De EU AI Act is voor organisaties geen abstracte toekomstwet meer. Met het voorlopige politieke akkoord over de Digital Omnibus is de richting duidelijk: de zwaarste verplichtingen voor hoog-risico AI-systemen gaan later in. Dat akkoord is nog geen formeel geldende wijzigingswet; volgens de aangehaalde analyses moeten juridisch-linguïstische revisie, formele goedkeuring en publicatie nog volgen. Tot die tijd blijft de bestaande AI Act leidend. Ondertussen worden de transparantieregels en de officiële richtsnoeren voor classificatie in 2026 juist concreet. De combinatie zorgt naar onze inschatting voor een merkwaardige situatie: sommige deadlines schuiven op, maar het werk dat organisaties nu moeten doen, blijft grotendeels hetzelfde.
De advocatenkantoren Gibson Dunn en Orrick beschrijven de Omnibus-afspraken en schetsen wat er precies verschuift. Volgens de aangehaalde analyses voorziet het politieke akkoord in 2 december 2027 voor stand-alone Annex III-systemen en 2 augustus 2028 voor embedded Annex I-systemen. Formele inwerkingtreding volgt nog. Uitstel is naar onze analyse echter geen vrijstelling: de extra tijd is bedoeld om registratie, kwaliteitsbeheer, logging en traceerbaarheid daadwerkelijk op orde te krijgen.
Drie stappen die nu al relevant zijn
De officiële AI Act-pagina van de Europese Commissie bundelt de wetstekst, de vier risicocategorieën en, in de geactualiseerde uitleg, de met het Omnibus-akkoord samenhangende tijdlijn. Wie die informatie combineert met de nieuwe richtsnoeren, ziet naar onze inschatting dat er drie stappen zijn die organisaties het beste nu al kunnen zetten, ongeacht de latere ingangsdata.
1. Classificeren: welk systeem valt onder welke categorie?
De eerste vraag is welke AI-systemen als hoog-risico tellen. De concept-richtsnoeren van de Commissie leggen uit hoe artikel 6 en de annexen I en III moeten worden toegepast, met voorbeelden uit onder meer werving, krediet, medische hulpmiddelen en systemen met systeemtoegang; de consultatie liep tot 23 juli 2026.
Voor organisaties betekent dit naar onze inschatting: begin met een inventarisatie van het AI-landschap. Welke toepassingen zijn in gebruik, met welk doel, en onder welke annex vallen ze mogelijk? Zonder dat overzicht is elke verdere stap gokwerk.
2. Transparantie: markering en informatieplicht
Een deel van de verplichtingen schuift juist niet op. De richtsnoeren over transparantie van AI-gegenereerde content concretiseren artikel 50. Volgens de officiële Commissiepagina gaat de EU AI Act als geheel in op 2 augustus 2026, en die pagina bevestigt dat de transparantieverplichtingen van artikel 50 daarbij van kracht worden en niet zijn uitgesteld. Het gaat onder meer om machine-leesbare markering van AI-gegenereerde content en informatieplichten richting betrokkenen, met specifieke aandacht voor deepfakes en andere door de richtsnoeren genoemde situaties.
De organisatorische impact is naar onze inschatting tastbaar: labeling, detectie en processen die aantoonbaar laten zien waar AI bij betrokken was. Dit vraagt niet om een grote systeemmigratie, maar wel om beleid en registratie die op tijd klaar zijn.
3. Logging en controle: de verifieerbare laag
In onze analyse draaien de hoog-risicoregels uiteindelijk om aantoonbaarheid. Zowel Gibson Dunn als Orrick wijzen erop dat organisaties met bestaande AI-toepassingen moeten beoordelen of substantial modifications na de nieuwe deadlines een systeem alsnog onder de hoog-risicoregels kunnen brengen. Dat maakt naar onze analyse een controlelaag noodzakelijk: traceerbare logs, herleidbare systeem- en modelconfiguratie en menselijke controle op gevoelige workflows.
De voorgestelde uitgestelde deadlines geven naar onze inschatting ruimte om die architectuur zorgvuldig op te zetten in plaats van halsoverkop. Wie nu begint met logging en versiebeheer van AI-configuraties, staat naar onze inschatting in 2027 en 2028 sterker.
Wat dit betekent voor de praktijk
De rode draad in de geraadpleegde bronnen — de officiële Commissiepagina's en de juridische analyses van Gibson Dunn en Orrick — is naar onze analyse dat de EU AI Act een architectuurvraag wordt: niet alleen "gebruiken we AI verantwoord", maar "kunnen we aantonen hoe, wanneer en met welke controle we AI hebben ingezet". Voor professionals die met vertrouwelijke informatie werken — advocaten, notarissen, bedrijfsartsen, journalisten en compliance-teams — is dat een bekende reflex: vastleggen wat je doet en waarom.
Hier raakt de wet aan het idee achter I am Vera. Vera is geen chatbot en geen eigen taalmodel, maar positioneert zich als een verificatielaag rond AI-gebruik. Die positionering sluit naar onze inschatting aan bij de drie stappen hierboven. Voorbewerking en anonimisering vinden plaats op EU-infrastructuur via de Semantic Privacy Shield; de workflow is ontworpen om alleen geanonimiseerde inhoud naar de geselecteerde AI-modellen te sturen, en bij een mislukte privacycontrole wordt niets doorgestuurd.
Op het punt van transparantie en controle kan een verificatieconsole helpen door verificatiestappen zichtbaar te maken: welke modellen zijn geraadpleegd, hoe verschillen de antwoorden en welke activiteiten zijn vastgelegd. Dat garandeert geen correctheid en elimineert geen fouten — het professionele eindoordeel blijft altijd bij de gebruiker. Maar het geeft meer zicht op wat er onder de motorkap gebeurt, en dat ondersteunt naar onze inschatting de logging- en controlebehoefte die bij gevoelige workflows past. Wie documenten binnen dezelfde beveiligde omgeving wil bekijken en bewerken, kan daarvoor Vera Office gebruiken.
Conclusie
De Digital Omnibus verandert naar onze analyse het tempo van de EU AI Act, niet de richting. De hoog-risicoverplichtingen komen op basis van het voorlopige akkoord later, maar de transparantieregels rond artikel 50 en de classificatie-richtsnoeren zijn er nu al. Organisaties die de gespreide deadlines benutten om te classificeren, transparantie in te richten en een verifieerbare controlelaag te bouwen, kunnen hun AI-landschap naar onze inschatting gecontroleerd compliant maken — in plaats van het werk vooruit te schuiven naar een deadline die dichterbij ligt dan hij lijkt.