![\"EU](\"https:\/\/mobilions.nl\/blog\/wp-content\/uploads\/2026\/10\/eu-ai-act-tijdlijn-2026.webp\")
<\/figure>\n\n\n\nWat nu al geldt: de verboden praktijken en de plicht tot AI-geletterdheid zijn in werking. Ook de transparantieregels voor algemene AI-modellen (GPAI) gelden al sinds augustus 2025.<\/p>\n\n\n\n
Wat in 2026 ingaat: de transparantieplicht van artikel 50, zoals melden dat iemand met een AI-chatbot praat en het markeren van deepfakes, geldt vanaf augustus 2026 en is niet uitgesteld. De handhaving en boetes rond GPAI gaan eveneens in augustus 2026 in. De markeringsplicht voor synthetische content uit artikel 50, lid 2, verschuift naar december 2026.<\/p>\n\n\n\n
Wat is uitgesteld: de zware hoog-risico-verplichtingen (Annex III, denk aan AI voor werving, onderwijs of toeslagen) zijn via het Digital Omnibus verplaatst van augustus 2026 naar december 2027. Hoog-risico in ingebouwde producten (Annex I) schuift naar augustus 2028.<\/p>\n\n\n\n
Dat uitstel is geen pauzeknop. De voorbereiding op hoog-risico kost juist veel tijd, omdat je risicobeheer, datagovernance, technische documentatie en een conformiteitsbeoordeling moet inrichten. Verifieer de exacte datums altijd tegen de officiele tekst van de EU AI Act<\/a>, want de details rond het Omnibus kunnen nog wijzigen.<\/p>\n\n\n\n De AI Act kent vier niveaus, en je EU AI Act readiness hangt af van waar jouw systemen in vallen. Hoe hoger het risico, hoe zwaarder de eisen.<\/p>\n\n\n\n Onaanvaardbaar risico betekent verboden. Denk aan social scoring door overheden of emotieherkenning op de werkvloer en in het onderwijs. Deze toepassingen mogen simpelweg niet, en dat geldt nu al.<\/p>\n\n\n\n Hoog risico is de zwaarste categorie die wel is toegestaan. Hieronder vallen onder meer AI voor werving en selectie, voor toegang tot onderwijs, voor kredietbeoordeling en voor bepaalde kritieke infrastructuur. Hier gelden strenge eisen: risicobeheer, datakwaliteit, menselijk toezicht, logging en een conformiteitsbeoordeling.<\/p>\n\n\n\n Beperkt risico draait om transparantie. Een chatbot moet duidelijk maken dat je met AI praat, en AI-gegenereerde of gemanipuleerde content, zoals deepfakes, moet herkenbaar zijn. Dit is artikel 50, en het raakt veel gewone bedrijven.<\/p>\n\n\n\n Minimaal risico is de rest, zoals spamfilters of AI in games. Hiervoor gelden geen specifieke verplichtingen, al is verantwoord gebruik altijd verstandig. Het overgrote deel van de alledaagse AI valt in deze categorie.<\/p>\n\n\n\n Je verplichtingen hangen niet alleen af van het risiconiveau, maar ook van je rol. Dezelfde AI kan voor de bouwer andere plichten hebben dan voor de gebruiker.<\/p>\n\n\n\n Een provider ontwikkelt een AI-systeem of laat het onder eigen naam op de markt brengen. Providers dragen de zwaarste last, zeker bij hoog-risico: zij moeten de conformiteitsbeoordeling doen en de technische documentatie leveren.<\/p>\n\n\n\n Een deployer gebruikt een AI-systeem onder eigen verantwoordelijkheid, bijvoorbeeld een bedrijf dat een ingekochte wervingstool inzet. Deployers hebben lichtere, maar reele plichten: zorgen voor menselijk toezicht, de instructies volgen en in bepaalde gevallen betrokkenen informeren.<\/p>\n\n\n\n Daarnaast bestaan de rollen importeur en distributeur, voor wie AI van buiten de EU op de markt brengt of doorverkoopt. Let op: gebruik je een open-source model binnen een hoog-risico-systeem, dan blijf je als deployer volledig verantwoordelijk.