EU Omnibus VII stelt hoogrisicoverplichtingen AI Act uit tot 2027

Op 8 juli 2026 hebben het Europees Parlement en de Raad van de Europese Unie de definitieve handeling ondertekend tot wijziging van Verordening (EU) 2024/1689 (de AI Act) en Verordening (EU) 2018/1139 (de EASA Basic Regulation) onder procedure 2025/0359(COD), bekend als de Digital Omnibus inzake AI of Omnibus VII. De Raad had op 29 juni 2026 zijn definitieve goedkeuring gegeven, en de procedure is nu afgerond in afwachting van publicatie in het Publicatieblad van de Europese Unie. Na publicatie treedt de handeling in werking op de twintigste dag na publicatie.

Het inhoudelijke effect is een kalenderreset van de centrale hoogrisicoverplichtingen van de AI Act. De algemene toepasselijkheidsdatum voor de meeste hoogrisicoverplichtingen, oorspronkelijk 2 augustus 2026, verschuift naar 2 december 2027 voor zelfstandige hoogrisico-AI-systemen vermeld in Annex III, en naar 2 augustus 2028 voor hoogrisico-AI die is ingebed in gereguleerde producten die vallen onder Annex I (machines, medische hulpmiddelen, in-vitrodiagnostiek, voertuigen, luchtvaart, uitrusting van zeeschepen). Voor elke compliance lead voor AI in de EU is dit de eerste materiële wijziging van de AI Act sinds de aanneming ervan in juni 2024, en het verandert het bouw- en conformiteitsplan voor elk systeem dat zich richtte op de deadline van augustus 2026.

De officiële bron voor de tijdlijn van de procedure, de referenties van de medewetgevers en de status van de definitieve handeling is het dossier van het Legislative Observatory van het Europees Parlement voor 2025/0359(COD). Het voorstel van de Commissie is COM(2025) 0836 van 19 november 2025; het standpunt van het Parlement in eerste lezing is tekst T10-0198/2026 van 16 juni 2026; en de aanneming door de Raad is geregistreerd op 29 juni 2026. Dit artikel analyseert wat er is veranderd, wie er binnen het toepassingsgebied valt en wat de volgende stappen zijn.

Wat verandert de Digital Omnibus VII daadwerkelijk?

De omnibus is een gerichte vereenvoudiging, geen volledige herschrijving. Het wijzigt twee bestaande bindende EU-verordeningen: de AI Act (Verordening (EU) 2024/1689) en de EASA Basic Regulation (Verordening (EU) 2018/1139). De politieke inkadering door beide medewetgevers is "vereenvoudiging van de implementatie van geharmoniseerde regels inzake kunstmatige intelligentie", en het belangrijkste juridische effect is een uitstel van de toepasselijkheidsdata voor hoog risico, gekoppeld aan beperkte inhoudelijke verduidelijkingen over de grenzen van het hoogrisicoregime en over de interactie met sectorale productveiligheidswetgeving.

Het procedurele anker is van belang voor complianceteams: de handeling werd aangenomen volgens de gewone wetgevingsprocedure (medebeslissing, rechtsgrondslag interne markt Article 114 VWEU), waarbij de IMCO-commissie (rapporteur KOKALARI, EVP) en de LIBE-commissie (rapporteur MCNAMARA, Renew) gezamenlijk verantwoordelijk waren in het Europees Parlement. De triloog werd afgerond in mei 2026, het Parlement stemde over zijn standpunt in eerste lezing op 16 juni 2026, de Raad nam het aan op 29 juni 2026, en de definitieve handeling werd ondertekend op 8 juli 2026. Bereikte fase in het proceduredossier: "Procedure afgerond, in afwachting van publicatie in het Publicatieblad."

Wie moet hieraan voldoen, en tegen wanneer?

Elke aanbieder, implementeerder, importeur, distributeur en gemachtigde vertegenwoordiger van een AI-systeem dat op de EU-markt wordt gebracht of waarvan de output in de EU wordt gebruikt, valt binnen het toepassingsgebied van de AI Act, ongeacht waar de aanbieder is gevestigd. De omnibus beperkt dat toepassingsgebied niet. Wat het wel doet, is het verschuiven van de data waarop de zware hoogrisicoverplichtingen afdwingbaar worden, terwijl het regime voor verboden praktijken, het transparantieregime voor general-purpose AI (GPAI) en de institutionele architectuur (het AI Office, de European AI Board, nationale bevoegde autoriteiten) op hun oorspronkelijke kalenders blijven.

Concreet is de herziene toepasselijkheidsladder voor het hoogrisicoregime als volgt:

De tag "voorwaardelijk aan publicatie in het PB vóór 2 augustus 2026" is het juridische scharnierpunt: het uitstel treedt alleen in werking als de omnibus vóór de oorspronkelijke toepasselijkheidsdatum van 2 augustus 2026 in het Publicatieblad wordt gepubliceerd. Met de ondertekening van de definitieve handeling op 8 juli 2026 is effectief aan die voorwaarde voldaan, maar de formele trigger is de publicatie in het PB, niet de ondertekening. Teams moeten de publicatiedatum in het PB volgen in het EUR-Lex CELEX-dossier voor de definitieve handeling, die binnen enkele dagen na de ondertekening zal volgen.

