Op 24 juli 2026 verscheen Regulation (EU) 2026/1744, de zogeheten Digital Omnibus on AI, in het Publicatieblad. Sinds 27 juli 2026 is de verordening van kracht. Ze wijzigt de EU AI Act formeel — onder meer Verordening (EU) 2024/1689 — en herkalibreert de tijdlijn. Voor organisaties is de kern eenvoudig: dit is geen algemeen uitstel van de AI Act, maar een precieze herplanning waarin sommige verplichtingen doorschuiven en andere juist op korte termijn hard ingaan.
Deze uitleg richt zich op professionals die met gevoelige of hoog-trust informatie werken. Het doel is nuchter: wat verandert er juridisch, wat geldt er nu al, en hoe kunt u de komende maanden gebruiken om uw AI-landschap in kaart te brengen?
Wat de Digital Omnibus juridisch doet
De officiële titel van de verordening laat de aard zien: het gaat om vereenvoudiging van de uitvoering van geharmoniseerde AI-regels. Volgens een analyse van Licentium verschuift de Digital Omnibus onder andere de toepassing van artikel 6 (high-risk-classificatie) van de AI Act: de use-cases uit Annex III schuiven naar 2 december 2027 en de productgebaseerde categorieën uit Annex I naar 2 augustus 2028.
Belangrijk is wat er niet verschuift. Het uitstel betreft vooral de zwaarste high-risk-laag. De transparantieverplichtingen onder artikel 50 blijven overeind en gaan al eerder in. Wie de Digital Omnibus leest als "we kunnen ons AI-huiswerk uitstellen tot 2027", leest de verordening dus verkeerd. De kernstructuur van de AI Act blijft intact; alleen enkele deadlines zijn opnieuw ingepland.
Transparantie onder artikel 50 geldt al vanaf 2 augustus 2026
De Europese Commissie nam op 20 juli 2026 definitieve richtsnoeren over transparantieverplichtingen aan, met een startdatum van 2 augustus 2026. Volgens de Commissie moeten providers generatieve en interactieve AI-systemen zo ontwerpen dat gebruikers expliciet worden geïnformeerd wanneer zij met AI interacteren, en moeten outputs machine-leesbare markeringen bevatten. Deployers hebben op hun beurt transparantieplichten rond onder meer emotieherkenning, biometrische categorisatie en deepfakes.
Advocatenkantoor Bird & Bird vat de richtsnoeren samen en wijst op vier transparantieverplichtingen onder artikel 50 die vanaf 2 augustus 2026 gelden. Het kantoor benoemt dat overtreding kan leiden tot boetes tot 15 miljoen euro of 3% van de wereldwijde jaaromzet, dat providers buiten de EU ook onder de regels kunnen vallen wanneer hun outputs in de EU worden gebruikt, en dat deployers — als personen onder wier autoriteit een systeem wordt gebruikt — specifieke labelingplichten hebben voor deepfakes en bepaalde AI-teksten.
Voor organisaties betekent dit een concrete inventarisatie-opdracht. U moet weten waar in uw landschap generatieve, interactieve en classificerende AI-systemen draaien, welke rol u per systeem vervult (provider of deployer), en welke transparantieketens — informatieteksten, markeringen, beleid en logging — binnen enkele maanden operationeel moeten zijn.
De adempauze voor high-risk is bedoeld om te classificeren
De Commissie werkt daarnaast aan richtsnoeren voor high-risk-systemen onder artikel 6. De opzet is drieledig: algemene principes, een annex voor productveiligheid (artikel 6(1) plus Annex I) en een annex voor use-cases (artikel 6(2) plus Annex III). De bijbehorende consultatie liep tot 23 juli 2026 en de definitieve richtsnoeren worden tegen eind 2026 verwacht — ruim vóór de door de Digital Omnibus verplaatste toepassingdata van 2 december 2027 en 2 augustus 2028.
Die volgorde is geen toeval. De uitgestelde deadlines geven organisaties tijd om hun AI-inventaris te classificeren langs de Annex I- en Annex III-categorieën, de impact op grondrechten en sectorale gebruiksscenario's. Voor hoog-trust workflows in zorg, recht, finance en overheid is die classificatie geen papieren exercitie, maar het startpunt van governance: per workflow vastleggen of u provider of deployer bent, welke transparantie- en labelingplichten gelden, welke use-cases richting high-risk groeien en welke logging, menselijk toezicht en effectbeoordelingen daarbij horen.
Zichtbaar maken welke plicht wanneer geldt
De praktische uitdaging is dat deze twee lagen — directe transparantieplichten en uitgestelde high-risk-verplichtingen — per workflow verschillen. Hier kan een verificatielaag zoals IamVera.ai ondersteunen. Vera is geen chatbot en geen eigen taalmodel, maar een laag die een taak door geselecteerde onafhankelijke AI-modellen kan leiden en daarbij verificatiestappen, correcties, onderlinge verschillen en bronnen zichtbaar maakt voor inspectie. Dat geeft meer zicht op wat er in een workflow gebeurt; het garandeert geen correctheid en elimineert geen hallucinaties.
Voor gevoelige documenten is het Semantic Privacy Shield relevant: voorbewerking en anonimisering vinden plaats op EU-infrastructuur, waarna de workflow is ontworpen om alleen geanonimiseerde inhoud naar de geselecteerde modellen te sturen. De workflow is fail-closed: mislukt de privacycontrole, dan wordt het document niet doorgestuurd. Dat is een architectuurkeuze, geen juridische garantie en geen volledige AVG-compliance.
Waar de nieuwe EU-verplichtingen om aantoonbaarheid vragen, kan zulke zichtbare logging helpen om per workflow te tonen onder welke AI-Act-rol u valt, welke systemen nu al onder artikel 50 vallen en welke richting de high-risk-deadlines van 2027-2028 uitwijzen. Het professionele eindoordeel — welke classificatie klopt en welke maatregelen volstaan — blijft bij u.