De uitgestelde invoering van een deel van de verplichtingen voor hoogrisicosystemen mag bedrijven niet op het verkeerde been zetten: de AI Act is al gefaseerd van kracht. Vanaf 2 augustus 2026 gaat een nieuwe belangrijke deadline in, met name voor transparantieverplichtingen. Chatbots, door AI gegenereerde content, deepfakes, HR-tools, door AI verrijkte SaaS-oplossingen en conversational agents: IntelligenceArtificielle.com herinnert in een referentienota eraan dat organisaties nu moeten overschakelen van regelgevingsmonitoring naar een operationele inventaris van hun AI-toepassingen.
In veel bedrijven staat de AI Act nog steeds in het dossier “juridisch”, “compliance” of “later te behandelen”. Dat is een verkeerde inschatting.
De Europese verordening rond artificiële intelligentie is geen verre tekst meer. Ze is op 1 augustus 2024 in werking getreden en wordt geleidelijk toegepast. Verboden op bepaalde AI-praktijken en de verplichting rond AI-geletterdheid gelden sinds 2 februari 2025. De governance-regels en de verplichtingen voor general-purpose AI-modellen gelden sinds 2 augustus 2025. De volgende grote stap volgt op 2 augustus 2026, met de algemene toepassing van tal van bepalingen, in het bijzonder de transparantieverplichtingen uit artikel 50.
Met andere woorden, de vraag is niet langer: “Wat bepaalt de AI Act?” Maar wel: “Weten we waar, hoe en waarom we vandaag al AI gebruiken binnen de onderneming?”
De uitstelregeling voor hoog risico stelt de AI Act niet uit
De Digital Omnibus heeft mogelijk een gevoel van ademruimte gecreëerd. De regels voor hoogrisico-AI-systemen moeten worden herzien, met een voorziene toepassing op 2 december 2027 voor autonome systemen onder bijlage III, en op 2 augustus 2028 voor systemen die zijn ingebed in producten die onder sectorspecifieke regelgeving vallen. Het Europees Parlement keurde deze vereenvoudigingsmaatregelen goed op 16 juni 2026, maar de tekst moet nog formeel worden aangenomen door de Raad voordat ze in werking treden.
Maar deze uitstelregeling schort de rest van de verordening niet op.
Ze stelt de reeds toepasselijke verboden praktijken niet uit. Ze stelt de AI-geletterdheidsverplichting niet uit. Ze stelt de verplichtingen voor general-purpose AI-modellen niet uit. En ze mag bedrijven er niet toe brengen de deadline van 2 augustus 2026 te negeren.
Precies daar schuilt de valkuil: denken dat de AI Act pas begint bij hoogrisicosystemen. In werkelijkheid heeft de eerste operationele golf betrekking op veel courantere toepassingen: conversational agents, klantchatbots, door AI gegenereerde content, teksten die met hulp van AI worden gepubliceerd, synthetische beelden, artificiële stemmen, deepfakes en generatieve tools die zijn geïntegreerd in zakelijke software.
Wat verandert er op 2 augustus 2026
Vanaf 2 augustus 2026 worden transparantieverplichtingen centraal. Die moeten onder meer voorkomen dat mensen zonder het te weten met een AI interageren, dat synthetische content zonder passende aanduiding wordt verspreid, of dat deepfakes en bepaalde door AI gegenereerde content van openbaar belang worden gepresenteerd alsof ze volledig menselijk zijn.
De Europese Commissie publiceerde op 10 juni 2026 een code of practice over de transparantie van door AI gegenereerde content. Die moet aanbieders en uitrolverantwoordelijken helpen voldoen aan de markeer-, label- en detectieverplichtingen uit artikel 50. Toetreding tot de code is vrijwillig, maar de transparantieverplichtingen van artikel 50 zijn wel wettelijke verplichtingen.
Voor een onderneming kan dit heel concrete vragen oproepen:
- weet een klant dat hij met een chatbot spreekt?
- is content die over een onderwerp van openbaar belang wordt gepubliceerd, gegenereerd of sterk aangepast door AI?
- wordt een afbeelding, video of synthetische stem als zodanig aangeduid?
- produceert een interne tool teksten, aanbevelingen of analyses die menselijke beslissingen beïnvloeden?
- weten marketing-, HR-, klantenservice- of productteams wat ze moeten vermelden, archiveren of controleren?