<\/p>\n\n\n\n Voor je readiness is dit cruciaal, want veel bedrijven denken dat ze alleen gebruiker zijn en dus niets hoeven. Zodra je een AI-tool echter zelf traint, aanpast of onder eigen merk aanbiedt, kun je provider worden, met alle plichten van dien.<\/p>\n\n\n\n Nederland heeft gekozen voor een model met meerdere toezichthouders die samenwerken. De Autoriteit Persoonsgegevens<\/a> (AP) en de Rijksinspectie Digitale Infrastructuur (RDI) coordineren samen het nationale AI-toezicht.<\/p>\n\n\n\n De AP neemt naar verwachting het grootste deel van het directe toezicht op zich. Dat omvat de verboden praktijken, de transparantieplichten en een groot deel van de hoog-risico-categorie, zoals werving, onderwijs en toeslagen. De RDI is het centrale aanspreekpunt onder artikel 70, lid 2, en houdt toezicht op onder meer radioapparatuur en digitale kritieke infrastructuur.<\/p>\n\n\n\n Sectorale toezichthouders houden hun rol. De AFM en De Nederlandsche Bank blijven verantwoordelijk voor financiele instellingen, en de NVWA en de Nederlandse Arbeidsinspectie voor productveiligheid. Zo heb je in de praktijk vaak te maken met een toezichthouder die je al kent.<\/p>\n\n\n\n Voor algemene AI-modellen (GPAI) is de toezichthouder niet Nederlands: dat doet de Europese Commissie via het AI Office. De Nederlandse uitvoeringswet (de Uitvoeringswet AI-verordening) was medio 2026 nog in behandeling, dus controleer de actuele status op rijksoverheid.nl en bij de AP.<\/p>\n\n\n\n Een praktische aanpak maakt readiness behapbaar. Hieronder de zeven stappen die wij aanhouden voor EU AI Act readiness; pas ze aan op jouw situatie en leg alles vast, want aantoonbaarheid is het halve werk. Zie het als een checklist die je elk kwartaal opnieuw langsloopt, niet als een eenmalige actie.<\/p>\n\n\n\n De AI Act staat niet op zichzelf. Zodra AI persoonsgegevens verwerkt, profileert of geautomatiseerd beslist, geldt ook de AVG, met in Nederland de Uitvoeringswet AVG. De AP houdt op beide toezicht, wat de samenhang logisch maakt.<\/p>\n\n\n\n In de praktijk betekent dit dubbele aandacht. Een wervingstool die cv’s beoordeelt, raakt zowel de hoog-risico-eisen van de AI Act als de AVG-regels over profilering en geautomatiseerde besluitvorming. Je readiness-plan moet beide dekken.<\/p>\n\n\n\n Goed nieuws: veel van het werk overlapt. Een deugdelijke datagovernance, duidelijke bewaartermijnen en logging dienen beide regimes. Wie de AVG al serieus neemt, heeft een voorsprong op de AI Act. Voor de praktische kant van AI en AVG lees je onze uitleg bij een AI voice agent<\/a>, waar we toestemming en biometrie bespreken.<\/p>\n\n\n\n De AI Act kent stevige sancties, vergelijkbaar met de AVG. De hoogste categorie geldt voor verboden praktijken: boetes tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet, afhankelijk van wat hoger is.<\/p>\n\n\n\n Voor andere overtredingen, zoals het niet naleven van verplichtingen voor hoog-risico-systemen, gelden lagere maar nog altijd forse maxima. Het geven van onjuiste informatie aan toezichthouders kent een eigen, lager plafond.<\/p>\n\n\n\n De boete is echter niet het enige risico. Reputatieschade, een verwerkingsverbod of het uit de markt moeten halen van een systeem kunnen in de praktijk zwaarder wegen dan een geldbedrag. Readiness is dus niet alleen juridisch, maar ook bedrijfsmatig verstandig.<\/p>\n\n\n\n De eerste fout is denken dat je niets hoeft omdat je alleen gebruiker bent. Ook deployers hebben plichten, en wie een tool aanpast kan ongemerkt provider worden. Begin daarom altijd met de rolbepaling.