Digital Omnibus AI Act: historische analyse van het voorstel

Op 19 november 2025 publiceerde de Europese Commissie het Digital Omnibus on AI-voorstel. Het moest de AI Act vereenvoudigen en de uitvoering proportioneler maken. Dit artikel legt het voorstel, het politieke debat en de reacties uit die bij die fase hoorden. Verwijzingen hieronder naar voorgestelde wijzigingen zijn historisch, tenzij de definitieve uitkomst erbij staat.

De politieke achtergrond: waarom nu al?

De inkt van de AI Act was amper droog toen de eerste barsten zichtbaar werden. Niet in de wet zelf, maar in het politieke landschap eromheen.

In september 2024 presenteerde Mario Draghi zijn inmiddels beroemde rapport over Europees concurrentievermogen. De boodschap was genadeloos: de EU valt steeds verder achter bij de VS en China, met name in geavanceerde technologieën. Regelgeving werd door meer dan 60% van Europese bedrijven als obstakel voor investering ervaren, en 55% van het MKB noemde regeldruk hun grootste uitdaging. Het Draghi-rapport werd het intellectuele fundament voor een bredere dereguleringsagenda.

Tegelijkertijd lanceerden grote techbedrijven — Meta, Amazon, Apple en anderen — een agressieve lobbycampagne. Hun boodschap: de AI Act "bedreigt innovatie" en is "te duur" om na te leven. De Trump-administratie voegde er externe druk aan toe via het Amerikaanse AI Action Plan, dat expliciet opriep tot het verwijderen van "red tape" en de EU onder druk zette om digitale regels te versoepelen.

Intern liep het ook niet soepel. De aanwijzing van nationale toezichthouders verliep traag, de ontwikkeling van geharmoniseerde standaarden door CEN-CENELEC bleef achter, en bedrijven klaagden dat ze moesten voldoen aan regels waarvoor de praktische handvatten nog ontbraken. Dat laatste punt — het ontbreken van standaarden — was een legitiem probleem. Maar de Commissie greep het aan als hefboom voor iets veel breder dan alleen een deadlineverlenging.

Wat het oorspronkelijke voorstel bevatte

Op 19 november 2025 presenteerde de Commissie haar Digital Omnibus-pakket als onderdeel van een breder Digital Package, samen met de Data Union Strategy en European Business Wallets. Het pakket bestaat uit twee wetsvoorstellen: een algemene Digital Omnibus (die onder andere de AVG, ePrivacy-richtlijn en NIS2 wijzigt) en een specifieke Digital Omnibus on AI die de AI Act amendeert.

Het ambitieniveau is fors: de Commissie wil de administratieve lasten voor bedrijven met minstens 25% verlagen, en voor het MKB zelfs met 35%, tegen het eind van 2029. De verwachte besparing: minimaal zes miljard euro.

Maar de duivel zit, zoals altijd, in de details. Hieronder de belangrijkste wijzigingen op een rij:

1. Oorspronkelijk voorstel voor AI-geletterdheid (Artikel 4)

De oorspronkelijke AI Act verplichtte aanbieders en gebruiksverantwoordelijken van AI-systemen ervoor te zorgen dat hun personeel voldoende AI-geletterd was. Het Commissievoorstel zou die rechtstreekse plicht schrappen en de verantwoordelijkheid verschuiven naar de Commissie en lidstaten, die aanbieders en gebruiksverantwoordelijken zouden aanmoedigen maatregelen te nemen.

Definitieve uitkomst: Verordening (EU) 2026/1744 behoudt een rechtstreekse plicht voor aanbieders en gebruiksverantwoordelijken om proportionele maatregelen te nemen die de ontwikkeling van AI-geletterdheid ondersteunen. Zij hoeven niet te garanderen dat iedere persoon een vast niveau behaalt.

2. Oorspronkelijk voorstel voor registratie (Artikel 49)

Onder de oorspronkelijke AI Act moesten aanbieders van AI-systemen die onder Bijlage III vielen zich registreren in de EU-database, ook als zij via artikel 6(3) concludeerden dat hun systeem niet hoog-risico was. Het Commissievoorstel zou artikel 49(2) schrappen.

