EU AI Act: bijgewerkte handhavingstijdlijn na de Digital Omnibus. Wat uw organisatie nu moet doen

Waar de handhavingstijdlijn staat

De EU AI Act trad op 1 augustus 2024 in werking. Sindsdien verloopt de handhaving in drie golven. De eerste golf, die in februari 2025 van kracht werd, verbood een afgebakende reeks AI-praktijken: sociale scoring die leidt tot nadelige of onevenredige behandeling, ongeacht of dit gebeurt door overheidsinstanties of private ondernemingen, realtime biometrische surveillance op openbare plaatsen (met beperkte uitzonderingen), AI die psychologische kwetsbaarheden misbruikt, en systemen die gezichtsafbeeldingen van internet verzamelen om herkenningstabellen op te bouwen.

De tweede golf volgde in augustus 2025. Aanbieders van algemene AI-modellen zoals OpenAI's GPT-4, Anthropic's Claude en Google's Gemini kregen nieuwe transparantie- en auteursrechtnalevingsvereisten. Die verplichtingen rusten op de modelontwikkelaars zelf, niet op bedrijven die deze modellen via een API benaderen.

De derde golf arriveerde op 2 augustus 2026 in twee delen. De transparantieverplichtingen van Artikel 50 traden op schema in werking: aanbieders moeten ervoor zorgen dat systemen die met mensen interageren, kenbaar maken dat er sprake is van AI (tenzij dit al overduidelijk is), en dat synthetische content is voorzien van een machinaal leesbare markering. Inzetters moeten deepfakes en door AI gegenereerde teksten die worden gepubliceerd om het publiek te informeren over zaken van algemeen belang, als zodanig kenbaar maken, met inachtneming van de uitzonderingen in het betreffende artikel. Onze handleiding bij artikel 50 behandelt deze verplichtingen in detail. Generatieve AI-systemen die al vóór die datum op de markt waren, hebben tot 2 december 2026 om hun output machineleesbaar te markeren. Het AI-bureau van de EU verkreeg op dezelfde datum volledige handhavingsbevoegdheid over GPAI-aanbieders.

De Bijlage III-verplichtingen voor hoog-risico AI traden die dag niet in werking. In juli 2026 nam de EU de Digital Omnibus op het gebied van AI aan (Verordening (EU) 2026/1744, van kracht sinds 27 juli 2026). Die verschoof de nalevingsdeadline voor zelfstandige hoog-risicosystemen (systemen die geen deel uitmaken van gereguleerde producten) van augustus 2026 naar 2 december 2027. Hoog-risico AI in producten onder Bijlage I schoof van augustus 2027 naar augustus 2028.

Is uw AI-gebruik hoog-risico? Wat bijlage III omvat

Bijlage III van de EU AI Act omschrijft acht categorieën van hoog-risico AI-gebruik. De lijst is breder dan de meeste organisaties verwachten. U hoeft geen machine learning-modellen te bouwen om eronder te vallen. Als een softwaretool van een derde partij in een van deze categorieën een beslissing over mensen automatiseert of wezenlijk beïnvloedt, bent u als inzetter in scope.

De acht categorieën zijn:

• Biometrische identificatie en categorisering van natuurlijke personen, inclusief systemen voor identificatie op afstand en emotieherkenning
• Beheer van kritieke infrastructuur, waaronder AI gebruikt bij elektriciteit, water, gas, transport en digitale infrastructuur
• Onderwijs en beroepsopleiding, inclusief AI die toegang tot onderwijsinstellingen bepaalt of studenten beoordeelt (geautomatiseerde examenscoring, toelatingsvolgorde)
• Werkgelegenheid, personeelsbeheer en toegang tot zelfstandige arbeid, inclusief CV-screening, wervingsvolgorde, prestatiemonitoring en AI-ondersteunde beslissingen over promotie of ontslag
• Essentiële particuliere diensten, inclusief AI gebruikt bij kredietscoring, risicobeoordeling voor verzekeringen en acceptatie van levens- en ziekteverzekeringen
• Rechtshandhaving, inclusief AI gebruikt voor risicoanalyse van personen, profilering, bewijsevaluatie en misdaadanalyse
• Beheer van migratie, asiel en grenscontrole, inclusief risicoanalyse van visumzoekers en beoordeling van documentauthenticiteit
• Rechtsbedeling en democratische processen, inclusief AI die rechtbanken helpt bij het onderzoeken of toepassen van wetgeving

De categorieën werkgelegenheid en essentiële diensten treffen meer commerciële organisaties dan alle andere. Als uw HR-platform sollicitanten rangschikt, uw CRM klanten beoordeelt op kredietrisico, of uw prestatiebeheersoftware productiviteitsscores toekent aan medewerkers, gebruikt u waarschijnlijk een hoog-risico AI-systeem onder bijlage III.

