De EU AI Act: wat betekent het voor jouw organisatie?

Halverwege 2026 verschoof de deadline voor high-risk AI-systemen met zestien maanden. Veel organisaties concludeerden meteen dat de AI Act opnieuw werd uitgesteld. Dat is maar de helft van het verhaal. De verplichtingen verdwijnen niet, en een aantal ervan geldt vandaag al.

Als je de voorbije maanden AI Act-nieuws hebt gevolgd, ken je het gevoel: net wanneer je een deadline had ingepland, verschuift die weer. Op 29 juni 2026 gaf de Raad van de EU het definitieve groene licht voor een uitstel van de verplichtingen voor high-risk AI-systemen. De vraag die daarna binnenkomt, is steevast dezelfde: betekent dit dat we kunnen wachten?

Het korte antwoord: nee. Het lange antwoord leggen we hieronder uit.

Vier risiconiveaus, één beslissende vraag

De AI Act legt niet voor iedereen dezelfde verplichtingen op. Alles begint met één vraag: in welke risicocategorie valt jouw AI-systeem?

Systemen voor social scoring, manipulatieve technieken of ongerichte gezichtsherkenning zijn verboden. Systemen in HR, kredietbeoordeling, onderwijs, kritieke infrastructuur en andere Annex III-domeinen zijn hoogrisico. Chatbots en generatieve AI die synthetische content maakt, vallen onder transparantieverplichtingen. En systemen zonder betekenisvolle impact op mensen (een interne spamfilter, bijvoorbeeld) vallen buiten de zware verplichtingen.

De deadline is verschoven, maar niet verdwenen

De verplichtingen voor Annex III-systemen schuiven zestien maanden op, tot december 2027. Voor AI die deel uitmaakt van gereguleerde producten geldt een latere deadline, tot augustus 2028. De transparantieplicht voor AI-gegenereerde content (het herkenbaar maken van synthetische content) krijgt vier maanden extra, tot 2 december 2026.

Twee verplichtingen zijn wél al van kracht en blijven dat: het verbod op onaanvaardbare AI-praktijken (sinds februari 2025) en de verplichtingen voor aanbieders van general-purpose AI-modellen (sinds augustus 2025). Ook de AI-geletterdheidsverplichting uit artikel 4 (je personeel moet voldoende kennis hebben van de AI-systemen die het gebruikt) geldt al sinds februari 2025.

Wat betekent dit concreet voor jouw organisatie

Waarom nu beginnen als de deadline is opgeschoven

Het uitstel kwam er grotendeels omdat de Europese standaardisatie-instellingen achterlopen. De technische normen waarop organisaties zich moeten baseren, worden pas eind 2026 verwacht. Dat verklaart waarom de deadlines verschoven zijn, maar het is geen reden om de voorbereiding uit te stellen. Classificatie, risicobeheer, documentatie en testen vragen tijd. Wie daar nu mee begint, heeft straks een stevige basis zodra de definitieve normen beschikbaar zijn.

Hou er bovendien rekening mee dat een politiek akkoord niet hetzelfde is als een wettelijke wijziging. Op het moment van schrijven is het uitstel nog niet formeel gepubliceerd in het Publicatieblad van de Europese Unie. Tot die publicatie blijft de oorspronkelijke wettelijke planning formeel van kracht. Een doordachte compliance-aanpak houdt daarom rekening met zowel de aangekondigde wijzigingen als de geldende wetgeving.

Onafhankelijke validatie helpt daarbij. Een testpartner die AI-systemen valideert in plaats van ontwikkelt, kan de classificatie, testdocumentatie en validatie objectief uitvoeren. Zo toon je niet alleen aan dat je AI-systeem doet wat het moet doen, maar beschik je ook over het bewijs dat een toezichthouder kan opvragen.

Een voorbeeld uit de praktijk: twee systemen, twee uitkomsten

Twee klanten vroegen ons dezelfde week om een classificatie. Beide gebruiken een taalmodel, en toch vallen ze in een volledig andere categorie.

De chatbot heeft geen betekenisvolle impact op een individu: hij beantwoordt vragen over een wachtwoordreset. Het CV-screeningsysteem bepaalt mee wie wordt uitgenodigd voor een gesprek, met rechtstreekse gevolgen voor iemands kans op werk: precies het soort beslissing die Annex III als hoogrisico bestempelt. Zelfde onderliggende technologie, compleet verschillende verplichtingen.

Een praktisch stappenplan om te starten

• Inventariseer eerst, classificeer daarna. Veel organisaties weten niet exact hoeveel AI-systemen ze gebruiken, laat staan waar. Begin met een lijst.
• Classificeer per use case, niet per tool. Dezelfde onderliggende AI kan in het ene gebruik minimaal risico zijn en in het andere hoogrisico.
• Leg de classificatiebeslissing schriftelijk vast, inclusief de motivering. Dat document is zelf al een eerste stuk bewijs richting een toezichthouder.
• Start met een minimaal risicobeheersysteem voor de systemen die twijfelgeval zijn. Achteraf afschalen is eenvoudiger dan achteraf een dossier reconstrueren.