Uitvoeringswet AI-verordening gaat pas in 2027 naar de Kamer, terwijl de verplichtingen al gelden
De Uitvoeringswet AI-verordening wordt volgens de nieuwe planningsbrief Digitale Zaken van staatssecretaris Aerdts in het tweede kwartaal van 2027 bij de Tweede Kamer ingediend. In de planningsbrief van januari 2026 stond het wetsvoorstel nog gepland voor het vierde kwartaal van 2026. Nederland krijgt daarmee op zijn vroegst eind 2027 wettelijk aangewezen toezichthouders op de AI-verordening. De verordening zelf geldt intussen rechtstreeks, met een handhaver in Brussel voor de modellen voor algemene doeleinden en voorlopig zonder handhaver in Den Haag voor de rest.
Wat de Uitvoeringswet AI-verordening regelt en waar het voorstel nu staat
De AI-verordening is een verordening en werkt dus zonder omzetting in nationale wetgeving. Wat de lidstaten zelf moeten regelen is het toezicht: welke autoriteit controleert, welke bevoegdheden zij heeft en hoe boetes worden opgelegd. Het kabinet bracht het conceptwetsvoorstel op 20 april 2026 in internetconsultatie en koos daarin voor een stelsel van tien bestaande markttoezichthouders die elk binnen hun eigen domein op AI letten. Voor domeinen zonder eigen toezichthouder wordt de Autoriteit Persoonsgegevens bevoegd, met een aparte AI-bestuurder, en de AP en de RDI coördineren het geheel. Wat het voorstel precies aanwijst en waar de open plekken zitten, beschreven wij eerder in onze analyse van het conceptwetsvoorstel.
De consultatie sloot op 1 juni. Daarna kwamen de adviezen binnen: de AFM noemt het voorstel uitvoerbaar maar wil een andere taakverdeling met DNB, de Raad voor de rechtspraak adviseerde op 15 juli over onder meer het toezicht op AI bij de rechterlijke macht, en de NOvA vroeg om betere coördinatie van het AI-toezicht op de advocatuur en om borging van de kernwaarden. Na verwerking daarvan moet het voorstel nog langs de Raad van State. Pas daarna volgt de indiening waar de planningsbrief over gaat.
Waarom een half jaar uitstel meer is dan een half jaar
Op papier verschuift de indiening twee kwartalen. In de praktijk verschuift het moment waarop Nederland een werkend toezichtstelsel heeft naar een datum die samenvalt met of voorbij het moment waarop de zwaarste verplichtingen ingaan. De Digital Omnibus, sinds 27 juli 2026 van kracht als Verordening (EU) 2026/1744, legde de verplichtingen voor hoog-risicosystemen uit bijlage III vast op 2 december 2027. Een wetsvoorstel dat in het tweede kwartaal van 2027 bij de Kamer binnenkomt, moet dan nog door de Tweede Kamer en de Eerste Kamer voordat de toezichthouders bevoegd zijn. Bij TIL zien wij dan ook geen realistisch scenario waarin de Nederlandse toezichthouders op 2 december 2027 met wettelijke bevoegdheden klaarstaan.
Die achterstand is niet nieuw. De verordening schreef voor dat lidstaten hun toezichthouders uiterlijk 2 augustus 2025 aanwezen, en die termijn heeft Nederland niet gehaald. Het kabinet gaf bij de consultatie al aan dat de uitvoeringswet later in werking zou treden dan de verordening voorschrijft, en verklaarde dat met de keuze het toezicht zorgvuldig vorm te geven. De AP waarschuwde in maart 2026 al dat zij onveilige en discriminerende algoritmes ziet waartegen nu niet handhavend kan worden opgetreden en riep het kabinet op haast te maken. De nieuwe planning gaat de andere kant op.
De verplichtingen gelden zonder Nederlandse toezichthouder
Het uitstel van de uitvoeringswet verandert niets aan wat organisaties nu al moeten doen. De verboden praktijken van artikel 5 gelden sinds februari 2025, de geletterdheidsplicht van artikel 4 ook, en de transparantieverplichtingen van artikel 50 zijn op 2 augustus 2026 ingegaan. ICTRecht wijst erop dat de Omnibus alleen het hoog-risicoregime heeft uitgesteld en dat op sociale media het onjuiste beeld leeft dat alles is opgeschoven. Wat er nu ontbreekt is een Nederlandse autoriteit die op grond van de verordening een boete kan opleggen. Dat is iets anders dan het ontbreken van een norm.
Voor een juridische organisatie is dat onderscheid van belang om twee redenen. De eerste is dat de verordening in civiele verhoudingen al meeweegt: een leverancier die niet aan artikel 50 voldoet, levert een product dat niet aan de wet voldoet, en dat is een contractueel gegeven ongeacht of een toezichthouder er iets van vindt. De tweede is dat de AP haar bevoegdheden onder de AVG gewoon behoudt. Een AI-systeem dat persoonsgegevens verwerkt in strijd met de AVG kan nu al worden aangepakt, alleen langs een andere weg dan de AI-verordening. Wie het uitstel leest als handhavingsvrije periode, verwart het ontbreken van één loket met het ontbreken van elke controle.
Wat een organisatie tot de indiening kan vastleggen
De planning geeft ruimte om zaken op orde te brengen zonder dat een toezichthouder al meekijkt, en die ruimte is beperkt. Wie AI inzet bij werving, bij kredietbeoordeling of bij andere toepassingen uit bijlage III, plant op 2 december 2027 en niet op de Nederlandse wet. Die datum staat in de verordening en verschuift niet mee met Den Haag.
Voor de transparantieverplichtingen van artikel 50 is er geen uitstel meer te verwachten. Een chatbot op de website meldt dat de bezoeker met AI praat, en AI-gegenereerde content wordt als zodanig herkenbaar gemaakt. Wij beschreven eerder dat deze plicht ook geldt voor de organisatie die zelf AI gebruikt en dus verder reikt dan de aanbieder.
Wie in de tussentijd wil weten bij welke toezichthouder een bepaalde toepassing straks terechtkomt, kan het consultatievoorstel als werkhypothese nemen. Voor de advocatuur is dat nog een open punt: de NOvA vroeg om een betere afstemming tussen het AI-toezicht en het bestaande toezicht op de advocatuur, en het is aan de Raad van State en de Kamer of dat in de wet landt. Het is verstandig om in het AI-beleid vast te leggen dat de organisatie de verordening naleeft ongeacht welke autoriteit bevoegd wordt, zodat een latere aanwijzing geen nieuw beleid vergt.
De planningsbrieven bevatten daarnaast enkele stukken die het speelveld kunnen wijzigen voordat de uitvoeringswet er is. Het kabinet kondigt voor het vierde kwartaal van 2026 een brief aan over mensenrechten-impactassessments voor AI, inclusief een verkenning naar het bindend maken daarvan voor bepaalde typen algoritmen, en de uitkomsten van beleidsonderzoek naar algoritmische besluitvorming onder de Awb. Voor het eerste kwartaal van 2027 staat een verkenning van een wettelijke grondslag voor geautomatiseerde risicoselectie op de rol. Wie adviseert aan overheidsorganisaties of aan partijen die met de overheid werken, houdt die stukken in de gaten, want zij raken de praktijk mogelijk eerder dan de uitvoeringswet.