De meeste deadlinetabellen die je vindt zijn fout. De omnibus van juni 2026 verschoof twee van deze data en liet de rest ongemoeid. Gepubliceerde richtsnoeren van vóór juni 2026 - en dat is nog steeds het merendeel - vertellen hoogrisicoaanbieders dat ze al te laat zijn, en chatbotbouwers dat ze nog achttien maanden hebben. Allebei is precies het omgekeerde van de waarheid.
Hier staat elke datum van de AI-verordening die ertoe doet, zoals die er na de omnibus voor staat. Eerst de verplichtingen die al lopen, want dat zijn de verplichtingen die je dit kwartaal iets kunnen kosten.
Nu handhaafbaar
| Verplichting | Van toepassing sinds | Handhaafbaar | Voor wie |
|---|---|---|---|
| Artikel 5 - verboden praktijken | 2 Feb 2025 | 2 Aug 2026 | Iedereen |
| Artikel 4 - AI-geletterdheid | 2 Feb 2025 | 2 Aug 2026 | Aanbieders & gebruiksverantwoordelijken |
| Artikel 50 - transparantie | 2 Aug 2026 | 2 Aug 2026 | Chatbots, generatieve systemen, deepfakes |
| Artikel 53 - GPAI-aanbieders | 2 Aug 2025 | 2 Aug 2026 | Aanbieders van modellen voor algemene doeleinden |
| Kader voor governance & sancties | 2 Aug 2025 | 2 Aug 2026 | Nationale autoriteiten |
Let op het patroon in die tabel. Vier afzonderlijke pakketten verplichtingen werden op verschillende momenten in 2025 van toepassing, en elk daarvan werd op dezelfde dag handhaafbaar: 2 August 2026. Dat is de datum waarop toezichthouders boetebevoegdheden kregen. Daarvoor waren het verplichtingen zonder tanden. Daarna zijn het verplichtingen met tanden.
Wat artikel 5 daadwerkelijk verbiedt
Biometrische identificatie op afstand in realtime in openbaar toegankelijke ruimten ten behoeve van rechtshandhaving, op enge uitzonderingen na. Social scoring door of namens overheidsinstanties. Emotieherkenning op de werkvloer en in het onderwijs. Ongerichte scraping van gezichtsafbeeldingen om herkenningsdatabanken op te bouwen. Uitbuitende manipulatie van kwetsbare groepen. Voorspellend politiewerk uitsluitend op basis van profilering.
Dit zijn verboden, geen verplichtingen. Er bestaat geen documentatie die ze toelaatbaar maakt.
Wat artikel 50 daadwerkelijk vereist
- 50(1) - systemen die rechtstreeks met mensen communiceren moeten melden dat ze AI zijn, bij of vóór de eerste interactie, tenzij dat voor een redelijk oplettend persoon vanzelfsprekend is.
- 50(2) - aanbieders van generatieve systemen moeten synthetische output in een machineleesbaar formaat markeren als kunstmatig gegenereerd. Die plicht ligt bij de aanbieder van het generatieve systeem, niet bij iedereen die er een gebruikt.
- 50(4) - gebruiksverantwoordelijken moeten deepfakes melden, en moeten door AI gegenereerde tekst melden die wordt gepubliceerd om het publiek te informeren over aangelegenheden van algemeen belang - tenzij de content menselijk is nagekeken en iemand redactionele verantwoordelijkheid draagt voor de publicatie ervan.
Als je een chatbot uitbrengt, is dit jouw deadline en die is verstreken. De oplossing is meestal één regel tekst in de begroeting. Het is de goedkoopste verplichting in de hele verordening om aan te voldoen en de meest gemiste, omdat ze nooit als deadline is gepresenteerd - ze kwam mee in een pakket waarvan iedereen te horen kreeg dat het was uitgesteld.
Uitgesteld door de omnibus
| Verplichting | Was | Nu | Voor wie |
|---|---|---|---|
| Hoog risico uit bijlage III - artikelen 9-15, 17, 43, 49, 73 | 2 Aug 2026 | 2 Dec 2027 | Werkgelegenheid, krediet, onderwijs, essentiële diensten, rechtshandhaving, migratie, rechtspraak, biometrie, kritieke infrastructuur |
| Hoog risico uit bijlage I - AI in gereguleerde producten | 2 Aug 2027 | Aug 2028 | Medische hulpmiddelen, machines, voertuigen, speelgoed en andere producten met CE-markering |
Dit is het deel dat in de pers verscheen als "de EU heeft de AI-verordening uitgesteld". Het is echt en het is significant - maar het geldt alleen voor deze twee rijen.
Uitgesteld is niet hetzelfde als ver weg. Een conformiteitsbeoordeling, een volledig technisch dossier uit bijlage IV en een werkend risicobeheersysteem kosten een klein team twaalf tot achttien maanden, en de wachtrij van een aangemelde instantie kort je niet in met budget. December 2027 betekent scoping in 2026 en beginnen met het werk in de eerste helft van 2027. Teams die het uitstel behandelen als achttien maanden stilte, besteden die tijd aan de ontdekking dat de beoordelaar volgeboekt is.
