Update 1 oktober 2026 Ons aparte stuk over de Nederlandse governance na het akkoord van 7 mei is in dit artikel opgenomen. Nieuw hieronder: de volledige tijdlijn tot 2028, het nieuwe verbod op nudify-apps per 2 december 2026 (Orrick), wie in Nederland toezicht houdt terwijl de uitvoeringswet nog geen wet is (Rijksoverheid) en de stand van GPT-NL en de AI-fabriek Groningen.
Update 25 september 2026 De Europese Commissie en de AI Board hebben bevestigd dat de gedragscode voor het markeren en labelen van AI-content een adequaat instrument is om aan artikel 50 te voldoen (Bron: Europese Commissie). De passage daarover hebben we bijgewerkt.
Update 18 september 2026 De deadline van 2 augustus 2026 is voorbij: de Commissie kan nu aanbieders van grote AI-modellen beboeten en de transparantieregels gelden. Op 27 juli 2026 trad de AI Omnibus in werking. Die bevestigt het uitstel van hoog-risico-eisen (2 december 2027) en de termijn tot 2 december 2026 voor machine-leesbare markering, en maakt de AI-geletterdheidsplicht lichter. We hebben de passages over die termijn en over AI-geletterdheid hierop aangepast; meer over het uitstel lees je in AI Act: hoog-risico-regels uitgesteld tot december 2027.
Stand van zaken 15 juni 2026 Dit artikel gaat over wat er op 2 augustus 2026 verandert — de dag waarop de EU AI Act van geschreven regel naar handhaafbare wet schuift. Voor de juridische basis lees je De EU AI Act — wat je echt moet weten als je met AI werkt.
Een datum die je in je agenda wilt
Tot nu toe was de EU AI Act voor de meeste mensen iets om over te lezen. Een wet met deadlines ver weg, toezichthouders die nog benoemd moesten worden, en een Commissie die nog niet kon ingrijpen. Op 2 augustus 2026 verandert dat. Vanaf die dag krijgt de Europese Commissie de bevoegdheid om aanbieders van algemene AI-modellen daadwerkelijk te controleren en te beboeten (Bron: EU AI Act — Enforcement of Chapter V). Tegelijk gaan transparantieregels in die je in je dagelijks leven merkt.
Het gekke is dat veel van de aandacht naar de grote modellenbouwers gaat, terwijl de regel die jij het snelst merkt veel kleiner en concreter is: een chatbot moet voortaan vertellen dat hij een chatbot is — of je nu bij een webshop aanklopt of een organisatie runt die er zelf één inzet. Daar beginnen we.
Wat er op 2 augustus voor de grote modellen verandert
De aanbieders van wat de wet “general-purpose AI” noemt — de modellen achter ChatGPT, Claude, Gemini en hun open-source tegenhangers — moesten sinds 2 augustus 2025 al voldoen aan een set verplichtingen: technische documentatie, een samenvatting van hun trainingsdata en een auteursrechtenbeleid. Wat ontbrak, was iemand die kon afdwingen dat het ook echt gebeurde.
Die handhaving start nu. De Commissie, via het AI Office in Brussel, mag vanaf 2 augustus 2026 documentatie en informatie opvragen, evaluaties van modellen uitvoeren, maatregelen eisen rond naleving en risicobeperking, en boetes opleggen (Bron: EU AI Act — Enforcement of Chapter V). De modelbouwers kregen bewust een jaar adempauze tussen de inwerkingtreding van de regels en het moment waarop Brussel kan ingrijpen.
Waarom zou jou dat iets schelen als je zelf geen model traint? Omdat het toezicht op de modellen Europees ligt, terwijl jouw eigen naleving lokaal blijft. Het betekent dat je bij het kiezen van een AI-leverancier mag verwachten dat die zijn modeldocumentatie en databeleid op orde heeft. Een aanbieder die dat na augustus niet kan tonen, loopt zelf tegen de Commissie aan — en jij wilt niet je bedrijfsproces bouwen op een leverancier die straks gedwongen wordt iets te wijzigen.