Definitieve uitkomst: Verordening (EU) 2026/1744 behoudt deze registratieroute en vereenvoudigt de informatie die aanbieders moeten indienen.

3. Beperkt uitstel voor markering van bestaande generatieve AI (Artikel 50(2))

AI-systemen die synthetische audio, afbeeldingen, video of tekst genereren, moeten hun output machineleesbaar markeren met watermerken of metadata. De transparantieverplichtingen van Artikel 50 zelf gaan gewoon in sinds 2 augustus 2026 en worden niet uitgesteld. Alleen voor generatieve AI-systemen die vóór 2 augustus 2026 op de markt waren geldt een beperkte overgangstermijn voor de markering: in het politieke akkoord van mei 2026 is die vastgesteld op 2 december 2026.

4. Verwerking bijzondere persoonsgegevens uitgebreid (nieuw Artikel 4a)

De huidige AI Act staat het gebruik van bijzondere persoonsgegevens (zoals etniciteit of gezondheidsdata) toe voor bias-detectie in hoog-risico AI-systemen, mits "strikt noodzakelijk." Het Omnibus-voorstel breidt dit uit naar alle AI-systemen en verlaagt de drempel van "strikt noodzakelijk" naar "noodzakelijk."

5. Uitgestelde deadlines voor hoog-risico AI (Artikel 113)

Dit is misschien de meest ingrijpende wijziging. De verplichtingen voor hoog-risico AI-systemen worden gekoppeld aan de beschikbaarheid van geharmoniseerde standaarden en andere compliance-instrumenten:

6. Conformiteitsbeoordeling: sectorwetgeving gaat voor (Artikel 43)

Bij producten die zowel onder sectorale wetgeving (zoals medische hulpmiddelen) als onder de AI Act vallen, moet de aanbieder voortaan de conformiteitsbeoordelingsprocedure van de sectorale wetgeving volgen. De AI Act-eisen worden daarin geïntegreerd, in plaats van twee parallelle beoordelingen.

7. Centralisering toezicht bij het AI Office

Het toezicht op AI-systemen gebaseerd op general-purpose AI-modellen (waar dezelfde aanbieder zowel model als systeem ontwikkelt) en systemen geïntegreerd in zeer grote online platforms (VLOPs/VLOSEs) wordt gecentraliseerd bij het AI Office van de Commissie.

8. Uitbreiding regelingen voor MKB en small mid-caps

Vereenvoudigde compliance-procedures die eerder alleen voor micro-ondernemingen golden, worden uitgebreid naar alle MKB-bedrijven en small mid-cap ondernemingen (SMC's). Dit omvat onder andere vereenvoudigde technische documentatie en proportionele sancties.

De reacties: drie kampen

Het EDPB en EDPS: "steun, mits..."

Op 20 januari 2026 publiceerden het European Data Protection Board (EDPB) en de European Data Protection Supervisor (EDPS) hun Joint Opinion 1/2026. De toon is diplomatiek maar stevig. Ze steunen het doel van vereenvoudiging, maar plaatsen bij vrijwel elke concrete maatregel kanttekeningen:

AI-geletterdheid: De toezichthouders zijn "sterk tegen" het omzetten van de verplichte AI-geletterdheid in een zachte aanmoediging. AI-geletterdheid is cruciaal voor het begrijpen van AI-concepten, ethisch en maatschappelijk bewustzijn, en de bescherming van grondrechten. Nieuwe verplichtingen voor de Commissie moeten bestaande verplichtingen aanvullen, niet vervangen.

Registratie: Het EDPB en EDPS adviseren tegen het schrappen van de registratieplicht. De wijziging zou de verantwoordingsplicht van aanbieders "significant ondermijnen" en een onwenselijke prikkel creëren om de hoog-risico-classificatie te ontlopen. De verwachte besparingen zijn marginaal en rechtvaardigen het verlies aan transparantie niet.

