De handhaving loopt, het Nederlandse toezicht nog niet. Wat dat voor u betekent.

Deze analyse verscheen eerder als wekelijkse Praxikon-nieuwsbrief.

<h2>September begint met een toezichtgat</h2> <p>Sinds 2 augustus handhaaft de Commissie de GPAI-regels en geldt artikel 50. Maar wie deze zomer zocht naar zijn Nederlandse AI-toezichthouder, vond vooral een bouwplaats. De Uitvoeringswet AI-verordening, die tien bestaande toezichthouders aanwijst met de AP en de RDI als coördinatoren, is na de consultatie (gesloten 1 juni, dertig reacties) nog altijd niet bij de Tweede Kamer ingediend. En de verplichte nationale regulatory sandbox, die per 2 augustus 2026 operationeel had moeten zijn, is door de Digital Omnibus een vol jaar opgeschoven: artikel 57 schrijft nu 2 augustus 2027 voor.</p> <h2>Wat betekent dit voor uw organisatie?</h2> <p>Verwar het gat niet met uitstel van uw eigen plichten. Drie dingen staan los van het Nederlandse tempo. De Commissie handhaaft de GPAI-verplichtingen zelf, rechtstreeks vanuit Brussel, met boetes tot 3% van de omzet. De verboden praktijken en artikel 50 gelden gewoon, ook zonder aangewezen nationale toezichthouder: het recht is er, alleen het loket nog niet overal. En bestaande toezichthouders zoals de AP kunnen binnen hun huidige mandaat, bijvoorbeeld via de AVG, nu al optreden tegen AI-toepassingen die ook persoonsgegevens raken.</p> <p>Het gat heeft wel een praktisch gevolg: er is voorlopig niemand om het u officieel na te laten kijken. Geen sandbox om uw aanpak in te toetsen, geen loket dat uw vragen beantwoordt. Wat u de komende maanden doet, moet u dus zelf kunnen onderbouwen, met uw eigen dossier. Als het toezicht straks wel op stoom komt, kijkt het terug naar wat u nu heeft vastgelegd.</p> <h2>Genuanceerder dan het lijkt: de sandbox schuift, uw bewijs niet</h2> <p>Het jaar uitstel voor de sandbox is geen jaar uitstel voor u. De sandbox is een voorziening voor aanbieders die iets willen toetsen, geen voorwaarde om te mogen voldoen. Deelnemers krijgen er straks iets waardevols: wie het sandboxplan te goeder trouw volgt, krijgt volgens artikel 57 geen boete voor overtredingen van de verordening in die periode, en het exit-rapport telt mee richting conformiteitsbeoordeling. Dat maakt de sandbox interessant voor wie richting 2 december 2027 een hoog-risicosysteem bouwt. Maar tot die tijd is uw eigen registratie het enige dat telt.</p> <h2>Actie voor deze week</h2> <p>September is de maand waarin plannen voor volgend jaar worden gemaakt. Leg deze week één ding vast: welke van uw AI-toepassingen vallen onder de regels die nu al gelden (artikel 50-transparantie, de verboden praktijken, de artikel 4-maatregelenplicht) en welk bewijs heeft u per toepassing. Eén A4 per toepassing volstaat: wat het systeem doet, welke regel geldt, wat u heeft geregeld, wie het heeft gecontroleerd. Dat A4 is precies wat een toezichthouder straks als eerste opvraagt.</p> <p>Welke regels wanneer zijn gaan gelden en wat er sinds de Digital Omnibus is verschoven, houdt Praxikon bij in de <a href="https://www.praxikon.com/nl/wijzigingen">wijzigingstijdlijn van de AI Act</a>, met per wijziging de officiële bron.</p> <p>Tot volgende week dinsdag.<br/>Zahed Ashkara<br/>Praxikon</p>