Beginner-tip “GPAI” klinkt technisch, maar het betekent simpelweg een breed inzetbaar AI-model dat van alles kan: tekst schrijven, samenvatten, code maken, beelden genereren. Jij gebruikt zo’n model elke keer dat je ChatGPT of Claude opent. Je hoeft zelf niets aan de modelregels te doen; die liggen bij de bouwer. Wat jíj moet regelen, staat verderop in dit stuk.
De regel die jou het snelst raakt: Artikel 50
Het hart van deze deadline voor de gewone gebruiker is Artikel 50, de transparantieparagraaf. Die geldt niet alleen voor hoog-risico-systemen, maar voor élk AI-systeem dat in één van vier situaties wordt gebruikt (Bron: A Practical Guide to Article 50). De vier situaties:
- AI die direct met mensen praat — chatbots, virtuele assistenten, geautomatiseerde telefoonlijnen.
- AI die synthetische content maakt — beeld, audio, video en tekst die door een model zijn gegenereerd.
- AI die emoties of biometrie inschat — stress- of stemmingsherkenning, demografische categorisering.
- AI die deepfakes maakt of publieksgerichte tekst publiceert over zaken van maatschappelijk belang.
Volgens de Compliance Checker van het AI Act-team is transparantie na AI-geletterdheid de meest voorkomende verplichting: ze raakt zo’n 33% van alle organisaties die de check deden. Voor veel bedrijven is dit dus dé compliance-opgave, niet een randgeval. Let op dat een deel van die toepassingen niet alleen meldingsplichtig is maar ronduit verboden: emotieherkenning op de werkvloer en karakterprofielen uit je gezicht mogen sinds februari 2025 niet meer. We zochten uit of AI je persoonlijkheid kan lezen.
De rolverdeling is belangrijk. Voor een chatbot ligt de ontwerpplicht bij de aanbieder van het systeem: die moet het zo bouwen dat de gebruiker weet dat hij met AI praat. Maar als jij AI-tekst publiceert, een deepfake inzet of een emotieherkennings-tool gebruikt, dan ben jíj als deployer verantwoordelijk voor de melding (hoe redacties zulke beeldmanipulatie opsporen, lees je hier). Veel organisaties — van eenmanszaak tot gemeente — zitten in beide rollen tegelijk. Ook een politieke partij die AI-beeld verspreidt is deployer, zoals de Spaanse PP met haar AI-montage van premier Sánchez.
Wat je als gebruiker concreet moet melden
Draai je een klantenservice-chatbot, dan moet die zich bekendmaken als AI — bij of vóór de eerste interactie, in duidelijke en herkenbare vorm. De Commissie is expliciet over wat níet volstaat: een minuscuul zinnetje in de footer, een vaag label, of een mededeling weggestopt in de algemene voorwaarden. Er bestaat een uitzondering wanneer het voor een redelijk oplettend persoon overduidelijk is dat het AI betreft, maar de richtlijnen vragen je om dat per doelgroep te onderbouwen in plaats van het aan te nemen. Wat die chatbot-meldplicht betekent vanuit het perspectief van de klánt — en wat je kunt doen als een bot zich niet aan de regels houdt — werken we apart uit in Sinds 2 augustus weet je of je met AI praat.
Publiceer je AI-gegenereerd beeld of video — productshots, hero-afbeeldingen, demovideo’s — dan komt de markeringsplicht in zicht. Voor AI-gegenereerde tekst die je publiceert met het doel het publiek te informeren over maatschappelijke onderwerpen geldt een meldplicht, tenzij er een mens met redactionele verantwoordelijkheid naar heeft gekeken. Die laatste uitzondering is precies waarom een redactionele eindcontrole meer waard is dan alleen een compliance-vinkje.
