3 van de omnibus).

In de praktijk

Een Leuvens HR-softwarebedrijf verkoopt een tool die cv's rangschikt. Dat is een toepassing uit bijlage III. De hoogrisicoplichten beginnen op 2 december 2027, niet op 2 augustus 2026. Is het een kmo, dan kan het het vereenvoudigde documentatieformulier gebruiken zodra de Commissie dat publiceert. Wat niet verschoof: AI-geletterdheid sinds 2 februari 2025, en de transparantie van artikel 50 sinds 2 augustus 2026 voor de chatbot voor kandidaten.

Een Gents ontwerpbureau gebruikt een beeldgenerator die de leverancier in 2025 op de markt bracht. Volgens artikel 111, lid 4, moet die leverancier synthetische output uiterlijk op 2 december 2026 markeren. Als gebruiksverantwoordelijke moet het bureau deepfakes zelf blijven melden (artikel 50, lid 4). Vraag de leverancier dus schriftelijk hoe en wanneer de markering werkt.

Een machinebouwer in Kortrijk bouwt een camerasysteem in dat een pers stopt als een hand te dichtbij komt. Dat systeem vervult een veiligheidsfunctie en is dus een veiligheidscomponent. De camera voor kwaliteitscontrole, die alleen onderdelen sorteert, is dat niet, tenzij een storing de veiligheid in gevaar brengt (artikel 6, leden 1 bis en 1 ter). Omdat machines nu in afdeling B van bijlage I staan, gelden de meeste plichten van de AI-verordening er niet rechtstreeks voor (artikel 2, lid 2). De AI-eisen komen via gedelegeerde handelingen onder de machineverordening, die uiterlijk op 2 augustus 2028 moeten gelden.

Een softwaregroep die een model bouwt en daarop een assistent heeft voor die assistent voortaan het AI-bureau als toezichthouder, en niet een nationale autoriteit, tenzij een uitzondering uit artikel 75, lid 1, punt a), speelt.

Contracten en praktische stappen

1. Werk je AI-inventaris bij. Noteer per systeem welke datum geldt: bijlage III (2 december 2027), bijlage I (2 augustus 2028) of artikel 50 (nu al). Ons AI Act-register doet dat per systeem.
2. Controleer je omvang. Ga na of je een kmo of een kleine midcap bent volgens de twee aanbevelingen. Dat bepaalt of je de vereenvoudigde formulieren en het lagere boeteplafond mag gebruiken.
3. Herschrijf je leverancierscontracten. Artikel 25, lid 4, vraagt nu een schriftelijke overeenkomst over informatie, capaciteiten en technische toegang. Voeg een clausule toe over bekende beperkingen en faalwijzen, toegang voor tests en samenwerking als je klant zelf aanbieder wordt. Zie AI-clausules in leverancierscontracten. Met Document Studio stel je die clausules op en toets je ze.
4. Bekijk je biastests. Verwerk je gevoelige gegevens om op vertekening te testen, documenteer dan de zes voorwaarden van artikel 4 bis, lid 1, in je verwerkingsregister.
5. Pas je aanpak van AI-geletterdheid aan. Behoud de opleidingen. Leg vast welke maatregelen je neemt, voor wie en waarom, eerder dan testscores.
6. Gebruik de tijd. Technische documentatie, risicobeheer en een kwaliteitsbeheersysteem bouw je niet in een paar weken.

Veelgestelde vragen

Heeft de omnibus artikel 50 uitgesteld?

Nee. Artikel 50 geldt vanaf 2 augustus 2026. Alleen generatieve systemen die al vóór die datum op de markt waren, krijgen tot 2 december 2026 voor de markering van output volgens artikel 50, lid 2.

Is AI-geletterdheid nog verplicht?

Ja. Artikel 4 geldt nog altijd sinds 2 februari 2025. De plicht is maatregelen nemen die AI-geletterdheid ondersteunen. Je hoeft niet per persoon een bepaald niveau te waarborgen.

Wie is een kleine midcaponderneming?

Een onderneming die voldoet aan de definitie in punt 2 van de bijlage bij Aanbeveling (EU) 2025/1099, waarnaar artikel 3, punt 14 ter, verwijst. De drempels staan in de aanbeveling zelf.

Mag een leverancier weigeren mee te werken aan mijn compliance?

Niet als hij onderdelen levert voor jouw hoogrisico-AI-systeem: artikel 25, lid 4, vraagt een schriftelijke overeenkomst over de hulp die je nodig hebt. Die plicht geldt niet voor tools en componenten die onder een vrije en opensourcelicentie publiek beschikbaar zijn, behalve AI-modellen voor algemene doeleinden.

Verandert de omnibus de AVG?

Nee. Artikel 2, lid 7, van de AI-verordening zegt nog altijd dat de verordening de AVG onverlet laat, onverminderd de artikelen 4 bis en 59. Een apart voorstel, de bredere digitale omnibus, zou de AVG wel wijzigen. Zie de bredere digitale omnibus.

Hoe dit samenhangt

Dit artikel hoort bij onze reeks over het Europese digitale regelboek. Begin bij het EU-digitaal regelboek in 2026. Alle data van de AI-verordening in één tabel vind je in de AI Act-tijdlijn. De regels voor modellen voor algemene doeleinden staan in AI voor algemene doeleinden: praktijkcodes, richtsnoeren en normen, en de voorgestelde wijzigingen aan de AVG, cookies en de Data Act in de bredere digitale omnibus. Voor de basis lees je het praktische overzicht van de AI Act.

Met onze dienst AI Act-compliance leggen we de nieuwe data naast je systemen, en ons team commerciële contracten werkt je leveranciers- en klantvoorwaarden bij.

Aangehaalde bepalingen. Verordening (EU) 2026/1744, artikelen 1 tot 4. AI-verordening, artikelen 3, punten 14, 14 bis en 14 ter, 4, 4 bis, 5, lid 1, punten ba) en bb), 5, leden 1 bis en 1 ter, 6, leden 1 bis tot 1 quater, 11, lid 1, 17, lid 2, 25, leden 2 en 4, 27, leden 4 en 5, 42, lid 3, 50, 57, 60 bis, 75 tot 75 quinquies, 96, lid 1, punt g), 99, lid 4, punt da), en lid 6 bis, 111 en 113.

Belangrijke data. 24 juli 2026: bekendmaking. 27 juli 2026: inwerkingtreding. 2 december 2026: nieuwe verboden en artikel 50, lid 2, voor oudere generatieve systemen. 1 augustus 2027: richtsnoeren onder artikel 96, lid 1, punt g). 2 augustus 2027: nationale testomgevingen operationeel. 2 december 2027: hoogrisico onder bijlage III. 2 augustus 2028: hoogrisico onder bijlage I. 2 augustus 2030: hoogrisicosystemen bij overheidsinstanties.

Bronnen. Verordening (EU) 2026/1744, AI-verordening, Verordening (EU) 2024/1689 en de geconsolideerde tekst van 27 juli 2026.