AI Omnibus zet vaste ingangsdata voor hoog-risico-AI in 2027 en 2028
Op 27 juli 2026 trad de AI Omnibus in werking,. De verplichtingen voor hoog-risico-AI uit bijlage III gaan gelden per 2 december 2027. Voor hoog-risico-AI die in fysieke producten zit, zoals machines, liften en speelgoed, verschuift de datum naar 2 augustus 2028. De transparantieverplichtingen van artikel 50 blijven staan op 2 augustus 2026 en schuiven dus niet mee,.
Voor kantoren die een AI-roadmap of een leverancierscontract aan de oude datum hebben opgehangen, is dat een concrete opdracht: 2 augustus 2026 blijft een relevante datum, maar voor andere verplichtingen dan waarvoor hij oorspronkelijk in de planning stond.
Wat de AI Omnibus verandert aan de termijnen voor hoog-risico-AI
Naast het uitstel bevat de wet een reeks aanpassingen. Een deel van de lichtere regeling die voor het mkb gold, geldt nu ook voor kleine midcapbedrijven. De registratieplicht in de EU-database voor systemen die onder de uitzondering van artikel 6, derde lid vallen, blijft bestaan, maar via een vereenvoudigde procedure, schrijven advocaten van Cooley. De definitie van veiligheidscomponent is verfijnd, zodat een AI-functie die alleen de gebruiker ondersteunt of de prestaties optimaliseert niet automatisch als hoog risico geldt wanneer uitval geen gevaar voor gezondheid of veiligheid oplevert.
De verplichting rond AI-geletterdheid is verzacht. Organisaties moeten het niveau van hun mensen ondersteunen, maar de bepaling houdt volgens ICTRecht niet langer in dat een bepaald niveau bij individuele medewerkers gewaarborgd moet zijn. Een toezichthouder kan dus geen afgeronde cursus per medewerker eisen. Wat er wel aan bijkomt: AI-systemen die zonder toestemming realistisch intiem beeldmateriaal genereren en systemen die materiaal van seksueel kindermisbruik maken, zijn verboden per 2 december 2026.
De onvoorspelbare startdatum is van tafel
Hier zit de belangrijkste verandering, en die staat niet in de datumtabel. Toen het voorstel er in november 2025 lag, schreven wij dat het uitstel vooral een onvoorspelbare start van het hoogrisicoregime dreigde op te leveren. De Commissie wilde de ingangsdatum koppelen aan de beschikbaarheid van technische standaarden en zichzelf de ruimte geven het moment naar voren te halen. Een organisatie zou dan moeten plannen op een datum die pas achteraf vaststond.
Die constructie heeft de eindstreep niet gehaald. De wet noemt nu twee kale data, zonder koppeling aan standaardisatie en zonder mechanisme waarmee de Commissie ze zelfstandig kan verschuiven. Ook Pinsent Masons en Lewis Silkin beschrijven de nieuwe termijnen als vaste data. Voor wie adviseert over prioriteiten is dat meer waard dan de zestien maanden extra tijd. Een harde datum laat zich in een projectplanning en in een contract zetten. Een voorwaardelijke datum leidt tot verplichtingen die je permanent klaar moet houden zonder te weten wanneer ze aangaan.
Wat gewoon doorloopt vanaf 2 augustus 2026
Het uitstel raakt één blok verplichtingen: dat van hoog-risico-systemen. De rest van de AI-verordening loopt op schema. De verboden praktijken gelden sinds 2 februari 2025, net als de bepaling over AI-geletterdheid. De regels voor AI-modellen voor algemene doeleinden gelden sinds augustus 2025. En de transparantieverplichtingen van artikel 50 gaan per 2 augustus 2026 in, inclusief de plicht om kenbaar te maken dat iemand met een AI-systeem communiceert en om gegenereerde output als zodanig te markeren. Voor modellen die vóór 2 augustus 2026 op de markt kwamen, geldt voor die markering een overgangstermijn tot 2 december 2026.
Een kantoor met een chatbot op de website of met gegenereerde content in zijn communicatie heeft daar dit najaar dus gewoon mee te maken. Dat die tool waarschijnlijk niet hoog risico is, zegt niets over artikel 50.
Gevolgen voor AI-roadmaps en contractuele milestones
Drie dingen verdienen nu aandacht.
Contracten die verwijzen naar een datum in plaats van naar een verplichting zijn kwetsbaar geworden. Een clausule waarin de leverancier garandeert dat het systeem "uiterlijk 2 augustus 2026 voldoet aan de AI-verordening" wijst naar een moment waarop het hoogrisicoregime nog niet geldt. Koppel garanties en milestones aan de verplichting zelf en aan de toepassingsdatum daarvan, zodat de afspraak meebeweegt als de wetgever opnieuw schuift. Dat de wetgever dat kan doen, is dit jaar aangetoond.
De classificatievraag verdient een herbeoordeling, geen herbevestiging. De aangescherpte definitie van veiligheidscomponent kan een systeem dat je eerder als hoog risico inschaalde buiten die categorie brengen, en de registratieplicht bij de uitzondering van artikel 6, derde lid blijft ondanks eerdere voorstellen bestaan. Wie zijn inventarisatie vóór juli 2026 heeft gemaakt, werkt met een verouderd toetsingskader.
De gewonnen tijd gaat op aan werk dat je niet achteraf kunt doen. Risicobeheer, datakwaliteit, logging en de inrichting van menselijk toezicht zijn ontwerpkeuzes in het systeem, geen documentatie die je er later omheen legt. Een leverancier die in 2027 nog moet beginnen met logging, levert in 2028 een systeem waarvan de historie ontbreekt.
Het uitstel heeft een prijs die nog niet vaststaat
Over de uitkomst valt minder stelligs te zeggen dan over de data. Burgerrechtenorganisatie EDRi wijst erop dat aanbieders minder informatie in de publieke databank hoeven te zetten, waardoor toezichthouders, onderzoekers en betrokkenen slechter kunnen zien welke systemen waar draaien. Ook de verschuiving van AI in machines binnen bijlage I raakt volgens hen de zichtbaarheid van AI-specifieke risico's.
Voor de praktijk betekent dat vooral: reken er niet op dat de publieke databank in 2028 een bruikbaar controlemiddel is bij due diligence op een AI-leverancier. Wat je wilt weten over een systeem, zul je zelf contractueel moeten opvragen.