Gevorderden De Commissie publiceerde op 10 juni 2026 een vrijwillige Code of Practice voor het markeren en labelen van AI-gegenereerde content, met bijbehorende EU-iconen om AI-content te labelen. De code is vrijwillig, maar de Commissie en de AI Board bevestigden inmiddels dat hij een adequaat instrument is om naleving van artikel 50 aan te tonen; wie tekent, kan op de maatregelen erin leunen (Bron: Europese Commissie). Sluit je productie-workflow erop aan: C2PA-metadata van leveranciers als Adobe Firefly of OpenAI dekt al een groot deel van de machine-leesbaarheidseis.
De twee data, en het uitstel dat veel mensen missen
Er zijn twee data die ertoe doen. De hoofdregel: 2 augustus 2026, de dag waarop de transparantieregels ingingen. De uitzondering: voor generatieve AI-systemen die vóór die datum al op de markt waren, geldt onder de AI Omnibus (in werking sinds 27 juli 2026) een verlengde termijn tot 2 december 2026 om aan de machine-leesbare markeringseis te voldoen (Bron: A Practical Guide to Article 50).
Praktisch betekent dat: de melding dat je chatbot AI is, en de transparantie richting bezoekers, moest per 2 augustus geregeld zijn. Het uitstel tot 2 december gaat over de technische markering die de AI-tool zelf in beeld of video stopt (de plicht van de aanbieder van die tool), niet over een vrijbrief voor content die jij publiceert. De zwaardere high-risk-eisen, zoals het verplicht loggen van wat een AI deed, komen pas later — daarover gaat AI nam een besluit over jou — kan iemand bewijzen wat er gebeurde?.
De hele tijdlijn op een rij
Raad en Parlement bereikten op 7 mei 2026 een politiek akkoord over het Digital Omnibus-pakket (Bron: Raad van de EU). Sinds de inwerkingtreding op 27 juli 2026 liggen deze data vast:
| Datum | Wat gaat er gelden | Veranderd door het Omnibus? |
|---|---|---|
| 2 februari 2025 | Verboden praktijken en AI-geletterdheid (artikel 4) | Geletterdheidsplicht lichter geformuleerd |
| 2 augustus 2025 | Regels voor grote AI-modellen (GPAI) | Nee |
| 2 augustus 2026 | Transparantie en chatbot-melding (artikel 50), handhaving GPAI door de Commissie | Nee |
| 2 december 2026 | Machine-leesbare markering voor AI-systemen die al vóór 2 augustus 2026 op de markt waren, plus nieuwe verboden op nudify-apps en AI-kindermisbruikmateriaal | Nieuw |
| 2 augustus 2027 | Elke lidstaat heeft minstens één regulatory sandbox | Ja, uitgesteld van augustus 2026 |
| 2 december 2027 | Hoog-risico-eisen voor de meeste toepassingen (bijlage III) | Ja, uitgesteld van augustus 2026 |
| 2 augustus 2028 | Hoog-risico-eisen voor AI in producten zoals liften en speelgoed (bijlage I) | Ja, uitgesteld |
Het nieuwe verbod van 2 december 2026 is op initiatief van het Europees Parlement toegevoegd. Het richt zich op AI-systemen die realistische naaktbeelden van bestaande mensen zonder hun toestemming maken, en op systemen die kindermisbruikmateriaal genereren (Bron: Orrick). De volledige uitleg over het uitstel lees je in AI Act: hoog-risico-regels uitgesteld tot december 2027.
AI-geletterdheid — de stille verplichting die al geldt
Voordat je aan Artikel 50 begint, is er een eis die nóg breder is en al sinds 2 februari 2025 van kracht: AI-geletterdheid (Artikel 4). Iedere organisatie die AI inzet, moest ervoor zorgen dat de mensen die ermee werken of er beslissingen op baseren genoeg kennis hebben om dat verantwoord te doen. Sinds de AI Omnibus van 27 juli 2026 is die plicht afgezwakt: organisaties moeten nu maatregelen nemen die AI-geletterdheid ondersteunen, en de Commissie en lidstaten krijgen een grotere rol. Het is de vloer waar de hele wet op staat, en in de Compliance Checker de allermeest voorkomende trigger.
