De AI-omnibus komt eraan. Wat betekent dat voor jouw organisatie?
Europa is de AI Act aan het bijstellen. Nog voordat die volledig van kracht is. De Europese Commissie publiceerde op 19 november 2025 de Digital Omnibus on AI. Het Europees Parlement stemde op 26 maart 2026 in met de onderhandelingspositie. Trilogen starten naar verwachting in april.
Tijdens het rondetafelgesprek over AI-kansen in de Tweede Kamer op diezelfde 26 maart legde IT-advocaat Geert Jan Koning van Schenkeveld Advocaten de vinger op de zere plek. De omnibus is logisch. Maar het is ook een politieke keuze over hoeveel risico we bereid zijn te lopen.
Wat de omnibus verandert
De kern: de Commissie verschuift deadlines voor hoog-risico AI-systemen. De Raad stemde op 13 maart in. Vereisten voor Annex III-systemen (biometrie, werkgelegenheid, onderwijs) gelden pas vanaf 2 december 2027. Voor Annex I-systemen wordt dat 2 augustus 2028.
Daarnaast verruimt de omnibus de mogelijkheid om gevoelige persoonsgegevens te verwerken voor het detecteren van bias. Vereenvoudigde documentatieverplichtingen worden uitgebreid naar middelgrote bedrijven. En het Parlement wil een verbod op AI-gegenereerde intieme beelden zonder toestemming.
Koning wees er in de Kamer op dat het begrip persoonsgegeven in de omnibus wordt verwaterd. Dat maakt het makkelijker om te trainen op data. Het is een afweging: minder strikte privacybescherming in ruil voor concurrentiekracht bij taalmodellen.
Onzekerheid leidt tot stilstand
In het tweede blok bevestigde Onno Eric Blom van het AI Deltaplan een patroon dat elke FG en compliance officer herkent. Binnen de overheid is er geen duidelijk beleid over AI-gebruik. Het resultaat: compliance-afdelingen nemen het zekere voor het onzekere en zeggen nee. Blom vergeleek het met de AVG: de ruimte die de wetgever bedoelt, pakt in de praktijk andersom uit, omdat onzekerheid voorzichtigheid oproept.
Kamerlid Vermeer trok de parallel naar de bankensector, waar 25.000 mensen de witwasregels proberen na te leven en "Roomser dan de paus" worden uit angst voor boetes.
In zijn position paper schreef Koning dat het Nederlandse AI-beleid moet worden getoetst aan de gewenste risicobereidheid van de samenleving. Het huidige beleid doet vermoeden dat kansen zonder risico's bestaan. Die werkelijkheid bestaat niet.
Wat dit betekent in de praktijk
Twee dingen. Ten eerste: elke organisatie die AI inzet of overweegt, krijgt te maken met verschuivende regels. Deadlines schuiven. Definities veranderen. Dat raakt het werk van juristen, FG's, compliance officers en risk managers direct.
Ten tweede: de tools die je al gebruikt, worden er ook door geraakt. Gebruik je AI-systemen die persoonsgegevens verwerken? Dan moet je weten welk regime ervoor geldt. De omnibus verandert die verwachtingen.
De FG als bottleneck
Koning vertelde een verhaal dat breed herkenbaar is. Functionarissen gegevensbescherming houden dingen tegen uit onzekerheid. Ze krijgen vragen over AI-toepassingen maar missen de capaciteit om snel te antwoorden. Bij twijfel is het antwoord nee. Bij overheden heeft dat direct gevolg: mensen die hulp nodig hebben krijgen die niet, omdat er een privacybezwaar aan zit.
Dat is niet alleen een probleem. Het is ook een kans. Organisaties die in staat zijn om met gezond verstand naar dit soort vragen te kijken, en die juridische kennis combineren met een pragmatische blik, kunnen het verschil maken. Niet door alles toe te staan, maar door helder te maken wat kan, wat mag en wat verstandig is.
Blijf bijlezen
De trilogen starten naar verwachting in april 2026. Het Cypriotische voorzitterschap mikt op overeenstemming in mei. De algemene toepassing van de AI Act start op 2 augustus 2026.
Wil je op de hoogte blijven van wat de omnibus betekent voor jouw organisatie? Plan een gesprek.