Bijzondere persoonsgegevens: Ze erkennen het belang van bias-detectie, maar dringen aan op herstel van de "strikt noodzakelijk"-drempel en duidelijke afbakening tot situaties waarin het risico op nadelige effecten "voldoende ernstig" is.

Deadlines: "Oprechte zorgen" over het uitstel, gezien de snelle ontwikkelingen in het AI-landschap. De co-wetgevers worden opgeroepen om voor bepaalde verplichtingen — met name transparantie-eisen — de oorspronkelijke tijdlijn te handhaven.

Maatschappelijk middenveld: "historische terugval"

133 maatschappelijke organisaties en vakbonden ondertekenden nog vóór publicatie een gezamenlijke verklaring die de Commissie opriep het Omnibus-voorstel te stoppen. EDRi (European Digital Rights) noemde het voorstel "een fundamentele terugval van EU digitale bescherming." De Civil Liberties Union for Europe was nog directer: het Omnibus "geeft Big Tech precies wat het wilde" en ondermijnt de positie van de EU als wereldleider in technologieregulering.

Corporate Europe Observatory documenteerde hoe specifieke wijzigingen terug te voeren waren op lobbypunten van grote techbedrijven. Een bijzonder punt van kritiek: de Commissie heeft bij het opstellen van het voorstel géén impactanalyse uitgevoerd, terwijl ze beweerde dat de wijzigingen "geen impact op grondrechten" zouden hebben — precies terwijl grondrechtenbeschermingen werden afgezwakt.

Het Nederlandse kabinet: kritisch maar genuanceerd

Op 12 december 2025 publiceerde het kabinet zijn BNC-fiche over de Omnibus AI en Omnibus Digitaal. De toon: welwillend over het doel, kritisch over de uitwerking.

Nederland erkent dat minder regeldruk voordelen kan bieden, met name voor het MKB. Maar het kabinet stelt dat meerdere wijzigingen het niveau van gegevensbescherming "wezenlijk verminderen." Specifiek uit Den Haag zorgen over:

• Persoonsgegevens voor AI-training: het verruimde gebruik van (gevoelige) persoonsgegevens botst volgens het kabinet met grondrechten en gaat verder dan nodig voor lastenverlichting
• AVG-aanpassingen: versoepeling van de verwerkingsgrondslag "gerechtvaardigd belang" en de datalekmelding verzwakken de burgerbescherming
• Centralisering cybermeldpunt: Nederland vreest dat nationale meldsystemen worden gepasseerd en gevoelige informatie over vitale infrastructuur op Europees niveau terechtkomt
• Ontbrekende impactanalyse: onduidelijk wat de voorstellen concreet opleveren en wat de gevolgen zijn

Het kabinet wil "eerst meer duidelijkheid van de Commissie" voordat het een definitief oordeel velt.

Waar het wetgevingsproces eindigde

Het voorstel heeft het wetgevingsproces in juli 2026 afgerond. Verordening (EU) 2026/1744 is op 24 juli 2026 in het Publicatieblad verschenen en op 27 juli 2026 in werking getreden. Het is bindende wet en geen lopend voorstel. De definitieve tekst wijkt bij artikel 4 en artikel 49 wezenlijk af van het oorspronkelijke voorstel. Gebruik daarom de actuele Digital Omnibus-gids voor implementatiebeslissingen.

Wat betekent dit voor organisaties?

De onzekerheid is voorbij. Organisaties moeten plannen op Verordening (EU) 2026/1744: ga door met artikel 4-maatregelen en bewijs, houd de toepasselijke artikel 49-registratie bij en werk naar de vaste hoog-risicodata toe.

🎯 Praktisch advies: plan op de huidige wet

Compliance-officers: pas de gewijzigde AI Act toe. De regels rond verboden AI-praktijken en GPAI-modellen blijven gelden, artikel 4 vereist nog steeds maatregelen en de hoog-risicodata staan nu vast. De extra implementatietijd is een reden om het werk pragmatisch te faseren, niet om het te pauzeren.