Voor een klein bureau hoeft dat geen meerdaagse cursus te zijn. Een korte interne sessie over wat AI wel en niet kan, hoe je hallucinaties herkent en wat je beter niet in een prompt zet, plus een schriftelijke afspraak over wie AI gebruikt — dat is verdedigbaar. Het sluit aan op een punt dat we eerder maakten over wat je beter níet in ChatGPT zet: geletterdheid en gegevensbescherming lopen in de praktijk in elkaar over. Wat artikel 4 precies van een MKB-bedrijf vraagt, en hoe je het in een middag regelt zonder dure cursus, staat in AI-geletterdheid in het MKB: zo voldoe je aan artikel 4.
Wie houdt in Nederland toezicht?
Een veelgehoord misverstand: “we vallen onder de AP, dus die regelt al ons AI-toezicht.” Dat klopt maar half. In het stelsel dat het kabinet op 20 april 2026 voorstelde, houden de bestaande sectortoezichthouders elk binnen hun eigen domein toezicht. De Autoriteit Persoonsgegevens (AP) en de Rijksinspectie Digitale Infrastructuur (RDI) vormen de coördinerende as (Bron: Rijksoverheid). Werk je in de zorg (IGJ) of de financiële sector (AFM en DNB), dan krijg je waarschijnlijk meer dan één gesprekspartner. AI in het onderwijs valt in het voorstel onder de AP, niet onder de Onderwijsinspectie (Bron: internetconsultatie).
Formeel ligt die verdeling nog niet vast. De Uitvoeringswet AI-verordening was tot 1 juni 2026 in consultatie en moet daarna nog langs de Raad van State en het parlement. De Europese regels gelden intussen gewoon, want een EU-verordening werkt rechtstreeks. Wat er nog ontbreekt, zijn de formeel aangewezen Nederlandse toezichthouders en hun boetebevoegdheden. AP en RDI bereiden het toezicht wel al voor en verwachten dat je AI-geletterdheid en transparantie nu op orde hebt.
Voor de grote AI-modellen zelf (GPT, Claude, Gemini, Llama) ligt het toezicht Europees, bij het AI Office in Brussel. Jouw leverancierscontracten en de documentatie die je opvraagt, hebben dus een Europese basis, ook al regel je je eigen naleving in Nederland. Hoe ver de grote modellen daarbij zijn, mat het Amsterdamse Aithos-instituut: Claude Opus 4.7 haalde 54 procent naleving van AVG en AI Act, Gemini 3.1 Pro 10 procent.
Beginner-tip Een toezichthouder is de instantie die controleert of bedrijven zich aan de regels houden en die kan ingrijpen als dat niet zo is. Voor de AI Act zijn dat in Nederland straks meerdere instanties tegelijk, afhankelijk van je sector.
Nederlandse alternatieven: GPT-NL en de AI-fabriek Groningen
Naast de regels verandert ook de Nederlandse AI-infrastructuur. Dat is geen juridische verplichting, maar het verbreedt je opties als dataresidentie, herkomst van trainingsdata en controleerbaarheid zwaar wegen, zoals bij overheid, zorg en financiële dienstverlening.
- AI-fabriek Groningen. EuroHPC kende €70 miljoen toe voor een Europese AI-fabriek in Groningen, met een totale investering van €200 miljoen (Bron: SURF). De supercomputer komt in 2027 bij Eurofiber op de Zernike Campus te staan en is volgens SURF begin 2028 volledig operationeel (Bron: SURF).
- GPT-NL. TNO, NFI en SURF trainden het Nederlandse taalmodel op de nationale supercomputer Snellius, met uitsluitend rechtmatig verkregen data (Bron: GPT-NL). Hoe ver de uitrol is, lees je in GPT-NL klaar voor gebruik: de eerste klanten.