Welke verplichtingen van de AI Act verschuiven, en welke blijven op de oorspronkelijke kalender?

Het uitstel is selectief. Drie categorieën verschuiven: de hoogrisicoverplichtingen voor zelfstandige systemen uit Annex III (naar 2 december 2027), de hoogrisicoverplichtingen voor product-ingebedde systemen uit Annex I (naar 2 augustus 2028), en twee specifieke transparantiebepalingen (Article 5 verbod op intiem beeldmateriaal en Article 50(2) watermerken, beide naar 2 december 2026). Al het overige, inclusief de kern van verboden praktijken uit Article 5, de GPAI-transparantie- en documentatieplichten, het GPAI-gedragscodetracé voor modellen met een systeemrisico, en de institutionele opzet van het AI Office en nationale bevoegde autoriteiten, blijft op de oorspronkelijke kalender.

Dit selectieve patroon is operationeel van belang. Aanbieders van GPAI-modellen moeten nog steeds voldoen aan de documentatie- en downstream-informatieplichten van Article 53 die sinds 2 augustus 2025 van toepassing zijn, en aanbieders van GPAI-modellen met een systeemrisico moeten nog steeds voldoen aan de verplichtingen van Article 55. Implementeerders van emotieherkennings- of biometrische categorisatiesystemen moeten nog steeds voldoen aan de transparantieplichten van Article 50 die sinds 2 augustus 2026 van kracht zijn, met uitzondering van de specifiekere subbepaling over watermerken die verschuift naar 2 december 2026. Het compliancewerk dat altijd al gepland was voor 2025 en begin 2026 blijft ongewijzigd; de omnibus levert alleen extra tijd op voor de conformiteitsbeoordeling voor hoog risico, het risicobeheersysteem, datagovernance, technische documentatie en post-market monitoringplichten die bovenop de hoogrisicoclassificatie komen.

Wat betekent de omnibus voor aanbieders van hoogrisico-AI-systemen?

Voor een aanbieder van een hoogrisico-AI-systeem uit Annex III (bijvoorbeeld een screeningstool voor werving, een kredietscoresysteem, een component voor kritieke infrastructuur, of een systeem voor het bepalen van geschiktheid voor onderwijs of essentiële diensten) is het praktische effect een verlenging van 16 maanden van de bouwfase: van 2 augustus 2026 naar 2 december 2027. Dat is tijd om de conformiteitsbeoordeling te voltooien, het risicobeheersysteem te bouwen, de technische documentatie samen te stellen, automatische logging en menselijk toezicht op te zetten, en een contract af te sluiten met een aangemelde instantie waar vereist. Het is geen tijd om het werk uit te stellen: conformiteitsbeoordeling onder de AI Act is een documentatie- en bewijsintensief proces dat 6 tot 12 maanden in beslag neemt voor een niet-triviaal systeem, en de nieuwe deadline is nog steeds 17 maanden verwijderd.

Voor aanbieders van product-ingebedde hoogrisico-AI uit Annex I is de verlenging van 2 augustus 2027 naar 2 augustus 2028. Dit is de categorie die overlapt met sectorale productveiligheidswetgeving: de Machinery Regulation, de Medical Devices Regulation (MDR), de In Vitro Diagnostics Regulation (IVDR), het kader voor typegoedkeuring van voertuigen en de EASA Basic Regulation. De omnibus wijzigt de EASA Basic Regulation specifiek om de AI-bepalingen ervan in overeenstemming te brengen met de nieuwe datum van augustus 2028, wat de reden is dat de Basic Regulation voorkomt in de formele titel van de handeling. Aanbieders in deze categorie moeten hun conformiteitsbeoordeling opnieuw plannen om parallel te lopen met het sectorale CE-markeringsproces, niet sequentieel, en kunnen verwachten dat de relevante sectorale autoriteiten (aangemelde instanties voor MDR/IVDR, typegoedkeuringsinstanties voor de automobielsector, EASA voor de luchtvaart) zullen coördineren met het AI Office over de AI Act-laag.

Voor implementeerders van hoogrisico-AI (werkgevers, banken, ziekenhuizen, overheidsinstanties) stelt de verlenging evengoed de plichten aan de kant van de implementeerder uit: de effectbeoordeling op de grondrechten onder Article 27, de plichten inzake menselijk toezicht, de registratie in de openbare EU-databank voor bepaalde hoogrisico-implementeerders, en de post-market monitoringplicht om ernstige incidenten te melden. Implementeerders die processen aan het bouwen waren om augustus 2026 te halen, moeten de opbouw voortzetten en de extra tijd gebruiken voor institutionele uitrol, training en integratie met bestaande compliance management systemen.

Hoe moeten compliance leads voor AI de komende 18 maanden opnieuw plannen?

