Wat er in 2026 veranderde: de Digital Omnibus

Bijgewerkt 7 okt 2026: Digital Omnibus inzake AI (Verordening (EU) 2026/1744).

Lang stond 2 augustus 2026 in elke compliance-planning omcirkeld als de datum waarop de AI-verordening voor deployers volledig afdwingbaar zou worden. Zo is het niet gelopen. Op 24 juli 2026 verscheen de Digital Omnibus inzake AI (Verordening (EU) 2026/1744) in het Publicatieblad, en sinds 27 juli 2026 is die van kracht.

De meeste HR-directeuren en compliance officers bij het Nederlandse MKB weten niet precies wat er veranderd is. Begrijpelijk. Maar de kern is verrassend concreet. En wie nog niets heeft gedaan, heeft voor de hoog-risico regels meer tijd gekregen, maar niet voor alles.

# De tijdlijn zoals die nu geldt

De EU AI-verordening werkt nog steeds in golven. Alleen liggen een paar golven nu anders:

• 2 februari 2025: de verboden AI-praktijken en de AI-geletterdheidsplicht (Artikel 4) gelden. Ongewijzigd.
• 2 augustus 2025: de regels voor AI-modellen voor algemene doeleinden (GPAI). Ongewijzigd.
• 27 juli 2026: de Omnibus treedt in werking, met een nieuwe tekst voor Artikel 4.
• 2 augustus 2026: de algemene toepassingsdatum. Sindsdien houden nationale markttoezichthouders toezicht en gelden de transparantieverplichtingen van Artikel 50.
• 2 december 2026: twee nieuwe verboden gaan in.
• 2 december 2027: de hoog-risico verplichtingen voor Bijlage III, waaronder Artikel 26 voor deployers en de grondrechten-impactbeoordeling (FRIA). Dit was 2 augustus 2026.
• 2 augustus 2028: hoog-risico AI in gereguleerde producten uit Bijlage I, zoals machines en medische hulpmiddelen.

# Artikel 4: van "toereikend niveau" naar "maatregelen nemen"

Tot juli 2026 moesten aanbieders en deployers zorgen voor een toereikend niveau van AI-geletterdheid bij hun personeel. Die formulering is weg. Nu moeten ze maatregelen nemen om de ontwikkeling van AI-geletterdheid te ondersteunen bij hun personeel en bij anderen die namens hen met AI-systemen werken, rekening houdend met kennis, ervaring, opleiding en de context van gebruik. De tekst zegt er uitdrukkelijk bij dat je geen specifiek niveau per individu hoeft te garanderen. Ook nieuw: de Commissie en de lidstaten moeten aanbieders en deployers hierbij ondersteunen, in het bijzonder het MKB.

Wat niet veranderde: Artikel 4 geldt sinds 2 februari 2025, en er komt geen deadline meer aan. Volgens de Q&A over AI-geletterdheid van de Commissie houden nationale markttoezichthouders er sinds 2 augustus 2026 toezicht op.

De AI-verordening koppelt geen specifieke boete aan Artikel 4. Maar het gewijzigde Artikel 99, lid 1 laat lidstaten sancties vaststellen voor elke inbreuk, en die kunnen ook boetes, waarschuwingen en niet-geldelijke maatregelen omvatten. Ga er dus niet van uit dat Artikel 4 boetevrij is.

# Hoog-risico: Artikel 26 vanaf 2 december 2027

Gebruik je een AI-systeem dat onder Bijlage III valt, dan moet je vanaf 2 december 2027 kunnen aantonen dat je aan Artikel 26 voldoet. De meest concrete eisen:

• Gebruik het systeem zoals de aanbieder het heeft bedoeld. Klinkt logisch, is het ook. Maar je moet dit kunnen documenteren.
• Houd toezicht op het systeem tijdens gebruik. Niet eenmalig bij implementatie. Doorlopend.
• Log wat het systeem doet, voor zover je daar als deployer controle over hebt.
• Meld ernstige incidenten bij de toezichthouder. De Omnibus veranderde de datum van Artikel 73 zelf niet, maar dat artikel gaat over hoog-risico systemen, waarvan de hoofdverplichtingen nu gelden vanaf 2 december 2027 (Bijlage III) en 2 augustus 2028 (Bijlage I). Plan het samen met die data in.

Hoog-risico klinkt dramatisch. In de praktijk valt recruitment-software die kandidaten scoort of filtert onder Bijlage III, categorie 4 (tewerkstelling, personeelsbeheer). Hetzelfde geldt voor systemen die creditwaardigheid beoordelen, toegang tot diensten regelen, of die in het onderwijs worden ingezet. Veel MKB-bedrijven gebruiken zulke systemen zonder het te beseffen. Het uitstel geeft je ruimte om dat goed uit te zoeken, niet om het te laten liggen.