- Internationale AI-strategie. Op 3 juli 2026 stuurde het kabinet een internationale AI-strategie naar de Tweede Kamer, met minder strategische afhankelijkheid als een van de drie hoofddoelen: Kabinet presenteert internationale AI-strategie. Op 23 juni 2026 trad Nederland daarnaast toe tot Pax Silica, de VS-geleide alliantie voor de AI- en chipketen.
Gevorderden Bouw je nu een AI-stack, leg dan een abstractielaag tussen je applicatie en het model, en log welke modelversie welke uitvoer gaf. Dan kun je later wisselen tussen een Amerikaanse aanbieder en een Europese stack zonder alles opnieuw te bouwen, en heb je de logging al klaar voor de hoog-risico-eisen van december 2027.
Zet je zelf AI in? Een checklist voor najaar 2026
Lees je dit als consument, dan is de kern simpel: je hebt sinds 2 augustus 2026 het recht om te weten wanneer je met AI praat of naar AI-content kijkt. Diezelfde transparantie-vraag speelt bij de AI-assistenten die je browser overnemen, waar je goed moet weten welke rechten je weggeeft — we vergelijken ze in AI-browsers vergeleken. Zet je zélf AI in — als ondernemer, vereniging of overheidsteam — dan komt het hierop neer (zolang je geen hoog-risico-systemen bouwt):
- Chatbot- en transparantiemelding live (verplicht sinds 2 augustus 2026): bezoekers weten dat ze met AI praten, duidelijk en niet verstopt.
- Inventaris van AI-content (beeld, video, publieksgerichte tekst) gemaakt en labeling geregeld; check of je AI-tools vóór 2 december 2026 machine-leesbaar markeren.
- AI-geletterdheid schriftelijk vastgelegd: wie gebruikt AI, voor welk proces, welke uitleg kregen ze.
- Leverancierscheck: modeldocumentatie, databeleid en aanpak voor AI-content opgevraagd bij je top-drie AI-tools.
- Eigenaar aangewezen voor AI-naleving — vaak de DPO of een businessverantwoordelijke, niet “iedereen en dus niemand”.
Wil je de keuze tussen de grote modellen op compliance afwegen voordat je iets vastlegt? Op onze tools-site staat een keuzehulp tussen ChatGPT, Claude en Gemini die je helpt bepalen welke leverancier bij je werkwijze past. En als je toch een AI-budget opstelt, reken dan verder dan de licentieprijs: onze analyse ChatGPT duurder dan een stagiair? laat zien wat training, governance en promptwerk er in de praktijk bovenop leggen.
Wat dit betekent
Buiten de EU loopt dezelfde discussie een stuk scherper: China noemt Amodei’s oproep om AI af te remmen ‘bangmakerij’.
De boodschap van 2 augustus is niet dat je ineens een juridische afdeling nodig hebt. De zware eisen rond hoog-risico-AI zijn met het 7 mei-akkoord doorgeschoven naar december 2027, en daar valt de gewone gebruiker buiten. Wat de hoogrisico-classificatie concreet betekent voor juridische AI-toepassingen, illustreert de zaak van Garfield AI — de eerste AI-advocaat die een rechtszaak won: zulke systemen vallen expliciet onder de hoogrisico-categorie, en dat heeft gevolgen voor wie in Nederland iets vergelijkbaars zou willen bouwen. Wat wél verandert, geldt twee kanten op. Als consument krijg je een recht: weten wanneer iets AI is. Zet je zelf AI in, dan gaat de vrijblijvendheid eraf — een chatbot die niet meldt dat hij AI is, ongelabelde AI-beelden, of mensen die nooit iets over verantwoord AI-gebruik hebben gehoord zijn sinds 2 augustus 2026 aanwijsbare gaten. Eén werkdag is genoeg om ze te dichten, een stuk goedkoper dan wachten tot het toezicht in 2027 is opgeschaald. Hoe anders de Verenigde Staten het aanpakken, zie je aan het vrijwillige Witte Huis-akkoord over superintelligentie.