Er hangt een gevaarlijk misverstand in de lucht. “De AI Act is uitgesteld”, hoor je op directievergaderingen, en de voet gaat van het gaspedaal. Dat klopt maar half. En die andere helft kan je duur komen te staan.
Ja, een groot deel van de wet is doorgeschoven. De verplichtingen die op 2 augustus 2026 ingaan zijn dat niet. Sterker nog: vanaf die datum krijgt de wet voor het eerst tanden. Wie het uitstel verkeerd leest, denkt dat hij tijd heeft gekocht. In werkelijkheid begint de handhaving juist dan.
Even uit elkaar trekken dus. Wat gaat er op 2 augustus wél in, wat is er wél uitgesteld, en waarom dat onderscheid ertoe doet.
Wat er op 2 augustus 2026 in werking treedt
Op die datum gaan drie dingen tegelijk lopen, en geen ervan is uitgesteld.
De transparantieverplichtingen van Artikel 50 gaan in. Je moet mensen laten weten dat ze met een AI systeem praten, AI-gegenereerde content markeren, en deepfakes labelen. De handhaving rond general-purpose AI (GPAI) wordt operationeel: het AI Office kan boetes opleggen tot 15 miljoen euro of 3% van de wereldwijde jaaromzet, het hoogste van de twee. En de nationale markttoezichthouders kunnen overtredingen vanaf dat moment echt onderzoeken en beboeten.
Kort gezegd: 2 augustus is de dag waarop de AI Act van papier naar afdwingbaar gaat. Geen deadline die je kunt uitzitten.
Wat er wél is uitgesteld
De verwarring komt ergens vandaan, en dat is terecht. Via de Digital Omnibus, een pakket waarmee de EU regelgeving wil vereenvoudigen, zijn de verplichtingen voor high-risk AI systemen uit Annex III (denk aan AI in werving, kredietscoring, onderwijs) verschoven naar 2 december 2027. Zestien maanden later dan gepland. Dat is een reëel en fors uitstel.
Maar kijk goed naar wat er verschoof en wat niet. Het uitstel raakt de high-risk categorie. Artikel 50 niet. De GPAI-handhaving niet. Wie “de AI Act is uitgesteld” hoort en concludeert dat er even niets hoeft, verwart één categorie met de hele wet. En dat is precies de fout waar een toezichthouder op wacht.
Artikel 50 concreet: wat transparantie van je vraagt
Artikel 50 is de verplichting die de meeste organisaties direct raakt. Want vrijwel iedereen zet inmiddels wel iets van AI in dat met mensen praat of content maakt.
In de praktijk gaat het om drie dingen. Een AI systeem dat met mensen interacteert, een chatbot of een virtuele assistent, moet duidelijk maken dat het AI is, tenzij dat al overduidelijk is uit de context. AI-gegenereerde of gemanipuleerde content, ook synthetische audio, beeld en video, moet herkenbaar zijn, machineleesbaar waar het kan. En deepfakes en AI-tekst die als nieuws of informatie wordt gepresenteerd, moeten gelabeld worden. Voor bestaande systemen geldt op onderdelen een korte overgangsperiode. Maar de richting is helder: transparantie is niet langer optioneel.
Dit raakt precies wat er op de werkvloer gebeurt. Als 90% van je mensen al AI-tools gebruikt zonder dat IT het weet, dan produceert je organisatie nu al content die onder Artikel 50 valt. Zonder dat iemand erop stuurt.
GPAI-handhaving: de tanden achter de wet
De tweede scherpe kant is de handhaving rond general-purpose AI. De regels voor GPAI-modellen gelden al sinds augustus 2025. Maar pas vanaf 2 augustus 2026 kan het AI Office ze ook afdwingen, met boetes tot 3% van de wereldwijde omzet. Modellen van vóór augustus 2025, de legacy-modellen, hebben tot augustus 2027 om volledig compliant te zijn.
Voor de meeste enterprises zit het risico niet in het zelf trainen van modellen. Het zit in het gebruiken ervan. De modellen onder je AI-toepassingen moeten compliant zijn, en jij bent degene die dat in je keten moet borgen. Dezelfde beweging als onder NIS2 en de CRA dus: weten wat er in je keten zit en wie waarvoor instaat.
