Hoog risico schuift naar december 2027
De Digital Omnibus schuift de hoog-risico-eisen van de AI Act op naar 2 december 2027. Wat verandert, wat doorloopt en wat je nu al moet regelen.
Luis Gravestein, Oprichter · · 5 min
Op 2 augustus 2026 zouden de eisen voor hoog-risico-AI uit bijlage III van de AI Act gaan gelden. Dat is niet gebeurd. Met de Digital Omnibus on AI, Verordening (EU) 2026/1744, heeft de Europese wetgever die termijn verschoven naar 2 december 2027. De verordening is op 24 juli 2026 gepubliceerd en op 27 juli in werking getreden, vlak voor de oude datum.
Voor wie een matchingfunctie, een selectiefilter of een kredietcheck op particulieren in gebruik heeft, is dat ruimte. Het is geen vrijstelling. Hieronder staat wat er is verschoven, wat gewoon doorloopt, en waarom de zestien maanden extra het meeste opleveren voor wie ze nu gebruikt.
Wat er is verschoven
- Hoog-risicosystemen uit bijlage III (artikel 6 lid 2): van 2 augustus 2026 naar 2 december 2027. Daaronder vallen werving en selectie, beslissingen over personeel, de kredietwaardigheid van natuurlijke personen en de rechtspleging.
- Hoog-risicosystemen die als veiligheidscomponent in een product uit bijlage I zitten (artikel 6 lid 1), zoals een machine of een lift: van 2 augustus 2027 naar 2 augustus 2028.
- De nieuwe data staan vast. Ze hangen niet af van het moment waarop de technische normen klaar zijn.
De reden voor het uitstel is praktisch. De geharmoniseerde normen waarop aanbieders hun conformiteit moeten baseren, waren niet op tijd af, en de Commissie werkt nog aan richtsnoeren over wanneer een systeem hoog risico is. Verplichtingen laten ingaan zonder de maatstaf waaraan je ze toetst, had vooral onzekerheid opgeleverd.
Wat gewoon doorloopt
De verboden praktijken uit artikel 5 gelden sinds 2 februari 2025, en die lijst is met de omnibus niet korter maar langer geworden: AI die zonder toestemming intiem beeldmateriaal genereert of manipuleert, en AI die beeldmateriaal van seksueel misbruik van kinderen maakt, zijn erbij gekomen. Emotieherkenning op de werkplek blijft verboden, buiten medische en veiligheidsredenen.
De transparantieplichten uit artikel 50 gelden sinds 2 augustus 2026. Een chatbot moet zich als chatbot presenteren, en wie met AI een deepfake maakt, moet bekendmaken dat het beeld kunstmatig is gemaakt of gemanipuleerd. Alleen voor de machineleesbare markering van gegenereerde content (lid 2) krijgen aanbieders van systemen die al vóór 2 augustus 2026 op de markt waren vier maanden extra, tot 2 december 2026.
Ook AI-geletterdheid blijft staan, al is artikel 4 anders geformuleerd. Aanbieders en gebruiksverantwoordelijken moeten maatregelen nemen die de AI-geletterdheid van hun mensen ondersteunen, in plaats van zo goed mogelijk een toereikend niveau te waarborgen. Dat is lichter, maar het blijft een plicht van de organisatie zelf. Wie medewerkers met een taalmodel laat werken zonder uitleg over wat het doet en waar het misgaat, heeft ook onder de nieuwe tekst weinig om op te wijzen.
Waarom je de tijd beter gebruikt dan uitzit
Het dossier voor een hoog-risicosysteem vul je niet in een middag in. Een aanbieder heeft technische documentatie volgens bijlage IV nodig, een risicobeheersysteem, datagovernance, automatische logging, ingebouwd menselijk toezicht, een conformiteitsbeoordeling en een registratie in de EU-databank. Voor een gebruiksverantwoordelijke is de lijst korter, maar ook die vraagt om ingerichte processen: toezicht door iemand die bekwaam is en er tijd voor heeft, logs die bewaard blijven, en werknemers en hun vertegenwoordigers die vooraf zijn geïnformeerd.
Het grootste deel daarvan is architectuur. Logging en een verplicht beslismoment voor een mens bouw je in de datastroom, niet eromheen. Wie dat eind 2027 nog moet toevoegen aan een systeem dat al jaren draait, verbouwt het. Het uitstel levert dus het meeste op voor wie nu gaat bouwen of inkopen: zet de eisen in het ontwerp en in de offerte, en december 2027 is een datum in plaats van een project.
Er is een tweede reden. Leveranciers gaan hun producten aanpassen zodra de normen en richtsnoeren er zijn. Een ATS-leverancier die zijn matchingfunctie aanpast of anders classificeert, verandert daarmee jouw proces. Wie nu vastlegt welke functies er in gebruik zijn en op welke beslissingen die ingrijpen, kan zulke wijzigingen straks beoordelen in plaats van ze te ondergaan.
Wat we afraden
Het uitstel lezen als groen licht om nu een selectiefilter aan te zetten dat je onder de oude datum had laten liggen. Tot december 2027 gelden de AVG en de gelijkebehandelingswetgeving onverkort, en de vraag of je daarna iets moet ombouwen blijft gewoon liggen. Reken ook niet op de overgangsregeling van artikel 111 voor systemen die al op de markt waren: die ziet op systemen die daarna niet ingrijpend worden gewijzigd, wat als ingrijpende wijziging telt is nog niet uitgewerkt, en een ATS in de cloud krijgt doorlopend updates.
Afgeraden ook: de documentatie parkeren tot de normen klaar zijn. De verplichtingen staan al in de verordening; de normen beschrijven hoe je eraan voldoet, niet óf je eraan moet voldoen. Wie wacht, heeft straks weinig tijd voor veel werk, tegelijk met iedereen die ook heeft gewacht.
Wat je nu kunt doen: pak de inventarisatie erbij die je voor 2 augustus had gemaakt, of maak hem alsnog met de stappen uit Onder welke risicoklasse valt jouw AI?. Noteer per AI-functie in je proces of hij onder bijlage III valt, of je aanbieder of gebruiksverantwoordelijke bent, en welke eisen al werkend in het systeem zitten. Zet achter elk gat wie het oppakt en vóór welke datum, met ruimte voor een leverancier die later levert dan beloofd. Dan heb je voor december 2027 een planning in plaats van een deadline.