De Digital Omnibus voorziet ook in een termijn tot 2 december 2026 voor bepaalde markeerverplichtingen voor door AI gegenereerde content met betrekking tot systemen die al vóór 2 augustus 2026 op de markt waren. Maar deze overgangsperiode mag niet worden opgevat als een algemene uitstelregeling voor transparantie: ze heeft betrekking op een specifiek toepassingsgebied.
Het echte risico: onzichtbare AI
Het grootste risico voor bedrijven zit niet altijd in het grote AI-project dat wordt voorgesteld in het directiecomité. Vaak zit het in de AI die al aanwezig is.
AI-functionaliteiten die geactiveerd zijn in een CRM. Een scoringsmodule toegevoegd aan een marketingtool. Een HR-assistent die door een rekruteringsploeg wordt getest. Een contentgenerator die door communicatie wordt gebruikt. Een conversational agent gekoppeld aan een documentendatabase. Een office-copilot die wordt uitgerold zonder nauwkeurige mapping van de toepassingen. Een dienstverlener die AI gebruikt in zijn deliverables zonder dat expliciet te vermelden.
Le Hub France IA benadrukt precies de noodzaak om de AI-systemen binnen de organisatie in kaart te brengen, inclusief systemen die zijn geïntegreerd in marktoplossingen, systemen in ontwikkeling, systemen in productie en systemen die al in de ideatiefase opduiken. De gids “Premiers pas vers l’IA de Confiance” adviseert om een register van AI-systemen bij te houden met onder meer databronnen, technische architecturen, zakelijke use cases, betrokken doelgroepen, de uitrolcontext en een voorafgaande risicoanalyse.
Hetzelfde document waarschuwt voor systemen van derden — uitgevers, dienstverleners, integratoren — die steeds vaker AI-componenten bevatten die voor de eindgebruiker soms onzichtbaar zijn. Het wijst ook op het fenomeen “Shadow AI”: informeel gebruik van generieke tools, door leveranciers toegevoegde AI-opties, kleine SaaS-contracten buiten het inkoopproces om, en interne experimenten buiten het zicht van IT.
Daar wordt AI Act-compliance een governancekwestie, niet alleen een juridische.
Compliance begint met een register
Voor veel organisaties is de eerste nuttige stap niet het opstarten van een groot juridisch traject. Het is het opzetten van een eenvoudig register van AI-gebruik.
Dat register hoeft op dag één niet perfect te zijn. Het moet antwoord geven op enkele essentiële vragen:
- welke AI-tool of welk AI-systeem wordt gebruikt?
- door welke afdeling?
- voor welke zakelijke toepassing?
- met welke data?
- op welke personen of categorieën van personen kan het gebruik invloed hebben?
- treedt de onderneming op als louter gebruiker, uitrolverantwoordelijke, integrator of aanbieder?
- valt het gebruik onder een transparantieverplichting?
- kan het gebruik onder hoog risico vallen?
- welke bewijzen worden bewaard?
- welke leverancier is waarvoor verantwoordelijk?
Het doel is niet om innovatie af te remmen. Het doel is om de controle terug te nemen.
Een onderneming die niet weet waar ze AI gebruikt, kan niet aantonen dat ze die beheerst. En een onderneming die niet weet wie wat gebruikt, met welke data en met welk doel, zal het bijzonder moeilijk hebben om te antwoorden op een vraag van een klant, auditor, verzekeraar, partner, overheidsopdrachtgever of toezichthouder.
De checklist om nu te starten
Enkele weken voor de deadline van 2 augustus 2026 kunnen bedrijven al vooruitgang boeken met een pragmatische aanpak.
1. Wijs een AI Act-verantwoordelijke aan.
Het gaat niet noodzakelijk om een nieuwe functie. Maar er moet wel een duidelijk verantwoordelijke zijn die DSI, legal, procurement, business, HR, compliance, security en communicatie kan coördineren.
2. Start de inventaris van AI-gebruik.
Begin met de zichtbare tools: chatbots, contentgeneratoren, copilots, interne agents, model-API’s, HR-oplossingen, marketingtools, scoringsinstrumenten en tools voor documentanalyse.
3. Spoor onzichtbare AI op.
Bevraag businessafdelingen, procurement en leveranciers. Kritieke toepassingen zitten niet altijd in officiële projecten. Ze kunnen verborgen zitten in SaaS-opties, individuele accounts of lokale experimenten.
4. Maak een minimaal register aan.
Voor elk gebruik: tool, leverancier, doel, gebruiker(safdeling), verwerkte data, betrokken personen, ingeschat risiconiveau, mogelijke transparantieverplichting, menselijke supervisie en beschikbare bewijzen.