De gevaarlijke misvatting
Het patroon ken je van elke complexe regelgeving. Er komt een bericht over uitstel, de kop luidt “AI Act vertraagd”, en de urgentie zakt weg. Maar “uitgesteld” en “van de baan” zijn niet hetzelfde. En het verschil zit precies in de delen die nu ingaan.
Wie zijn AI governance nu stillegt omdat “het toch is uitgesteld”, ontdekt op 2 augustus dat de transparantieplicht en de GPAI-handhaving er gewoon staan. En net als bij access governance is het probleem zelden dat je niets doet. Het is dat je niet kunt aantonen wat je doet op het moment dat een toezichthouder ernaar vraagt.
Wat je nu zou moeten doen
Geen paniek, wel beweging. Breng in kaart welke AI-systemen je organisatie gebruikt én produceert, inclusief de schaduw-AI die niemand heeft aangemeld. Je kunt niet transpareren over wat je niet ziet, en Shadow AI is daarmee een governanceprobleem, geen IT-probleem. Zorg dat je AI-interacties en AI-content voldoen aan de Artikel 50-transparantie. Leg in je leverancierscontracten vast dat de onderliggende modellen GPAI-compliant zijn. En investeer in AI-geletterdheid, want ook de verzachte versie blijft een verplichting: je mensen moeten weten wat ze inzetten en waarom.
Het doel is geen perfectie op 2 augustus. Het doel is aantoonbaar in control zijn over de delen die dan ingaan, in plaats van leunen op een uitstel dat niet voor jou geldt.
Tot slot
De AI Act is niet uitgesteld. Een deel ervan wel, en juist dat deel haalt de krantenkoppen. De verplichtingen die op 2 augustus 2026 ingaan, transparantie en GPAI-handhaving, staan gewoon. En vanaf die dag kan een toezichthouder ze afdwingen.
Wie het uitstel leest als “we hebben tijd”, leest het verkeerd. De handhaving begint nu. En “we dachten dat het was uitgesteld” is geen verweer dat een toezichthouder accepteert.
Veelgestelde vragen
Is de EU AI Act uitgesteld?
Deels. Via de Digital Omnibus zijn de verplichtingen voor high-risk AI-systemen (Annex III) verschoven naar 2 december 2027. Maar de transparantieverplichtingen van Artikel 50 en de handhavingsbevoegdheden voor general-purpose AI treden gewoon in werking op 2 augustus 2026. De wet als geheel is dus niet uitgesteld.
Wat treedt er op 2 augustus 2026 in werking?
Drie dingen: de Artikel 50-transparantieverplichtingen (melden dat iets AI is, AI-content markeren, deepfakes labelen), de handhavingsbevoegdheden voor GPAI met boetes tot 15 miljoen euro of 3% van de wereldwijde omzet, en de bevoegdheid van nationale markttoezichthouders om overtredingen te onderzoeken en te beboeten.
Wat houdt Artikel 50 in?
Artikel 50 regelt transparantie. AI-systemen die met mensen communiceren moeten kenbaar maken dat het AI is; AI-gegenereerde of gemanipuleerde content moet herkenbaar en waar mogelijk machineleesbaar gemarkeerd zijn; en deepfakes moeten worden gelabeld. Het raakt vrijwel elke organisatie die AI inzet voor communicatie of contentproductie.
Geldt de AI Act ook als ik zelf geen AI-modellen bouw?
Ja. De meeste enterprises zijn geen ontwikkelaar maar gebruiker (deployer) van AI. Ook dan gelden de transparantieverplichtingen, en moet je borgen dat de onderliggende GPAI-modellen in je keten compliant zijn. Dat is dezelfde ketenverantwoordelijkheid als onder NIS2 en de Cyber Resilience Act.
Wat moet ik nu doen?
Breng in kaart welke AI-systemen je gebruikt en produceert, inclusief schaduw-AI. Zorg dat AI-interacties en AI-content aan de Artikel 50-transparantie voldoen. Borg GPAI-compliance in je leverancierscontracten. En investeer in AI-geletterdheid. Het doel is aantoonbaar in control zijn over de verplichtingen die op 2 augustus ingaan.
