Digitale omnibus AI

Wat is de digitale omnibus AI?

De digitale omnibus AI is Verordening (EU) 2026/1744, de eerste grondige aanpassing van de Europese AI Act. Ze verscheen op 24 juli 2026 in het Publicatieblad en is sinds 27 juli 2026 van kracht. Ze vervangt de AI Act niet, ze wijzigt hem, zoals een patch software wijzigt. De regels zelf blijven in de AI Act staan. De omnibus zegt welke regels wanneer ingaan, en in welke vorm.

Het grootste deel van de tekst verschuift data. De zware verplichtingen voor hoog-risico AI-systemen, die op 2 augustus 2026 zouden ingaan, schuiven ongeveer zestien maanden op. Daarnaast zitten er een paar inhoudelijke wijzigingen in: de plicht rond AI-geletterdheid is zachter geformuleerd, twee praktijken worden verboden, en kleine bedrijven krijgen een lichtere papierwinkel.

De naam komt van een groter pakket. In november 2025 legde de Commissie een reeks voorstellen op tafel om Europese digitale wetgeving te vereenvoudigen: gegevensbescherming, meldingen van cyberincidenten en AI. Het AI-luik ging apart door het Parlement en de Raad, en daarom is het in juli 2026 als één aparte verordening geland.

Welke data verschoven zijn

Vier dingen in de kalender zijn veranderd.

• Zelfstandige hoog-risico systemen (bijlage III), de lijst met cv-screening, kredietscoring, monitoring van werknemers, toegang tot onderwijs en een reeks overheidstoepassingen: van 2 augustus 2026 naar 2 december 2027.

• Hoog-risico AI die in gereguleerde producten zit (bijlage I), zoals machines, medische hulpmiddelen, liften en speelgoed: van 2 augustus 2027 naar 2 augustus 2028.

• Machineleesbare markering van gegenereerde content, voor generatieve systemen die al voor 2 augustus 2026 op de markt waren: die aanbieders krijgen tot 2 december 2026. Wat na 2 augustus 2026 op de markt komt, markeert vanaf dag één.

• Nationale regulatory sandboxes, die lidstaten tegen 2 augustus 2026 draaiend moesten hebben: nu 2 augustus 2027.

De lijst van wat niet verschoven is, telt minstens even zwaar. De verboden uit artikel 5 gelden sinds februari 2025. De regels voor AI-modellen voor algemene doeleinden gelden sinds augustus 2025. De transparantieverplichtingen uit artikel 50, dus de melding bij een chatbot, het label op een deepfake en de vermelding onder AI-geschreven tekst van algemeen belang, zijn op 2 augustus 2026 ingegaan en blijven gelden. De plicht rond AI-geletterdheid ook. Aan de boeteplafonds is niets veranderd.

Wat er inhoudelijk veranderde

Artikel 4 vraagt nu een inspanning in plaats van een resultaat. De oorspronkelijke tekst zei dat aanbieders en gebruiksverantwoordelijken een voldoende niveau van AI-geletterdheid moesten garanderen bij de mensen die met hun systemen werken. De nieuwe tekst vraagt dat ze maatregelen nemen die de ontwikkeling van die geletterdheid ondersteunen, in verhouding tot de job, de context en de mensen die erdoor geraakt worden. Er is geen certificaat voorgeschreven. De plicht zelf geldt sinds 2 februari 2025 en is niet verschoven.

Twee nieuwe verboden. AI-systemen die gemaakt zijn om intieme beelden zonder toestemming te genereren, de nudify-apps, en systemen die beelden van seksueel misbruik van kinderen genereren, zijn verboden. Het verbod reikt tot systemen waarbij die output een redelijkerwijs voorzienbaar en herhaalbaar resultaat is zonder grote technische ingreep. Een beeldgenerator zonder beveiliging valt er dus niet automatisch buiten. Aanbieders krijgen tot 2 december 2026.

Een eenvoudiger traject voor kleine bedrijven. De Commissie moet een vereenvoudigd formulier voor technische documentatie publiceren voor kmo's, start-ups en de nieuwere categorie small mid-caps: bedrijven die uit de kmo-definitie gegroeid zijn maar nog lang geen grote groep zijn. Een aangemelde instantie moet dat formulier aanvaarden. Dit speelt alleen als je zelf aanbieder bent van een hoog-risico systeem.

De registratie is gebleven. De Commissie had voorgesteld om de plicht in artikel 49, lid 2 te schrappen: de registratie in de Europese databank van een systeem waarvan de aanbieder zelf besloten heeft dat het geen hoog risico is. Parlement en Raad hebben die plicht behouden en de gevraagde informatie ingekort. Dit was het meest betwiste punt van het hele dossier.

Het AI Office kreeg eigen handhavingsbevoegdheid. De verordening geeft het Europese AI Office eigen onderzoeks- en inspectiebevoegdheden over AI voor algemene doeleinden en over zeer grote onlineplatformen, met boetes die het zelf kan opleggen in plaats van via een nationale toezichthouder.

