AI Act in 2026: wat moet uw organisatie nu geregeld hebben?

De tijdlijn van de AI Act na de Digital Omnibus

De AI Act (Verordening (EU) 2024/1689) trad op 1 augustus 2024 in werking en wordt in stappen van toepassing. In 2026 is die tijdlijn aangepast door de Digital Omnibus on AI (Verordening (EU) 2026/1744), die op 27 juli 2026 in werking trad. De belangrijkste data nu:

Het uitstel betekent geen afstel. De eisen voor hoog-risico-AI blijven inhoudelijk grotendeels gelijk; u krijgt alleen meer tijd.

Bent u aanbieder of gebruiker?

De AI Act legt de meeste plichten bij de aanbieder: de partij die een AI-systeem ontwikkelt en op de markt brengt. De meeste organisaties zijn gebruiksverantwoordelijke (in het Engels: deployer): ze zetten een AI-systeem in onder hun eigen verantwoordelijkheid, voor hun eigen werk.

Let op: u kunt ongemerkt aanbieder worden. Bijvoorbeeld als u een AI-systeem onder uw eigen naam in gebruik neemt, of een systeem zo aanpast dat het een hoog-risicotoepassing wordt. Bouwt u zelf AI-automatiseringen op een open-weight model, laat dan beoordelen welke rol u hebt.

Wat moet u als gebruiker nu geregeld hebben?

1. Geen verboden praktijken. Denk aan emotieherkenning op de werkplek of in het onderwijs, social scoring en manipulatieve technieken. Controleer of geen van uw tools dit doet, ook niet als bijfunctie.
2. AI-geletterdheid. Artikel 4 vraagt dat u de AI-geletterdheid van medewerkers die met AI werken ondersteunt. De Digital Omnibus heeft dat afgezwakt van een resultaatsverplichting naar een ondersteuningsplicht, maar de plicht blijft. Concreet: training, een AI-beleid en uitleg over wat wel en niet in een model mag.
3. Transparantie. Laat u klanten of burgers met een chatbot praten, dan moeten ze weten dat het AI is. Publiceert u door AI gemaakte tekst over onderwerpen van algemeen belang, of beelden die echt lijken, dan moet u dat in de regel melden.
4. Een AI-register. Niet verplicht voor alle gebruikers, wel onmisbaar: welke AI-systemen gebruikt u, waarvoor, met welke gegevens en welk risiconiveau? Zonder dat overzicht kunt u geen van de andere vragen beantwoorden.
5. Voorbereiding op hoog risico. Gebruikt u AI bij werving, beoordeling van medewerkers, toegang tot onderwijs of kredietbeoordeling? Dan gelden vanaf december 2027 onder meer menselijk toezicht, logging, het bewaren van logs en het informeren van betrokkenen. Overheden en bepaalde andere partijen moeten dan ook een beoordeling van de gevolgen voor grondrechten uitvoeren.

De AI Act komt bovenop de AVG, niet ervoor in de plaats

Veel vragen over AI op de werkvloer zijn geen AI Act-vragen maar AVG-vragen. Mag een medewerker klantgegevens in een chatbot zetten? Hebt u een verwerkersovereenkomst? Is er een DPIA nodig? Die vragen gelden nu al, los van welk risiconiveau de AI Act aan een toepassing geeft. Zie Is ChatGPT AVG-proof? en Shadow AI.

Wat helpt: AI die u kunt aantonen

De rode draad in de AI Act is aantoonbaarheid: weten welke AI er draait, wie hem gebruikt, en kunnen laten zien wat er is gebeurd. Dat is lastig als AI verspreid zit over privéaccounts en losse SaaS-tools. Het wordt eenvoudiger als AI op één plek draait die u zelf beheert.

Met private AI van werqly draaien de modellen op een eigen node, en legt werqly AI Control per prompt, model en automatisering vast wie wat deed en wanneer. De bewaartermijn stelt u zelf in, en de audit log exporteert u naar uw SIEM. Modelherkomst is transparant: alleen open-weight modellen als Llama, Mistral en Qwen. En het beleid over hoeveel inzicht de organisatie heeft in het gebruik, legt u vast zodat FG en OR het kunnen inzien.