Wat hoogrisicoaanbieders verschuldigd zijn, en wanneer
Kom je als aanbieder in bijlage III terecht, dan is dit het volledige pakket. Alles ervan valt op 2 December 2027.
| Artikel | Verplichting | Realistische doorlooptijd |
|---|---|---|
| Art. 9 | Risicobeheersysteem, doorlopend en gedocumenteerd over de hele levenscyclus | 3-6 maanden |
| Art. 10 | Datagovernance - trainings- en testsets onderzocht op bias | 2-4 maanden, langer met een externe audit |
| Art. 11 | Technische documentatie (bijlage IV) | 2-4 maanden |
| Art. 12 | Automatische logging, volledig en bewaard | Weken, als er al logging is |
| Art. 13 | Gebruiksaanwijzing voor je gebruiksverantwoordelijken | 2-4 weken |
| Art. 14 | Menselijk toezicht by design - een persoon moet het kunnen begrijpen en overrulen | Productwerk, reken op een kwartaal |
| Art. 15 | Nauwkeurigheid, robuustheid en cyberbeveiliging, gedocumenteerd | 2-3 maanden |
| Art. 17 | Kwaliteitsbeheersysteem | 3-6 maanden |
| Art. 43 | Conformiteitsbeoordeling en CE-markering | Hangt af van de wachtrij van de aangemelde instantie |
| Art. 49 | Registratie in de EU-databank | Dagen, zodra de rest er is |
| Art. 73 | Procedure voor het melden van ernstige incidenten | 1-2 weken |
Tel dat eerlijk bij elkaar op en December 2027 ziet er niet langer royaal uit. Artikel 13 is het waard om naar voren te halen, los van de deadline: je zakelijke klanten zijn gebruiksverantwoordelijken met hun eigen verplichtingen uit artikel 26, en die kunnen ze niet nakomen zonder documentatie van jou. Die vroeg opleveren verandert een verplichting in een verkoopargument.
Verplichtingen van gebruiksverantwoordelijken - artikel 26
Gebruik je het hoogrisicosysteem van een ander in plaats van er zelf een te leveren, dan is jouw pakket veel kleiner en valt het eveneens op 2 December 2027:
- Het systeem gebruiken volgens de gebruiksaanwijzing van de aanbieder
- Menselijk toezicht toewijzen aan iemand die competent is en de bevoegdheid heeft om in te grijpen
- Ervoor zorgen dat de inputdata relevant zijn voor het beoogde doel
- De werking monitoren en ernstige incidenten melden
- Logbestanden bewaren voor zover je er controle over hebt
- Werknemers en betrokken personen informeren
- Als je een overheidsinstantie bent of openbare diensten verleent, een effectbeoordeling op het gebied van de grondrechten uitvoeren op grond van artikel 27
Geen conformiteitsbeoordeling. Geen CE-markering. Geen registratie in de EU-databank. Heb je daarvoor als gebruiksverantwoordelijke een offerte gekregen, controleer dan je rol opnieuw.
Sancties, en het getal dat iedereen omdraait
| Overtreding | Maximum voor grote ondernemingen |
|---|---|
| Verboden praktijken (art. 5) | € 35 mln of 7 % van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is |
| De meeste andere verplichtingen | € 15 mln of 3 %, afhankelijk van welk bedrag hoger is |
| Onjuiste informatie verstrekken aan autoriteiten | € 7,5 mln of 1 %, afhankelijk van welk bedrag hoger is |
Artikel 99(6) draait dit om voor het mkb en start-ups: de boete is het lagere van de twee bedragen, niet het hogere. Voor een onderneming met € 1,4 mln omzet ligt het maximum voor een overtreding van niveau 2 op ongeveer € 42.000, niet op € 15 mln. Bijna elk artikel dat je zult lezen houdt kleine bedrijven het getal voor grote bedrijven voor, wat een mengeling van paniek en afhaken oplevert - en geen van beide levert naleving op.
De realistische kosten op korte termijn waren voor een klein bedrijf nooit de boete. Het is de inkoopvragenlijst van een grote klant die je niet kunt beantwoorden, en de deal die blijft hangen bij de juridische afdeling van de koper. Dat gebeurt jaren voordat een toezichthouder je naam heeft gehoord, en het gebeurt voortdurend.
Data die je in je agenda wilt zetten
- Nu - de artikelen 4, 5, 50 en 53 zijn handhaafbaar. Heb je een chatbot of genereer je content, dan is dit een klus voor deze week, niet voor 2027.
- Q1 2027 - ben je hoog risico, vraag dan een vaste offerte en een doorlooptijd op bij een aangemelde instantie. Niet om te kopen, om het te weten.
- Q2 2027 - het laatste comfortabele moment om aan het conformiteitswerk te beginnen voor een datum in December 2027.
- 2 December 2027 - de hoogrisicoverplichtingen uit bijlage III gelden.
- August 2028 - de hoogrisicoverplichtingen uit bijlage I gelden.
Welke hiervan gelden voor jou?
Vijf vragen plus je e-mailadres, direct resultaat. Of draai de volledige vertakte beoordeling - tot 33 vragen, of 41 met het Document Pack - voor een gepersonaliseerd gap-rapport met je verplichtingen en je deadlines, per artikel.
Start de gratis scanGeen kaart, geen account. Volledig gap-rapport vanaf € 59. Bekijk een echt rapport (in het Engels).
Zelfbeoordeling, geen juridisch advies. Deze pagina en het Reglynn-rapport zijn een gestructureerde zelfbeoordeling op basis van de AI-verordening (Verordening 2024/1689, zoals gewijzigd door de omnibus van juni 2026). Ze geven aan waar je waarschijnlijk staat en wat je met een gekwalificeerd adviseur moet toetsen. Reglynn is geen aangemelde instantie en geeft geen certificering af.
Hoe dit gemaakt is. Reglynn-rapporten worden gegenereerd door een AI-systeem gebouwd op Claude van Anthropic en automatisch geleverd. Reglynn is een AI-systeem met beperkt risico onder artikel 50; we maken de betrokkenheid van AI overal bekend waar die plaatsvindt, ook in onze chatassistent. Onze eigen zelfbeoordeling.