Uitstel is geen afstel.
Op 7 mei 2026 bereikten de Raad, het Europees Parlement en de Europese Commissie een voorlopig akkoord over de Digital Omnibus. De zwaarste verplichtingen uit de AI Act, die voor hoog-risico-systemen, schuiven daarmee op. Zelfstandige hoog-risico-toepassingen krijgen tot 2 december 2027, AI die in gereguleerde producten zit zelfs tot 2 augustus 2028. Formele bekrachtiging wordt deze zomer verwacht.
In veel directiekamers gebeurde daarna iets voorspelbaars. Het agendapunt AI Act zakte naar de onderste la. Waarom nu tijd en geld steken in iets dat pas eind 2027 verplicht wordt? Eerst maar eens kijken wat de concurrent doet.
Die redenering bevat twee denkfouten. En die kunnen je duur komen te staan.
Wat er niet is uitgesteld
Herken je dit? Niemand in je managementteam weet precies welke AI-tools er in het bedrijf draaien, inclusief de tools die medewerkers zelf hebben aangezet. Niemand kan per toepassing zeggen of jullie juridisch gebruiker of aanbieder zijn. En als een grote klant of een toezichthouder er morgen naar vraagt, kost het antwoord je weken.
Dan is dit het moment om scherp te krijgen wat er wel en niet verschoven is. De eerste denkfout: het uitstel geldt alleen voor de hoog-risico-verplichtingen. De AI Act is sinds 1 augustus 2024 van kracht en werkt in fasen. Sinds 2 februari 2025 gelden de verboden op onacceptabele AI-praktijken, zoals emotieherkenning op de werkvloer en manipulatieve systemen. Sinds diezelfde datum geldt ook artikel 4: de plicht om te zorgen dat medewerkers die met AI werken voldoende AI-geletterd zijn. Sinds 2 augustus 2025 gelden de verplichtingen voor aanbieders van generieke AI-modellen. Niets daarvan is uitgesteld. Op overtreding van de verboden staat een boete tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet.
De tweede denkfout: het voorlopige akkoord is nog geen wet. Tot de Omnibus formeel is aangenomen en gepubliceerd, blijft 2 augustus 2026 juridisch gewoon staan. De verwachting is dat publicatie op tijd komt, maar een directie die haar planning bouwt op een wet die er nog niet is, neemt een risico dat ze van haar eigen leveranciers nooit zou accepteren.
Waarom de wet je via je leveranciers raakt, niet via Brussel
Voor de meeste MKB-bedrijven geldt: je bouwt geen AI, je gebruikt het. In de taal van de AI Act ben je dan gebruiksverantwoordelijke, geen aanbieder. Dat scheelt enorm in verplichtingen. Maar het betekent niet dat de wet aan je voorbijgaat. Hij komt alleen via een andere route binnen: je leveranciers, je klanten en je eigen mensen.
Je softwareleverancier bouwt AI-functies in zonder dat jij erom vroeg. Je grootste klant stuurt een uitvraag over jouw AI-gebruik omdat die zelf aan de wet moet voldoen. Je marketingmedewerker plakt klantdata in een gratis chatbot. In alle drie de gevallen is er geen toezichthouder aan te pas gekomen en heb je toch een governance-vraagstuk.
Het goede nieuws: als je dit nu oppakt, is het geen paniekproject maar een beheerst traject. Je voert leveranciersgesprekken vanuit kennis in plaats van vanuit verlegenheid. Je beantwoordt klantuitvragen binnen een dag in plaats van binnen weken. En je directie slaapt rustig, omdat AI-gebruik in het bedrijf zichtbaar is in plaats van iets dat ergens in de schaduw groeit.
Drie lagen die je voor het einde van het jaar op orde brengt
Wij hanteren bij klanten een eenvoudig model in drie lagen. Elke laag bouwt op de vorige en geen enkele laag vraagt om een jurist op de loonlijst.