Waarom de deadlines verschoven, en wie ertegen was

De officiële reden: de instrumenten die een bedrijf nodig heeft om aan de hoog-risico regels te voldoen, bestonden nog niet. De geharmoniseerde normen van CEN en CENELEC, waarmee een aanbieder aantoont dat zijn risicobeheer en data governance in orde zijn, liepen achter. De richtsnoeren van de Commissie zaten nog in ontwerp. Verschillende lidstaten hadden de toezichthouders die dit alles moeten controleren nog niet aangeduid of bemand. Zonder normen had een aanbieder moeten gokken hoe een degelijk risicobeheersysteem eruitziet, en die gok later moeten verdedigen.

Daaronder zit een discussie die vroeger begon. Het rapport van Mario Draghi over de Europese concurrentiekracht, voorgesteld in september 2024, stelde dat Europa in geavanceerde technologie achterop raakt tegenover de Verenigde Staten en China, en wees de eigen regeldruk aan als een van de oorzaken. Sectorfederaties en verschillende regeringen gebruikten dat argument om op uitstel aan te dringen. De Commissie stelde eerst voor om de startdatum te koppelen aan het moment waarop de normen effectief klaar zijn. Parlement en Raad vervingen dat door vaste data, en dat is wat uiteindelijk is goedgekeurd.

Het verzet kwam van de andere kant. In een gezamenlijke brief verzetten 127 middenveldorganisaties en vakbonden zich tegen het bredere omnibuspakket als een afbouw van digitale grondrechten, en zestig organisaties, overheidsinstanties en personen, waaronder European Digital Rights, ondertekenden een aparte brief tegen het AI-luik. Hun argument: een dereguleringspakket dat als vereenvoudiging wordt verkocht, neemt bescherming weg van de mensen over wie een AI-systeem beslist, en geeft er niets voor terug. Het schrappen van de registratieplicht zou een openbaar register omzetten in een eigen verklaring. Op dat laatste punt hebben ze gewonnen. Op het uitstel niet.

De AI Act van 2024 tegenover de AI Act van nu, voor een bedrijf zonder hoog-risico toepassing

Zit jouw AI-gebruik buiten bijlage III, en dat geldt voor de meeste Belgische kmo's, dan heeft de omnibus voor jou bijna niets veranderd. Dat mag gezegd worden, want veel berichtgeving klonk als een algemeen uitstel.

Zoals goedgekeurd in 2024. Verboden vanaf februari 2025. AI-geletterdheid vanaf februari 2025. Regels voor modellen voor algemene doeleinden vanaf augustus 2025. Transparantieverplichtingen en het hoog-risico regime allebei vanaf augustus 2026.

Na de omnibus. De eerste drie zijn identiek. De transparantieverplichtingen zijn nog altijd op 2 augustus 2026 ingegaan. Alleen het hoog-risico regime is verschoven, naar een datum waarop je toch geen verplichtingen had gehad.

Het enige wat je misschien echt voelt, is de zachtere formulering van artikel 4. Vroeger kon een toezichthouder je vragen om aan te tonen dat je mensen een voldoende niveau hadden bereikt. Nu is de vraag of je redelijke maatregelen hebt genomen. Een halve dag over wat een model wel en niet kan, met een aanwezigheidslijst, beantwoordt de nieuwe vraag. Het was ook al het verstandige antwoord op de oude.

Wat een Belgische kmo hiermee moet doen

Pas de data in je plan aan, niet het plan. Had je een project om een tool voor cv-screening of een kredietscoremodel tegen augustus 2026 klaar te krijgen voor de AI Act, dan heb je nu tot 2 december 2027. Gebruik die tijd voor het werk dat je anders had afgeraffeld: een inventaris van elk AI-systeem in gebruik, een verdedigbare risicoklasse per systeem, de grondrechteneffectbeoordeling waar die van toepassing is, en een documentatiespoor. De datum is één keer verschoven. Rekenen op een tweede verschuiving is rekenen op een politiek proces waar je geen vat op hebt.

Laat je werk rond artikel 50 met rust. De chatbot op je website moet nog altijd zeggen dat het een chatbot is. Fotorealistische AI-beelden van mensen, plaatsen of gebeurtenissen hebben nog altijd een zichtbaar label nodig. Daar is niets van uitgesteld.

Stel elke leverancier van generatieve AI één vraag. Was een tool die je gekocht hebt al voor 2 augustus 2026 op de markt, dan had de aanbieder tot 2 december 2026 om machineleesbare markering aan de output toe te voegen. Vraag of dat intussen gebeurd is en zet het antwoord in je AI-register naast die tool.

Hou de sessie AI-geletterdheid in de agenda. De formulering is zachter geworden, de plicht is niet verdwenen, en ze geldt al sinds februari 2025. Een overgangsperiode is er niet meer.

Weet welke van de nieuwe verboden je leveranciers raken. De verboden op nudify-apps en materiaal van kindermisbruik gelden voor aanbieders, niet voor de bedrijven die een tool gebruiken. Jij bent niet degene die de boete krijgt. Je wil wel weten of de beeldgenerator in je marketingtool beveiligd is, want een aanbieder die dat tegen 2 december 2026 niet op orde heeft, is een leveranciersrisico.