Er zijn uitzonderingen. Op grond van artikel 6, lid 3, wordt een systeem dat in bijlage III is opgenomen niet als 'hoog risico' beschouwd als het geen aanzienlijk risico vormt voor de gezondheid, veiligheid of grondrechten, bijvoorbeeld wanneer het een beperkte procedurele taak uitvoert of enkel het resultaat van een reeds voltooide menselijke activiteit verbetert. Deze uitzondering geldt nooit voor systemen die personen profileren. Een aanbieder die zich op deze uitzondering beroept, moet de beoordeling documenteren en het systeem alsnog registreren.

Wat hoog-risico AI-systemen voor december 2027 op orde moeten hebben

Hoog-risico AI-systemen moeten meer doen dan nauwkeurige uitkomsten leveren. De artikelen 9 tot en met 15 bevatten de technische vereisten; daarnaast legt de verordening verplichtingen op aan de aanbieder, zoals het uitvoeren van een conformiteitsbeoordeling en het registreren van het systeem.

Aanbieders bouwen die vereisten in het systeem in. Inzetters opereren binnen die kaders en komen hun eigen verplichtingen rond inzet en monitoring na.

1. Risicobeheersysteem. Een continu, gedocumenteerd proces voor het identificeren en beperken van risico's gedurende de gehele levenscyclus van het AI-systeem. Dit is geen eenmalige beoordeling; het systeem moet worden onderhouden en bijgewerkt naarmate het evolueert.
2. Gegevensbeheer. Documentatie van de trainings-, validatie- en testdata die zijn gebruikt om het systeem te bouwen. De gegevens moeten relevant en voldoende representatief zijn, en voor zover mogelijk foutloos en volledig; de aanbieder moet de gegevens bovendien onderzoeken op mogelijke vooroordelen (biases).
3. Technische documentatie. Een gedetailleerd technisch dossier met het ontwerp, de ontwikkeling en de mogelijkheden van het systeem. Nationale toezichthoudende autoriteiten kunnen dit dossier op elk moment opvragen.
4. Automatische gebeurtenisregistratie (logging). Het systeem moet gedurende zijn gehele levenscyclus gebeurtenissen automatisch kunnen vastleggen, met een mate van traceerbaarheid die past bij het beoogde doel, zodat risico's kunnen worden geïdentificeerd en de werking van het systeem kan worden gemonitord.
5. Transparantie en informatie aan inzetters. Aanbieders voorzien inzetters van documentatie waarmee zij het systeem begrijpen, correct gebruiken en aan hun eigen verplichtingen voldoen.
6. Menselijk toezicht. Hoog-risico AI-systemen moeten zo zijn ontworpen dat menselijke beoordeling en overschrijving mogelijk zijn. Een mens moet kunnen ingrijpen, corrigeren of het systeem stopzetten. Voor de meeste hoog-risico categorieën is een volledig geautomatiseerde beslissing zonder menselijk toezicht niet compliant.
7. Nauwkeurigheid, robuustheid en cyberbeveiliging. Systemen moeten voldoen aan gedefinieerde nauwkeurigheidsniveaus, bestand zijn tegen pogingen om uitkomsten te manipuleren en de gegevens die ze verwerken beschermen.
8. Conformiteitsbeoordeling, EU-verklaring en CE-markering. Dit zijn verplichtingen voor de aanbieder, los van de technische vereisten: de aanbieder moet de conformiteitsbeoordeling uitvoeren, de EU-conformiteitsverklaring opstellen, de CE-markering aanbrengen en, in de meeste gevallen, het systeem registreren in de EU-database voordat het op de markt wordt gebracht of in gebruik wordt genomen.

Uw plichten als inzetter versus wat uw AI-leverancier moet regelen

De wet trekt een duidelijke grens tussen aanbieders en inzetters. Weten waar die grens ligt, voorkomt dubbel werk en lacunes in uw compliancepositie.

Aanbieders zijn verantwoordelijk voor: het integreren van risicobeheer en datagovernance in het systeem zelf, het opstellen en bijhouden van technische documentatie, het waarborgen dat het systeem automatisch gebeurtenislogboeken (event logs) genereert, het bewaren van documentatie gedurende 10 jaar, het afgeven van de EU-conformiteitsverklaring, het registreren van het systeem in de EU-database en het verstrekken van duidelijke gebruiksinstructies aan de inzetters.

