Europees Parlement stemt voor AI Act Omnibus: uitstel hoog-risico en verbod op nudifier-apps

Op 26 maart 2026 stemde het voltallige Europees Parlement over de AI Act Omnibus, het vereenvoudigingspakket dat de Europese Commissie in november 2025 had voorgesteld als onderdeel van haar zevende omnibuspakket. De uitslag was overtuigend: 569 parlementariers stemden voor, 45 tegen en 23 onthielden zich. Na een positieve commissiestemming van 19 maart 2026 bevestigt het Parlement hiermee zijn positie. Wat volgde was een debat over vier thema's die voor organisaties die werken met AI van direct belang zijn.

Twee aparte uitsteltermijnen voor hoog-risico AI

Het meest besproken onderdeel van de Omnibus is de verschuiving van deadlines voor hoog-risico AI-systemen. De tekst maakt hierbij een onderscheid dat niet altijd duidelijk naar voren is gekomen in de publieke berichtgeving.

Enerzijds zijn er de systemen die worden opgesomd in Bijlage III van de AI Act, de groep die de meeste organisaties voor ogen hebben als ze denken aan hoog-risico AI. Daarin zitten biometrische systemen, toepassingen voor kritieke infrastructuur, AI in onderwijs en arbeidsmarkt, systemen voor essentiële diensten, rechtshandhaving, rechtsbedeling en grensbeheer. Voor al deze systemen verschuift de datum van toepasselijkheid van de hoog-risicoverplichtingen van 2 augustus 2026 naar 2 december 2027.

Anderzijds zijn er de AI-systemen die al worden gereguleerd door bestaande EU-sectorale veiligheidswetgeving. Denk aan medische hulpmiddelen, radioapparatuur en veiligheid van speelgoed. Die categorie krijgt nog meer tijd: tot 2 augustus 2028. De redenering is dat producten die al uitvoerig worden getoetst onder sectorspecifieke regimes geen dubbele last hoeven te dragen. De Omnibus bepaalt bovendien dat de AI Act-verplichtingen voor die producten minder streng mogen zijn dan voor systemen zonder sectorale regulering.

Het is cruciaal om hierbij te benadrukken dat de reeds geldende verplichtingen ongewijzigd van kracht blijven. De AI-geletterdheidsplicht van Artikel 4 geldt al vanaf 2 februari 2025. De verbodsbepalingen van Artikel 5 zijn eveneens al actief. De Omnibus stelt die data niet opnieuw ter discussie.

Nudifier-apps: een nieuw expliciet verbod

Het meest opvallende nieuwe element van de Omnibus is de expliciete toevoeging van zogenoemde nudifier-applicaties aan de lijst van verboden AI-toepassingen. Het gaat om systemen die via AI seksueel expliciete of intieme beelden creeren of manipuleren van identificeerbare echte personen, zonder hun toestemming. Dat een dergelijk verbod nu apart wordt opgenomen, is een directe reactie op de groeiende problematiek van niet-consensuele intieme beelden, ook wel bekend als deepfake porn of NCII.

De tekst bevat een gerichte uitzondering: aanbieders waarvan de systemen over effectieve veiligheidsmaatregelen beschikken die het aanmaken van dergelijke beelden actief voorkomen, vallen buiten het verbod. Daarmee is de lat voor die uitzondering bewust hoog gelegd. Een algemene gebruiksrechtenbepaling of moderatiebeleid volstaat niet. De maatregel moet technisch effectief zijn.

Voor de meeste organisaties die AI-tools aanbieden, is dit verbod geen operationele verrassing. Platforms die generatieve beeldbewerking aanbieden, zullen hun architectuur en moderatiebeleid tegen dit criterium moeten afzetten. Dat is echter een andere exercitie dan de bredere hoog-risicovereisten die elders in de AI Act worden gesteld.

Watermarking: Parlement wilde eerder dan de Commissie

De Europese Commissie had in haar oorspronkelijke Omnibus-voorstel voorgesteld om aanbieders van AI-tools die content genereren tot 2 februari 2027 de tijd te geven voor de watermarking- en labelingsverplichtingen van Artikel 50. Het Parlement kiest een striktere termijn: 2 november 2026, ruim drie maanden eerder.

Voor organisaties die AI-gegenereerde tekst, audio, beeld of video publiek verspreiden, was dit een punt om in de planning op te nemen. Het latere politieke akkoord kiest een middenpositie en noemt 2 december 2026. Artikel 50 blijft dus dichtbij: transparante markering van synthetische content moet technisch en procesmatig worden voorbereid.

Biascorrectie en persoonsgegevens

De Omnibus introduceert een nieuwe expliciete grondslag voor aanbieders van AI-systemen: zij mogen persoonsgegevens, waaronder bijzondere categorieen, verwerken om discriminerende vooringenomenheid in hun systemen te detecteren en te corrigeren. Tot dusver was dit juridisch een grijs gebied, zeker bij gevoelige gegevens zoals ras, gezondheid of religie die nodig kunnen zijn om bias in trainingsdata te identificeren.

De Omnibus stelt hiervoor strenge waarborgen. Maar het principiele groene licht is er. Dat betekent dat bias-audits, die voor hoog-risico AI-systemen sowieso verplicht zijn, nu op een duidelijker juridische grondslag kunnen worden uitgevoerd. Voor teams die AI-governance combineren met gegevensbeschermingstaken is dit een merkbare verbetering van de rechtspositie.

Steun uitgebreid naar kleine midcap-ondernemingen

De AI Act bevat al specifieke ondersteuningsmaatregelen voor kleine en middelgrote ondernemingen, inclusief toegang tot regelgevingssandboxen en verminderde administratieve lasten. De Omnibus breidt die maatregelen uit naar small mid-cap ondernemingen, een categorie die groter is dan het klassieke mkb maar nog steeds als relatief kleinschalig wordt beschouwd. Dat is een praktische erkenning dat niet alleen de allerkleinste spelers moeite hebben met de nalevingslasten van de AI Act.

Wat volgde: akkoord met de Raad

De plenaire stemming van 26 maart markeerde het begin van de laatste onderhandelingsfase. Op 7 mei 2026 bereikten Raad en Europees Parlement een voorlopig politiek akkoord. Het proces eindigde met Verordening (EU) 2026/1744, die op 24 juli 2026 werd gepubliceerd en op 27 juli 2026 in werking trad.

De bindende data zijn nu 2 december 2027 voor de kernverplichtingen rond Bijlage III-systemen en 2 augustus 2028 voor Bijlage I. De overgang tot 2 december 2026 is beperkt tot artikel 50(2)-markering voor bepaalde systemen voor synthetische content die al vóór 2 augustus 2026 op de markt waren.

Voor compliance-teams is de boodschap ongewijzigd ten opzichte van wat eerder dit jaar gold: stop niet met voorbereiden. De classificatievraag, of een systeem hoog-risico is of niet, moet vroeg worden beantwoord. Wie nu investeert in risicobeheer, technische documentatie en interne governance-processen, heeft straks de ruimte om die te testen en aan te scherpen. Wie wacht op de definitieve wet, verliest die ruimte.