Vier acties zijn nu tijdkritisch, en de extra 16 maanden nemen geen van deze weg. Ten eerste, herijk de compliance roadmap tegen de nieuwe data van 2 december 2027 en 2 augustus 2028, en bevestig dat aan de voorwaarde van publicatie in het PB is voldaan voordat het uitstel als definitief wordt beschouwd. Ten tweede, inventariseer elk AI-systeem dat binnen het toepassingsgebied valt en classificeer het tegen de post-omnibus Annex III en Annex I lijsten, omdat de classificatie bepaalt welke deadline van toepassing is. Ten derde, start of continueer de voorbereiding op de conformiteitsbeoordeling, inclusief de technische documentatie, het risicobeheersysteem, het bewijs van datagovernance en de betrokkenheid van een aangemelde instantie voor systemen die een conformiteitsbeoordeling door een derde partij vereisen. Ten vierde, monitor de pijplijn van secundaire handelingen: het AI Office en de Commissie publiceren nog steeds uitvoerings- en gedelegeerde handelingen (de GPAI-gedragscode, de richtsnoeren voor hoogrisico-indeling, de gedetailleerde technische normen voor Annex III) die de operationele details van het hoogrisicoregime invullen, en deze zullen tijdens de uitstelperiode landen.

Het lobbydossier over procedure 2025/0359(COD) is een nuttig signaal van waar de volgende drukpunten liggen. Het transparantieregister van het Europees Parlement voor 2025/0359(COD) vermeldt ontmoetingen tussen de rapporteurs en schaduwrapporteurs en Mistral AI, Google, de AI Chamber, noyb, European Digital Rights (EDRi), CCIA Europe, Allegro, Wolt, Inter Ikea, TIC Council, de International Federation of the Phonographic Industry, de Brusselse bureaus van ARD en ZDF, de European Tech Alliance, ALLAI, de European FinTech Association en de European Federation of Engineering Consultancy Associations. Die breedte van betrokkenheid, variërend van AI-bouwers, platforms, rechthebbenden, maatschappelijk middenveld en sectorale verenigingen, signaleert een grote belangstelling van belanghebbenden voor de manier waarop het hoogrisicoregime en de bijbehorende uitvoeringshandelingen tijdens de uitstelperiode zullen worden geoperationaliseerd. Het register vermeldt dat de ontmoetingen hebben plaatsgevonden; het vermeldt niet de ingenomen standpunten, dus dit artikel schrijft er geen toe.

Wat bleef ongewijzigd waarvan teams mogelijk verwachtten dat het zou verschuiven?

Drie zaken die de omnibus niet heeft gewijzigd zijn het vermelden waard, omdat de vakpers ze af en toe heeft verward met het uitstel. De kern van verboden praktijken van Article 5 (subliminale manipulatie, social scoring door overheidsinstanties, ongericht scrapen van gezichtsafbeeldingen, inferentie van emoties op de werkplek en op scholen, biometrische categorisatie voor gevoelige kenmerken, en realtime biometrische identificatie op afstand door overheidsinstanties) blijft van kracht en is reeds afdwingbaar. Het GPAI-transparantieregime blijft van kracht. En de institutionele architectuur, het AI Office binnen de Commissie, de European AI Board, het adviesforum en het wetenschappelijk panel, blijft van kracht. De omnibus is strikt genomen een uitstel voor hoog risico en een gerichte afstemming van de EASA Basic Regulation, geen algehele pauze van de AI Act.

Dit is precies waar continue, per-jurisdictie monitoring zijn waarde bewijst. Een signaal dat in de loop van twee maanden verschoof van "triloogakkoord" naar "aanneming door de Raad" naar "definitieve handeling ondertekend" naar "publicatie in het PB" heeft elke EU AI compliance roadmap hervormd. Obsidian volgt die signaalketen van begin tot eind, met de regelgevingsbewuste afstamming die elke procedurele stap terugkoppelt naar het specifieke artikel van de onderliggende verordening. De AI is een geverifieerde regulatory companion, nooit een vervanging voor de menselijke expert die de conformiteitsbeoordeling aftekent, maar het is de snelste manier om de verandering aan het licht te brengen op het moment dat een medewetgever in beweging komt. Zie monitoring en de AI companion pagina voor hoe dat in de praktijk werkt, en pricing voor de abonnementsstructuur.

Volg dit onderwerp in realtime met een gratis monitoringtaak

Voor de komende 18 maanden is de checklist eenvoudig. Bevestig de publicatiedatum in het PB in EUR-Lex zodra deze landt, herijk elk hoogrisico-AI-projectplan tegen 2 december 2027 (Annex III) of 2 augustus 2028 (Annex I), behoud het werk voor GPAI-transparantie en verboden praktijken op de oorspronkelijke kalender van 2025-2026, informeer de product-, juridische, ML-engineering- en inkoopteams schriftelijk over de nieuwe data, en volg de pijplijn van uitvoeringshandelingen van het AI Office die de operationele details zullen invullen tijdens de uitstelperiode. Obsidian zal elke inhoudelijke beweging op het gebied van de AI Act en het Digital Omnibus-tracé blijven signaleren zodra deze zich voordoet.