Digital Omnibus: wat verandert er aan de AI Act en wanneer?

De Digital Omnibus on AI is de Europese wet die de AI Act op onderdelen vereenvoudigt en de hoog-risicodata verschuift. Hij begon als Commissievoorstel COM(2025)836 van 19 november 2025. Verordening (EU) 2026/1744 is op 24 juli 2026 gepubliceerd en op 27 juli 2026 in werking getreden. De gewijzigde AI Act is nu de juridische basis voor planning en compliance; eerdere statusberichten over het akkoord of de stemmingen zijn daarmee ingehaald.

Het uitstel is selectief. Artikel 50 over transparantie geldt sinds 2 augustus 2026 en is niet uitgesteld; alleen de machineleesbare markering krijgt voor systemen die al vóór die datum op de markt waren uitloop tot 2 december 2026 (artikel 111 lid 4). De verboden praktijken uit artikel 5 gelden sinds 2 februari 2025 en de Omnibus voegt er alleen een verbod aan toe. De GPAI-modelverplichtingen gelden sinds 2 augustus 2025 en sinds 2 augustus 2026 kan de Commissie ze handhaven, inclusief boetes (artikel 101). Aanbieders van GPAI-modellen die al vóór 2 augustus 2025 op de markt waren, voldoen uiterlijk op 2 augustus 2027 (artikel 111 lid 3).

Verordening (EU) 2026/1744 heeft de toepassingsdata voor hoog-risico AI gewijzigd. De kernverplichtingen voor systemen uit bijlage III gelden vanaf 2 december 2027. Voor hoog-risico AI in producten onder EU-sectorale veiligheidswetgeving uit bijlage I geldt 2 augustus 2028 (artikel 113). De grondrechtentoets van artikel 27 volgt de hoog-risicotijdlijn. Voor een hoog-risicosysteem dat al vóór die data in gebruik is, geldt de verordening pas bij een aanzienlijke wijziging; systemen die bedoeld zijn voor gebruik door overheidsinstanties moeten uiterlijk op 2 augustus 2030 voldoen (artikel 111 lid 2). Het voorgestelde mechanisme dat de data aan beschikbare normen koppelde, haalde de eindtekst niet: de data liggen vast.

Sinds 27 juli 2026 verplicht artikel 4 aanbieders en gebruiksverantwoordelijken om maatregelen te nemen die de ontwikkeling van AI-geletterdheid ondersteunen. Zij houden rekening met kennis, ervaring, opleiding, gebruikscontext en betrokken personen. De wet verplicht geen specifiek individueel niveau, standaardcursus of certificaat. Training kan een passende maatregel zijn, maar is niet de enige mogelijke maatregel. Het oorspronkelijke voorstel wilde de plicht vervangen door aanmoediging; dat haalde de eindtekst niet.

De definitieve verordening behoudt de registratie in de EU-databank voor systemen die via artikel 6 lid 3 niet als hoog-risico worden aangemerkt (artikel 49 lid 2), maar vereenvoudigt welke gegevens moeten worden geregistreerd (bijlage VIII, afdeling B). Aanbieders moeten hun beoordeling vooraf documenteren en nationale bevoegde autoriteiten kunnen die beoordeling opvragen. Classificatiebewijs blijft dus belangrijk. Het voorstel om deze registratie te schrappen haalde de eindtekst niet.

De Omnibus voegt aan artikel 5 twee verboden toe: AI-systemen die zonder uitdrukkelijke toestemming realistische intieme beelden of seksuele beelden van een identificeerbare persoon genereren of manipuleren, en AI-systemen die materiaal van seksueel misbruik van kinderen genereren (artikel 5 lid 1, onder b bis en b ter). Ze gelden vanaf 2 december 2026 (artikel 113, onder a). Voor een systeem dat zulk materiaal niet als doel heeft maar het wel voorzienbaar kan maken, telt of er redelijke en adequate technische waarborgen zijn (artikel 5 lid 1 bis). Op diezelfde datum eindigt de uitloop voor de machineleesbare markering van bestaande systemen (artikel 111 lid 4). Voor AI-systemen op een GPAI-model van dezelfde aanbieder en voor AI in zeer grote onlineplatforms is het AI-bureau exclusief toezichthouder (artikel 75 lid 1).

Kmo’s, met inbegrip van start-ups, mogen sinds de Omnibus op vereenvoudigde wijze voldoen aan delen van het kwaliteitsbeheer (artikel 63); eerder gold dat alleen voor micro-ondernemingen. Ook kleine midcapondernemingen mogen de technische documentatie vereenvoudigd aanleveren (artikel 11 lid 1) en krijgen voorrang in de AI-testomgeving van het AI-bureau op Unieniveau (artikel 57 lid 3 bis). Bij boetes geldt voor kmo’s het laagste van bedrag of percentage (artikel 99 lid 6); voor kleine midcaps alleen bij de boetes van de leden 4 en 5, niet bij een verboden praktijk (artikel 99 lid 6 bis). Dat verlaagt de last, maar de kernvragen blijven: welk systeem, welke rol en welk bewijs?

In januari 2026 publiceerden EDPB en EDPS hun Joint Opinion over het toenmalige voorstel. Hun kernlijn was dat vereenvoudiging niet mocht leiden tot een lager beschermingsniveau voor fundamentele rechten. De definitieve verordening behield registratie onder artikel 49 lid 2, zij het vereenvoudigd, en nam waarborgen op voor verwerking van bijzondere persoonsgegevens bij biasdetectie. Artikel 4 bleef een directe plicht voor aanbieders en gebruiksverantwoordelijken, met een aangepaste formulering.