Op 29 juni 2026 werd het„Digital Omnibus“-pakketgoedgekeurd, wat leidde tot gerichte wijzigingen in de EU-AI-wet. Het belangrijkste is dat het Omnibus-pakket de nalevingstermijn voor bepaalde AI-systemen met een hoog risico heeft uitgesteld tot december 2027 (de categorie die van toepassing is op juridische, HR- en soortgelijke tools), de verplichting inzake AI-geletterdheid heeft versoepeld en een overgangsperiode tot december 2026 heeft ingevoerd voor het aanbrengen van watermerken op door AI gegenereerde inhoud. 

De uitbreiding met betrekking tot AI met een hoog risico is weliswaar een welkome ontwikkeling, maar vormt slechts een deel van het totaalbeeld. Er gelden al diverse verplichtingen, waaronder transparantievereisten voor door AI gegenereerde inhoud die in augustus van dit jaar van kracht zijn geworden. Organisaties die momenteel gebruikmaken van AI, zouden de extra tijd moeten benutten om de basis voor governance op te bouwen of te versterken die vereist zal zijn wanneer de AI-wet volledig van kracht wordt.  

Wat is momenteel van kracht en wat staat er op het programma? 

De AI-wet wordt sinds de inwerkingtreding op 1 augustus 2024 stapsgewijs ingevoerd. Het tijdschema na de goedkeuring van de Digital Omnibus ziet er als volgt uit: 

De weg naar december 2027 

De verlenging met 16 maanden voor verplichtingen op het gebied van hoogrisico-AI is een echte opluchting. De onderliggende verplichtingen zijn echter niet veranderd en de tijd kan het best worden gebruikt om de bestuurlijke basis te leggen die in december 2027 nodig zal zijn.  

• Breng alle AI-tools die in gebruik zijn in kaart. Nietalleen de tools die de IT-afdeling officieel heeft aangeschaft, maar alle tools die medewerkers gebruiken, inclusief tools die informeel buiten het standaard aankoopproces om zijn ingevoerd. De verplichtingen van de AI-wet gelden voor alle actief gebruikte tools, niet alleen voor de goedgekeurde. 
• Classificeer elk hulpmiddel aan de hand van de risicocategorieën van de AI-wet. Voorhulpmiddelen die betrekking hebben op juridische interpretatie, documentanalyse of andere zaken die van invloed zijn op het advies aan cliënten, verdient de classificatiekwestie bijzondere aandacht. De categorie „rechtsbedeling” in bijlage III is ruimer dan op het eerste gezicht lijkt, en de risicocategorie waarin een hulpmiddel valt, bepaalt het volledige pakket aan verplichtingen dat vanaf december 2027 van toepassing zal zijn.  
• Zorg voor een infrastructuur voor audittrajecten. DeAI-wet schrijft voor dat het gebruik van risicovolle systemen automatisch moet worden geregistreerd: invoer, uitvoer, gebruikersacties en tijdstempels, die ten minste zes maanden moeten worden bewaard. Veel algemene AI-tools bieden dit soort logbestanden standaard niet. Het opzetten van die infrastructuur kost tijd en mag niet worden uitgesteld tot 2027. 

Er is ook een minder voor de hand liggend voordeel. De geldende auditvereisten vormen in feite een stimulans voor het soort inzicht in het gebruik van AI dat bij de meeste organisaties momenteel ontbreekt. Deze infrastructuur kan organisaties helpen te begrijpen hoe AI wordt gebruikt, door wie en met welk doel, op een manier die zowel het beheer als de transparantie naar klanten toe ondersteunt. 

• Zorg ervoor dat menselijk toezicht zinvol is. Effectieftoezicht in het kader van de AI-wet vereist meer dan alleen een mens die de output van AI controleert. Het vereist dat beoordelaars de beperkingen van het systeem begrijpen, de output ervan kunnen interpreteren, deze zonder problemen kunnen negeren en, cruciaal, dat het ontwerp van de workflow automatiseringsvooroordelen actief tegengaat. In de praktijk betekent dit dat het niet gemakkelijker mag zijn om AI-uitkomsten te accepteren dan om ze in twijfel te trekken. Dat is een ontwerpvereiste en het is de moeite waard om na te gaan of de huidige tools dit ondersteunen. 
• Ontwikkel een programma voor AI-geletterdheid. Deverplichting om AI-geletterdheid te bevorderen bij medewerkers die met AI-tools werken, is al van kracht. In de praktijk betekent dit dat ervoor moet worden gezorgd dat medewerkers begrijpen wat de AI-tools die zij gebruiken daadwerkelijk doen, in welke gevallen er op de resultaten kan worden vertrouwd en wanneer menselijk oordeel nodig is. Een gedocumenteerd programma dat de gebruikte tools, de betrokken functies en de specifieke risico’s in een juridische context omvat, voldoet aan de wettelijke vereisten en vormt de basis voor een bedrijfsbreed AI-beleid. 
• Stel een raamwerk op voor de beoordeling van AI-tools. Naarmatehet AI-technologielandschap zich uitbreidt, krijgen organisaties te maken met een gestage stroom van nieuwe tools en leveranciers. Een gedetailleerd beoordelingsraamwerk dat betrekking heeft op classificatie, gegevensopslaglocatie, toezichtsmogelijkheden en naleving door leveranciers, en dat wordt toegepast op het moment van aankoop, zorgt ervoor dat naleving vanaf het begin is ingebouwd. 

Voor organisaties buiten de EU is het toepassingsgebied van de AI-wet ruimer dan het op het eerste gezicht lijkt. De wet is van toepassing zodra de output van een AI-systeem binnen de EU wordt gebruikt. Dit betekent dat organisaties buiten de EU met klanten in de EU of met tools die op de EU zijn gericht, mogelijk onder het toepassingsgebied vallen. Organisaties die zich in die situatie bevinden, doen er goed aan advies in te winnen over de vraag of en hoe de AI-wet op hen van toepassing is.