• ✅ AI-geletterdheid: blijf investeren, ongeacht het Omnibus. De EDPB/EDPS steunen handhaving. Bovendien is het goed risicomanagement.
• ✅ Registratie: registreer uw systemen proactief. Mocht de plicht verdwijnen, heeft u niets verloren. Verdwijnt ze niet, bent u voorbereid.
• ✅ Hoog-risico compliance: start met gap-analyses en risicobeoordelingen nú. Zelfs met 16 maanden uitstel is de implementatietijd krap.
• ✅ Documentatie: de documentatieplicht voor self-assessed niet-hoog-risico-systemen blijft in alle scenario's bestaan.

Historische analyse: vereenvoudiging of verzwakking?

Laten we eerlijk zijn: de AI Act hád implementatieproblemen. Standaarden die ontbreken, nationale toezichthouders die niet zijn aangewezen, richtlijnen die op zich laten wachten — dat zijn reële obstakels. Het koppelen van deadlines aan de beschikbaarheid van standaarden is op zichzelf een verdedigbare keuze.

Maar het voorstel gaat verder dan pragmatische bijsturing. Het schrappen van de AI-geletterdheidsverplichting is geen vereenvoudiging — het is een fundamentele beleidswijziging. De registratieplicht verwijderen voor systemen die potentieel hoog-risico zijn, ondermijnt de transparantie waar de hele AI Act op is gebouwd. En het verlagen van de drempel voor verwerking van bijzondere persoonsgegevens van "strikt noodzakelijk" naar "noodzakelijk" is een subtiel maar betekenisvol verschil dat de deur openzet voor ruimer gebruik.

De kern van het probleem is dat de Commissie twee heel verschillende doelen door elkaar haalt: implementatie-ondersteuning (meer tijd, betere standaarden, praktische richtlijnen) en regelverlichting (minder verplichtingen, lagere drempels, minder transparantie). Het eerste is legitiem en welkom. Het tweede is een politieke keuze die als technische vereenvoudiging wordt verpakt.

Morrison & Foerster vat het treffend samen: "Als zelfs de Commissie en standaardisatie-organisaties hun eigen verduidelijkingsdoelen en deadlines niet halen, hoe kunnen bedrijven dan verwacht worden om te voldoen aan vaak complexe en onduidelijke vereisten?" Dat is een fair punt. Maar de oplossing is betere ondersteuning, niet minder bescherming.

Gleiss Lutz benadrukt: "De voorgestelde wijzigingen moeten niet worden gezien als deregulering, maar als concessies op praktisch niveau." Dat is de optimistische lezing. De pessimistische lezing — en die van 133 maatschappelijke organisaties — is dat dit het begin is van een systematische afbraak van het Europese digitale-rechtenraamwerk.

De definitieve verordening kwam tussen de oorspronkelijke posities uit. Zij verlengde de hoog-risicotijdlijn en verlaagde een deel van de administratieve last, maar behield een rechtstreekse AI-geletterdheidsplicht en een vereenvoudigde registratieroute.

Conclusie: waakzaamheid is geboden

Het historische debat laat zien waarom een voorstelanalyse altijd van de bindende tekst moet worden gescheiden. Voor organisaties is de boodschap nu helder: voer de gewijzigde AI Act uit. De verboden en GPAI-regels gelden, artikel 4 blijft een rechtstreekse maatregelenplicht en de hoog-risicodata staan vast. Gebruik de extra tijd om bewijs en beheersmaatregelen goed op te bouwen.

Zoals EDPB-voorzitter Anu Talus het verwoordde: "Innovatie en efficiëntie zijn cruciaal en kunnen samengaan met het handhaven van verantwoordingsplicht voor AI-aanbieders." Dat is geen onmogelijke combinatie. Het is precies waar de AI Act voor bedoeld was.

Wilt u uw organisatie voorbereiden op de AI Act, ongeacht wat het Omnibus brengt? Embed AI helpt organisaties met praktische AI Act-readiness, van gap-analyse tot implementatie.