Inzetters zijn verantwoordelijk voor: het gebruik van het systeem conform de gebruiksinstructies van de aanbieder; het toewijzen van menselijk toezicht aan personen die over de nodige competenties en bevoegdheden beschikken om dit toezicht uit te oefenen; het waarborgen dat de invoergegevens waarover zij zeggenschap hebben relevant zijn; het monitoren van de werking en het melden van risico's of ernstige incidenten aan de aanbieder en de autoriteiten; het informeren van werknemers voordat AI met een hoog risico op de werkvloer wordt ingezet; het uitvoeren van een effectbeoordeling op het gebied van grondrechten, indien artikel 27 dit vereist (geldt voor overheidsinstanties, aanbieders van openbare diensten en organisaties die AI gebruiken voor kredietbeoordeling of het vaststellen van prijzen voor levens- en zorgverzekeringen); en het gedurende ten minste zes maanden bewaren van de automatisch gegenereerde logboeken waarover zij zeggenschap hebben.

Veel AI-tools op de markt zijn niet gebouwd met EU AI Act-compliance in gedachten. Als uw leverancier nog niet beschikt over een EU-conformiteitsverklaring of de vereiste gebruiksinstructies, vraag dan om een herstelplan waarin staat wie verantwoordelijk is en tegen welke datum het in orde zal zijn. Als de leverancier geen geloofwaardig traject naar naleving kan aantonen, overweeg dan om het gebruik van de tool voor gereguleerde doeleinden te staken totdat dit wel het geval is.

De boetestructuur

De EU AI Act hanteert hetzelfde gelaagde boetemodel als de AVG: de maximumboete is het hogere van een vast eurobedrag of een percentage van de wereldwijde jaaromzet. Voor mkb-ondernemingen en start-ups geldt het laagste van de twee bedragen. De verordening stelt boetes vast voor organisaties; de persoonlijke aansprakelijkheid van bestuurders hangt af van de nationale wetgeving in elke lidstaat.

• Overtredingen met verboden AI (artikel 5): maximaal 35 miljoen euro of 7% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is
• Schending van andere verplichtingen van operatoren (aanbieders, inzetters en andere operatoren, inclusief verplichtingen voor hoog-risico AI en de transparantieverplichtingen van artikel 50): maximaal 15 miljoen euro of 3% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is
• Onjuiste informatie aan autoriteiten: maximaal 7,5 miljoen euro of 1% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is

Voor een onderneming met een wereldwijde omzet van één miljard euro bedraagt het maximumbedrag voor schending van verplichtingen met betrekking tot hoge risico's 30 miljoen euro; de daadwerkelijke boete hangt af van de ernst en de duur van de schending en van de medewerking met de autoriteit. Elke EU-lidstaat heeft een nationale toezichthoudende autoriteit die de wet handhaaft. Het AVG-precedent laat zien dat de grootste boetes gaan naar stelselmatige fouten of gevallen met aantoonbare schade aan personen, maar vroege handhavingsbeslissingen bepalen hoe hard de autoriteiten optreden.

Een sprint van vier weken om gereed te zijn

Één maand is te kort om een volwassen AI-governance-programma van de grond op te bouwen. Genoeg is het om een verdedigbare compliancepositie te bereiken voor de meest relevante tools. De sprint hieronder gaat uit van de situatie die voor de meeste organisaties geldt: grootschalig herontwerp van AI-systemen is niet meer haalbaar, dus de focus ligt op de acties die het regelgevingsrisico het snelst verlagen.

Week 1: Bouw uw AI-inventaris op

Stel elke bedrijfseenheid één vraag: welke software neemt of beveelt beslissingen aan over mensen? Neem HR-platforms op, wervingstools, CRM-systemen met lead- of kredietscoring, werkroostersystemen, fraudedetectietools en routeringssystemen voor klantenservice. Noteer voor elk hulpmiddel de leverancier, de gebruikscontext, de waarschijnlijke categorie volgens bijlage III, de categorieën persoonsgegevens die worden verwerkt, of het systeem in de EU wordt gebruikt (of dat de output ervan in de EU wordt gebruikt), en de interne verantwoordelijke.

Week 2: Classificeer en prioriteer

Ga voor elk AI-systeem in uw inventaris na of het voldoet aan de hoog-risico definitie van bijlage III. Niet elke geautomatiseerde tool kwalificeert. Een chatbot die klantvragen doorstuurt valt er niet onder; een systeem dat sollicitanten rangschikt of klanten beoordeelt op kredietwaardigheid wel. Leg de redenering achter elke classificatie vast. Als een leverancier zich beroept op de uitzondering in artikel 6, lid 3, vraag dan om de bijbehorende gedocumenteerde beoordeling. Geef hoog-risico systemen prioriteit voor directe actie en schakel uw juridisch of compliance-team in om classificaties te bevestigen waar twijfel bestaat.