5. Identificeer gevoelige toepassingen.
HR, rekrutering, werknemersbeoordeling, onderwijs, krediet, verzekeringen, gezondheidszorg, biometrie, beveiliging en toegang tot essentiële diensten: deze domeinen moeten prioritair worden geanalyseerd.
6. Bereid de transparantie voor.
Voor chatbots, conversational agents, gegenereerde content, synthetische beelden, artificiële stemmen, deepfakes of content van openbaar belang moet de onderneming bepalen wat ze meldt, waar, met welke formulering, in welke interface en met welk bewijs.
7. Herbekijk leverancierscontracten.
Kopers moeten bij uitgevers en dienstverleners de nodige informatie opvragen: rol in de waardeketen, beschikbare documentatie, gebruikt model, gebruikte data, trainingsvoorwaarden, logs, beveiliging, versiebeheer, service-uitschakeling en onderaannemers.
8. Leid teams op.
AI-geletterdheid beperkt zich niet tot een algemene opleiding. Een recruiter, marketeer, jurist, ontwikkelaar, inkoopverantwoordelijke of manager loopt niet dezelfde risico’s en heeft niet dezelfde noden.
9. Voorzie toezicht.
Voor de belangrijkste toepassingen moet worden vastgelegd wie controleert, wanneer, met welke alarmdrempels en welke corrigerende acties. Le Hub France IA adviseert onder meer continue supervisie, menselijke controle, logs, alerts, biasmonitoring, een meldprotocol voor incidenten en het actualiseren van de documentatie.
10. Bouw een bewijsdossier op.
Compliance betekent niet alleen iets doen. Het betekent ook kunnen aantonen wat er is gedaan: register, beslissingen, risicoanalyses, opleidingen, leveranciersclausules, screenshots van gebruikersinformatie, interne procedures, logs en verslagen van reviews.
De checklist in een beknopt deelbaar formaat:
Sancties zijn maar een deel van het verhaal
De AI Act voorziet in zware sancties: tot 35 miljoen euro of 7% van de wereldwijde jaaromzet voor verboden praktijken, tot 15 miljoen euro of 3% voor tal van andere inbreuken, waaronder transparantieverplichtingen, en tot 7,5 miljoen euro of 1% voor het verstrekken van onjuiste, onvolledige of misleidende informatie aan de autoriteiten.
Maar het meest onmiddellijke risico voor veel bedrijven zal misschien minder spectaculair zijn: een aanbesteding verliezen, niet in staat zijn om een leveranciersvragenlijst te beantwoorden, ontdekken dat een HR-tool niet gevalideerd is, vaststellen dat een klantchatbot niet als zodanig wordt aangeduid, of niet kunnen bewijzen dat een AI-ondersteunde beslissing effectief door een mens wordt opgevolgd.
AI-compliance wordt dus ook een kwestie van commerciële betrouwbaarheid.
In de komende maanden zullen grote ondernemingen, overheidsopdrachtgevers, verzekeraars, investeerders en technologische partners steeds vaker vragen: welke AI-systemen gebruikt u? Met welke data? Voor welke toepassingen? Met welk toezicht? Met welke leveranciersgaranties? Met welk bewijs?
Wacht niet op perfecte compliance
De valkuil zou zijn te wachten op de definitieve versie van alle gidsen, normen en marktpraktijken om te beginnen. Op dit moment gaat het niet om een perfect systeem. Het gaat om een eerste mapping, een eerste register, een eerste analyse van gevoelige toepassingen en een eerste antwoordcapaciteit.
AI Act-compliance begint niet met een juridisch dossier. Ze begint met een operationele vraag: weten we wat we draaien, waar, met welk doel, met welke data, onder welke verantwoordelijkheid en met welk bewijs?
Bedrijven die daarop kunnen antwoorden, hebben een voorsprong. De anderen zullen merken dat AI, eenmaal uitgerold zonder mapping, al snel onmogelijk te besturen wordt.
Dit artikel is gebaseerd op de referentienota over het operationele aftellen van de AI Act in bedrijven, met een geconsolideerde kalender, reeds toepasselijke verplichtingen, aandachtspunten rond general-purpose AI-modellen, transparantie, hoog risico, leveranciers en AI-register.
Dit artikel biedt algemene informatie en vervangt geen juridisch advies dat is afgestemd op de situatie van elke organisatie.