<\/p>\n\n\n\n De tweede fout is wachten op het uitstel. Omdat hoog-risico naar 2027 schoof, stellen sommige organisaties alles uit. Maar juist de hoog-risico-voorbereiding kost het meeste tijd, en de transparantieplichten gelden al in 2026.<\/p>\n\n\n\n De derde fout is geen inventarisatie. Zonder compleet overzicht van je AI mis je systemen die ingebouwd zitten in bestaande software, en kun je niets classificeren. Overzicht is de basis van alles.<\/p>\n\n\n\n De vierde fout is readiness als eenmalig project zien. De regels, de standaarden en je eigen AI-gebruik veranderen. Zonder eigenaar en vaste review-momenten veroudert je readiness snel. Wil je hierover sparren, dan denken we graag mee vanuit onze AI-ontwikkeldiensten<\/a>.<\/p>\n\n\n\n De AI Act geldt voor iedereen, maar readiness ziet er anders uit voor een klein bedrijf dan voor een concern. De wet houdt daar deels rekening mee, en dat is prettig nieuws voor het mkb.<\/p>\n\n\n\n Voor kleine organisaties is de kern vooral overzicht en transparantie. Je gebruikt waarschijnlijk vooral ingekochte AI-tools, dus je rol is meestal deployer. Dan draait readiness om een inventarisatie, de juiste classificatie, artikel 50 netjes regelen en AI-geletterdheid aantoonbaar maken. Dat is behapbaar zonder een heel complianceteam.<\/p>\n\n\n\n Voor grotere organisaties of bedrijven die zelf AI bouwen, wordt het zwaarder. Zij zijn vaker provider, hebben meer hoog-risico-systemen en moeten een volwaardig governance-proces inrichten: risicobeheer, datagovernance, technische documentatie, logging, menselijk toezicht en conformiteitsbeoordeling. Daar hoort eigenaarschap op directieniveau bij.<\/p>\n\n\n\n In beide gevallen geldt dezelfde volgorde: eerst overzicht, dan classificatie, dan de verplichtingen per systeem. Het verschil zit in de diepte, niet in de aanpak. Begin klein en bouw uit naarmate je AI-gebruik groeit. De officiele verordeningstekst staat op EUR-Lex<\/a>, handig als naslag bij twijfel over een specifieke bepaling.<\/p>\n\n\n\n Let ook op standaarden. Veel hoog-risico-eisen worden pas concreet via geharmoniseerde normen die nog in ontwikkeling zijn. Je kunt je niet toetsen aan een standaard die er nog niet is, dus volg de voortgang en houd je documentatie flexibel. Zodra de normen klaar zijn, kan de overgangstijd kort zijn.<\/p>\n\n\n\n Wij bouwen sinds 2016 aan software en AI-oplossingen, met meer dan 250 opgeleverde projecten, meer dan 100 bediende klanten en bereik in meer dan 20 landen. Die ervaring gebruiken we om AI zo te bouwen dat compliance vanaf het begin is meegenomen, in plaats van er achteraf bij geplakt.<\/p>\n\n\n\n Onze aanpak is nuchter en technisch. We helpen bij de AI-inventarisatie en classificatie, richten transparantie (artikel 50), logging en menselijk toezicht goed in, en bouwen hoog-risico-systemen met de documentatie en controleerbaarheid die de wet vraagt. Juridisch advies laten we aan juristen; de techniek en de governance-inrichting nemen wij voor onze rekening.<\/p>\n\n\n\nDe risicocategorieen<\/h2>\n\n\n\n
![\"EU](\"https:\/\/mobilions.nl\/blog\/wp-content\/uploads\/2026\/10\/eu-ai-act-risicocategorieen.webp\")
<\/figure>\n\n\n\nWelke rol heb jij: provider of deployer?<\/h2>\n\n\n\n
Toezicht in Nederland: AP, RDI en de sectoren<\/h2>\n\n\n\n
EU AI Act readiness checklist<\/h2>\n\n\n\n
\n
AVG en EU AI Act: twee regimes tegelijk<\/h2>\n\n\n\n
Wat zijn de boetes?<\/h2>\n\n\n\n
Veelgemaakte fouten bij readiness<\/h2>\n\n\n\n
Readiness voor het mkb versus grote organisaties<\/h2>\n\n\n\n
Hoe Mobilions helpt<\/h2>\n\n\n\n