# Nieuwe verboden en Artikel 50

De verboden van Artikel 5 gelden sinds 2 februari 2025. Vanaf 2 december 2026 komen er twee bij: AI-systemen die zonder uitdrukkelijke toestemming realistische beelden, video of audio genereren of manipuleren van de intieme delen of seksuele handelingen van een herkenbaar persoon, en AI-systemen die materiaal van seksueel misbruik van kinderen genereren.

De transparantieverplichtingen van Artikel 50 gelden sinds 2 augustus 2026. Eén overgangstermijn is nieuw: aanbieders van systemen die synthetische audio, beelden, video of tekst genereren en die vóór 2 augustus 2026 op de markt zijn gebracht, hebben tot 2 december 2026 voor de markeringsplicht van Artikel 50, lid 2. De rest van Artikel 50 kreeg geen uitstel.

# Boetes: bedragen gelijk, één nieuwe MKB-regel

De bedragen in Artikel 99 zijn ongewijzigd. Tot 35 miljoen euro of 7% van de wereldwijde jaaromzet geldt alleen voor verboden praktijken. Voor de opgesomde operatorverplichtingen, waaronder Artikel 26 en Artikel 50: tot 15 miljoen euro of 3%. Voor misleidende informatie aan toezichthouders: tot 7,5 miljoen euro of 1%.

Voor grote bedrijven geldt het hoogste van de twee bedragen, voor het MKB en start-ups het laagste. Nieuw: ook kleine midcaps (small mid-caps) krijgen het laagste bedrag, maar alleen voor de categorieën van 15 en 7,5 miljoen, niet voor verboden praktijken. Voor een MKB-bedrijf met 10 miljoen euro omzet ligt het maximum bij een schending van Artikel 26 dus op 300.000 euro. Geen existentiële dreiging, maar wel degelijk pijnlijk.

Eerlijk gezegd verwacht ik dat de eerste boetes eerder symbolisch dan gigantisch zijn. Toezichthouders hebben de neiging om met de eerste zaken een norm te stellen, niet een bedrijf failliet te laten gaan. Maar de reputatieschade kan groter zijn dan de boete zelf.

# Hoe ver is de Autoriteit Persoonsgegevens?

De AP is aangewezen als markttoezichthouder voor de AI-verordening in Nederland en combineert dit met haar AVG-taken. Ze heeft aangekondigd te beginnen met gerichte onderzoeken, niet met een brede sweep. Verwacht prioriteit voor sectoren met de hoogste risico's en voor klachten van betrokkenen.

Stel: een afgewezen sollicitant dient een klacht in. De AP vraagt om documentatie: welk systeem gebruiken jullie, welke training hebben medewerkers gehad, en hoe vraag je een menselijke beoordeling aan? Ontbreekt die, dan heb je een probleem onder de AVG, en op termijn ook onder Artikel 86, dat betrokkenen recht geeft op uitleg bij hoog-risico AI-beslissingen.

# Wat je nu doet

Stap 1: inventariseer je AI-systemen. Welke systemen nemen beslissingen over mensen? Denk aan ATS-software, prestatiebeoordeling, creditchecks. Vraag leveranciers of hun systeem onder Bijlage III valt.

Stap 2: regel AI-geletterdheid. Dit geldt nu al. Neem maatregelen zodat de HR-medewerker die sollicitanten beoordeelt begrijpt wat het systeem wel en niet doet, en wanneer ze zelf moet ingrijpen. Geen drie uur durende cursus voor iedereen.

Stap 3: documenteer alles. Een spreadsheet met: welk systeem, wie gebruikt het, voor welk doel, welke training is gegeven, hoe wordt toezicht gehouden, hoe meld je een incident.

Stap 4: plan Artikel 26 per hoog-risico systeem. Gebruik je het zoals bedoeld? Is dat vastgelegd? Je hebt tot 2 december 2027, maar dit werk kost tijd.

Stap 5: zorg voor een menselijk vangnet. Voor hoog-risico beslissingen moet een mens de uitkomst kunnen betwisten en herzien. Leg vast hoe dat werkt.

# De lange termijn: dit wordt structureel

Augustus 2026 was niet het eindpunt, maar het startpunt van een nieuwe toezichtpraktijk. Net zoals de AVG in 2018 begon met enkele spraakmakende zaken en daarna structureel werd, gaat de AI-verordening hetzelfde pad. De Omnibus verschuift data, niet die richting.

Het MKB dat nu begint met de basis heeft straks een voorsprong. Niet alleen omdat ze boetes vermijden, maar omdat ze beter weten welke AI-systemen ze gebruiken en waarom. Dat is gewoon goede bedrijfsvoering.

Wil je weten waar jouw organisatie nu staat? De gratis compliance-check van Khairos neemt twee minuten en laat je precies zien welke verplichtingen op jou van toepassing zijn: comply.khairos.ai.