Laag 1: het register. Weet wat er draait. Inventariseer elke AI-toepassing in het bedrijf, ook de officieuze. Vraag het niet alleen aan IT, vraag het per afdeling. De tools die medewerkers zelf hebben aangezet zijn meestal de helft van de lijst en altijd het interessantste deel. Leg per toepassing vast: wat doet het, welke data gaat erin, wie gebruikt het, welke leverancier zit erachter. Een spreadsheet volstaat. Het gaat om de discipline, niet om de tooling.
Laag 2: de rolbepaling. Weet welke pet je draagt. Loop het register langs en bepaal per toepassing of je gebruiksverantwoordelijke of aanbieder bent. Let op de valkuil: wie een bestaand AI-systeem onder eigen naam aan klanten aanbiedt of het wezenlijk aanpast, kan juridisch opschuiven richting aanbieder, met alle verplichtingen van dien. Markeer daarnaast welke toepassingen in de buurt van de hoog-risico-categorieen komen, zoals AI in werving en selectie of personeelsbeoordeling. Voor die toepassingen is het uitstel tot december 2027 juist bruikbare voorbereidingstijd in plaats van een vrijbrief.
Laag 3: de mensen. Weet wie ermee mag werken en hoe. De geletterdheidsplicht uit artikel 4 geldt nu al en is tegelijk de laag met het hoogste rendement. Niet omdat Brussel het vraagt, maar omdat medewerkers die begrijpen wat AI wel en niet kan minder fouten maken, minder data lekken en betere resultaten halen. Stel daarnaast spelregels op: welke tools zijn toegestaan, welke data mag erin, wie keurt nieuwe toepassingen goed. Eén A4 is genoeg om te beginnen.
Wat dit betekent voor je agenda
Voor 2 augustus 2026: laag 1 en laag 3 staan. Je hebt een register en je mensen hebben een basistraining en spelregels gehad. Dat is haalbaar in zes tot acht weken naast de gewone bedrijfsvoering.
Tussen nu en december 2027: laag 2 verdiepen. Voor toepassingen die richting hoog-risico gaan, begin je met de vragen die straks toch komen: welke documentatie levert je leverancier, wie houdt menselijk toezicht, hoe log je beslissingen. Wie dat over achttien maanden uitsmeert, doet het tegen een fractie van de kosten van wie het in zes weken paniekvoetbal moet doen.
De bedrijven die het uitstel lezen als twee jaar extra voorbereidingstijd, staan straks tegenover bedrijven die het lazen als twee jaar extra uitstelgedrag. Het verschil zit niet in budget of juridische kennis. Het zit in de keuze om deze maand te beginnen met een spreadsheet, een A4 met spelregels en een uur per managementteamlid.
Uitstel is geen afstel. Het is voorsprong, voor wie hem pakt.
Bronstatus - [sourced] Fasering AI Act: inwerkingtreding 1 augustus 2024, verboden praktijken en AI-geletterdheid (artikel 4) per 2 februari 2025, verplichtingen generieke AI-modellen per 2 augustus 2025. Bron: Verordening (EU) 2024/1689 (AI Act), artikel 113. - [sourced] Boetemaximum 35 miljoen euro of 7 procent wereldwijde jaaromzet voor verboden praktijken. Bron: Verordening (EU) 2024/1689, artikel 99. - [sourced] Voorlopig akkoord Digital Omnibus 7 mei 2026: hoog-risico-verplichtingen voor zelfstandige Annex III-systemen naar 2 december 2027, voor AI in gereguleerde producten (Annex I) naar 2 augustus 2028; formele aanname en publicatie verwacht voor 2 augustus 2026. Bronnen: Gibson Dunn, "EU AI Act Omnibus Agreement" (gibsondunn.com); Covington, Inside Privacy, "EU AI Act Update: Timeline Relief" (insideprivacy.com); DLA Piper GENIE, "The Digital AI Omnibus" (knowledge.dlapiper.com). - [estimated] Doorlooptijd van zes tot acht weken voor register plus basistraining en de inschatting dat officieuze tools circa de helft van een AI-register vormen: praktijkervaring mAIxs, geen externe bron.
