AI Act: dit geldt vanaf zondag wel en niet voor Nederlandse AI- en SaaS-bedrijven
Op zondag 2 augustus bereikt de Europese AI-verordening haar volgende mijlpaal. Door het Digital Omnibus-akkoord van dit voorjaar schuiven de zwaarste eisen voor hoog-risicosystemen op naar eind 2027, maar de transparantieverplichtingen worden wel van kracht en de Europese Commissie kan de regels voor grote AI-modellen vanaf dan handhaven. De Nederlandse uitvoeringswet die het toezicht regelt, is bovendien nog niet klaar.
In de oorspronkelijke AI-verordening was 2 augustus 2026 de grote datum: dan zouden onder meer de verplichtingen gelden voor hoog-risicotoepassingen uit bijlage III, zoals AI voor werving en selectie, kredietscoring en onderwijs. Het politieke akkoord over de Digital Omnibus van 6 mei, op 13 mei bevestigd door de Raad, verschuift die datum naar 2 december 2027. Voor hoog-risicosystemen in gereguleerde producten (bijlage I, zoals medische hulpmiddelen en machines) gaat de deadline van 2 augustus 2027 naar 2 augustus 2028. Belangrijke kanttekening: het uitstel is juridisch pas definitief zodra de omnibus in het Publicatieblad van de EU staat, wat vóór 2 augustus wordt verwacht.
Wat per 2 augustus wel gaat gelden
De transparantieverplichtingen uit artikel 50 blijven volgens planning op 2 augustus 2026 van kracht. Gebruikers moeten weten dat ze met een AI-systeem praten, AI-gegenereerde content moet machineleesbaar gemarkeerd worden en deepfakes moeten herkenbaar zijn. Voor aanbieders van grote, generieke AI-modellen golden de inhoudelijke verplichtingen al sinds augustus 2025; nieuw is dat de Europese Commissie deze regels vanaf 2 augustus 2026 daadwerkelijk kan handhaven, met boetes als sluitstuk. Voor de meeste Nederlandse SaaS-bedrijven die AI-functies inbouwen, is artikel 50 daarmee het meest concrete huiswerk.
Nederlands toezicht is nog niet ingericht
Nederland werkt aan de Uitvoeringswet AI-verordening, die onder meer regelt welke toezichthouders welke rol krijgen; het wetsvoorstel doorliep dit jaar een internetconsultatie. In de voorbereidende adviezen krijgen de Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur een coördinerende rol toebedeeld. Tot de wet is aangenomen, is de formele aanwijzing van de Nederlandse toezichthouders niet afgerond en blijft voor ondernemers onduidelijk bij welk loket praktische vragen thuishoren.
Duiding: uitstel is geen afstel
De kans zit in de gekochte tijd. Nederlandse SaaS-bedrijven met hoog-risicotoepassingen, denk aan HR-tech en kredietbeoordeling, krijgen zestien maanden extra voor datakwaliteit, logging, menselijk toezicht en de conformiteitsbeoordeling. Wie artikel 50 nu al netjes implementeert, is bovendien goedkoop klaar met het deel dat wél gaat gelden en kan dat richting enterprise-klanten als volwassenheid uitspelen.
Het risico is dubbel. Wie het compliance-traject helemaal stillegt, gokt erop dat het uitstel formeel op tijd rondkomt en dat er geen nieuwe wijzigingen volgen; bij productlevenscycli van jaren is dat een smalle marge. En het onduidelijke Nederlandse toezichtslandschap betekent niet dat er niets kan gebeuren: de Commissie kan bij grote modellen al handhaven, en klanten toetsen leveranciers nu al op AI-Act-gereedheid in inkooptrajecten.
Meer informatie
Bron en meer informatie: Raad van de EU
Aanvullende bron: Internetconsultatie Uitvoeringswet AI-verordening
Aanvullende bron: Gibson Dunn (analyse)