AI Act uitgesteld naar december 2027: wat het omnibus-akkoord betekent voor je voorbereiding

Op 7 mei 2026 bereikten de Europese Raad, het Europees Parlement en de Commissie een politiek akkoord over het Digital Omnibus-pakket. Een van de zwaarwegendste gevolgen: de high-risk verplichtingen uit de AI Act verschuiven van 2 augustus 2026 naar 2 december 2027. Voor AI-systemen die zijn geïntegreerd in gereguleerde producten zoals liften, medische apparatuur of speelgoed wordt de deadline zelfs 2 augustus 2028. In februari schreef ik dat MKB'ers moesten plannen op augustus 2026 en uitstel als bonus moesten zien. Die bonus is nu gerealiseerd, maar de waarschuwing daarbij geldt nog steeds: uitstel is geen afstel.

Het akkoord moet nog formeel worden aangenomen door de Raad en het Parlement, maar de politieke richting is helder. Voor het MKB betekent dit zestien maanden extra ademruimte. De vraag is wat je met die ademruimte doet.

Wat is er precies veranderd?

Het Digital Omnibus-pakket verschuift drie groepen verplichtingen:

• High-risk AI-systemen onder Annex III: van 2 augustus 2026 naar 2 december 2027. Dit raakt sectoren als werving (CV-screening), kredietverstrekking, onderwijs (examens), grenscontrole, biometrie en kritieke infrastructuur.

• AI geïntegreerd in gereguleerde producten: van 2 augustus 2027 naar 2 augustus 2028. Denk aan AI in medische apparatuur, liften, speelgoed of voertuigen.

• Bepaalde transparantieverplichtingen: sommige labelingverplichtingen schuiven mee, andere blijven op de oorspronkelijke datum staan.

  
  

De Europese Commissie motiveert het uitstel met de constatering dat de bijbehorende geharmoniseerde normen nog niet beschikbaar zijn. Zonder die normen kunnen organisaties geen conformity assessment uitvoeren en kan er ook geen CE-markering worden afgegeven. Het uitstel is dus geen versoepeling, maar een correctie op een onhaalbare implementatieplanning.

Wat blijft gewoon staan?

Belangrijk: niet alle verplichtingen verschuiven. Wat al actief is, blijft actief.

• Verboden AI-praktijken (sinds 2 februari 2025): social scoring, manipulatieve technieken en bepaalde biometrische identificatie blijven verboden. Geen uitstel.

• AI-geletterdheid (sinds 2 februari 2025): de verplichting om personeel adequate AI-kennis te geven blijft van kracht. Dit wordt steeds vaker getoetst bij geschillen.

• GPAI-regels (sinds 2 augustus 2025): aanbieders van general-purpose AI models houden hun documentatie- en transparantieverplichtingen.

• De algemene boetestructuur: €35 miljoen of 7% van de wereldwijde jaaromzet voor de zwaarste overtredingen blijft ongewijzigd.

De juridische valkuil: uitstel is geen afstel

Drie waarschuwingen voor wie de ademruimte wil gebruiken om de voorbereiding op de lange baan te schuiven.

Eerst: deployer-aansprakelijkheid begint niet pas in december 2027. Als je een high-risk AI-systeem inzet, ben je als deployer medeverantwoordelijk voor de werking en gevolgen ervan. Civielrechtelijke claims onder bestaande wetgeving (AVG, productaansprakelijkheid, onrechtmatige daad) kunnen vandaag al worden ingediend. Het AI Act-kader voegt straks expliciete verplichtingen toe, maar het bestaande rechtskader is geen vacuüm.

Tweede: de Nederlandse toezichthouder wordt eind 2026 operationeel. Tussen de start van de toezichthouder en de high-risk deadline in december 2027 zit een jaar waarin er actief gehandhaafd kan worden op de verplichtingen die wél al van kracht zijn (geletterdheid, verboden praktijken, GPAI).

Derde: bewijslast moet opgebouwd zijn voor je het nodig hebt. Een conformity assessment, technische documentatie en risicobeheerssysteem bouw je niet op in drie weken. Bedrijven die in december 2027 willen aantonen dat ze compliant zijn, moeten in de eerste helft van 2027 al een fors stuk werk verzet hebben. Zestien maanden lijkt veel, maar het is precies genoeg voor een organisatie die nu begint.

Drie scenario's voor wat je nu doet

Scenario 1: je hebt geen high-risk AI in gebruik.
Focus op de drie verplichtingen die al actief zijn. AI-geletterdheid is de meest onderschatte: zorg dat je personeel weet hoe de AI-tools werken die ze dagelijks gebruiken. Documenteer dit als beleid. Dat is verplicht en het wordt naar verwachting een eerste handhavingsprioriteit.

Scenario 2: je gebruikt mogelijk high-risk AI maar weet het niet zeker.
Begin met een AI-inventarisatie en risicoclassificatie. Welke tools heb je, in welke categorie vallen ze, wie is aanbieder en wie is deployer? Deze stap is licht in werk maar zwaar in waarde. Veel organisaties ontdekken pas tijdens een classificatie dat ze met meer high-risk toepassingen werken dan ze dachten.

Scenario 3: je weet dat je high-risk AI inzet.
Gebruik de zestien maanden om parallel te bouwen aan vier zaken: risicobeheerssysteem, technische documentatie, data governance-beleid en menselijk toezicht. Wachten tot Q3 2027 is geen optie. De ervaring met andere verordeningen (AVG, NIS2) leert dat de laatste zes maanden voor een deadline altijd te krap zijn.

Wat dit betekent voor je leveranciers

De ademruimte is goed nieuws, maar het verandert weinig aan wat je nu al moet doen richting je leveranciers. Vraag bij elke AI-tool die je inzet:

1. In welke risicocategorie classificeert de leverancier zijn product?

2. Wie is de aanbieder en wie is de deployer in deze relatie?

3. Is er een conformity-pad gepland en zo ja, op welke termijn?

4. Welke documentatie krijg jij als deployer geleverd om aan je eigen verplichtingen te voldoen?

   
   

Het uitstel verandert de deadlines, niet de architectuur van de verplichtingen. Wie nu de juiste vragen stelt aan leveranciers, staat in 2027 niet voor verrassingen. Wie wacht, betaalt later in adviseurkosten en risico.

Klarifai helpt MKB'ers met AI-inventarisatie, risicoclassificatie en het opzetten van praktische compliance-trajecten richting december 2027.

Bronnen: Travers Smith: EU agrees to delay key AI Act compliance deadlines (mei 2026) | Europese Commissie, AI regulatory framework | ISMS.online: AI Act deadline delayed (mei 2026)