Week 3: Neem contact op met leveranciers en beoordeel documentatie

Vraag bij elke leverancier van een AI-systeem met een hoog risico naar de EU-conformiteitsverklaring (of het tijdschema voor de afgifte daarvan), de in artikel 13 vereiste gebruiksaanwijzing, een bevestiging van registratie in de EU-database (indien van toepassing) en het plan van de leverancier voor de periode tot december 2027. Leg alle leverancierscommunicatie schriftelijk vast. Kan een leverancier deze documenten niet overleggen, escaleer dan intern en beslis of voortgezet gebruik van dat instrument acceptabel is gezien uw risicobereidheid.

Week 4: Documenteer menselijk toezicht, logbestanden en incidentmeldingen

Leg voor elk hoog-risico AI-systeem in gebruik het toezichtproces schriftelijk vast: wie AI-uitkomsten beoordeelt, hoe zij het systeem kunnen overschrijven, en hoe die overschrijvingen worden geregistreerd. Informeer betrokken medewerkers schriftelijk waar een systeem hun prestaties monitort of beoordeelt. Bepaal hoe door het systeem gegenereerde logbestanden ten minste zes maanden bewaard zullen blijven en hoe ernstige incidenten aan de aanbieder en de bevoegde autoriteit worden gemeld. Wijs voor elk systeem een verantwoordelijke aan voor de doorlopende compliance.

Waar u nu op focust

De deadline van december 2027 is vastgesteld en de verplichtingen zijn niet optioneel. De Digital Omnibus-vertraging versoepelde de eisen niet. U hoeft de AI-tools die waarde genereren niet op te geven; u moet ze inzetten met documentatie, toezicht en verantwoording die de meeste organisaties nog niet hebben geformaliseerd.

Stilzitten heeft twee concrete gevolgen. Toezichthouders kunnen u beboeten zodra de handhaving begint. Schaadt een AI-ondersteunde beslissing een persoon en kunt u niet aantonen dat passende waarborgen aanwezig waren, dan loopt u naast regelgevende boetes ook civiele aansprakelijkheid.

December 2027 geeft de meeste organisaties de tijd om een volwassen complianceprogramma op te bouwen. Begin bij de basis: een inventarisatie van AI-systemen, geclassificeerd volgens bijlage III; conformiteitsdocumentatie van leveranciers gecontroleerd; procedures voor menselijk toezicht vastgelegd; en logbestanden bewaard. Een volwassen AI-governance-kader kost meer tijd, maar bouwt precies op dat fundament.

• Voltooi een AI-inventaris over alle bedrijfsfuncties
• Classificeer elk AI-gebruik tegen bijlage III en bevestig de scope met juridisch of compliance-advies
• Vraag schriftelijk EU-conformiteitsdocumentatie op bij elke leverancier van een hoog-risico AI-systeem
• Documenteer procedures voor menselijk toezicht voor elk hoog-risico AI-instrument in gebruik
• Informeer medewerkers schriftelijk waar AI-systemen hun prestaties beoordelen of monitoren
• Bewaar logbestanden van AI-systemen met een hoog risico gedurende ten minste zes maanden en leg vast hoe ernstige incidenten moeten worden gemeld
• Wijs voor elk hoog-risico AI-systeem een verantwoordelijke aan en plan een beoordelingsdatum voor doorlopende compliance

Hoe Cyvra helpt bij naleving van de EU AI-verordening

Cyvra helpt inzetters vaststellen welke systemen onder bijlage III vallen, het vereiste documentatiepakket samenstellen en de menselijke toezichtprocessen inrichten die de verordening vereist. De focus ligt op uw verplichtingen als inzetter, niet op die van uw AI-leverancier.

• AI-systeeminventaris: catalogiseer elk AI-instrument in gebruik binnen uw organisatie, inclusief ingebedde AI-functies in software die uw IT-team voor andere doeleinden heeft goedgekeurd
• Bijlage III-classificatie: beoordeel elk systeem aan de hand van de acht hoog-risico categorieën en documenteer de redenering in een formaat dat toezichthouders kunnen controleren
• Leveranciersdocumentatie beoordelen: controleer of uw AI-leveranciers de vereiste technische documentatie en conformiteitsverklaringen hebben aangeleverd en identificeer waar dat niet het geval is
• Menselijk toezicht ontwerpen: bouw de processen en beheersmaatregelen die hoog-risico AI-toepassingen vóór de deadline van december 2027 op orde moeten hebben
• ISO 42001-afstemming: koppel uw nalevingswerk voor de AI-verordening aan de ISO 42001-norm voor AI-managementsystemen, zodat één auditklaar kader twee compliancetrajecten dekt

Neem contact op met onze AI-praktijk of ons complianceteam over wat Artikel 50 nu vereist en hoe u zich voorbereidt op de Bijlage III-deadline van december 2027.