AI Act-tijdlijn: wat er in 2026 daadwerkelijk in werking is getreden

In de juridische infrastructuur van de Europese Unie vormt het jaar 2026 het absolute scharnierpunt voor de regulering van kunstmatige intelligentie. Wie de fundamentele opbouw van de verordening wil nalezen, raadpleegt het artikel over de EU AI Act uitleg waarin de basisstructuur gedetailleerd wordt uiteengezet. In dit overzicht richten we ons op de concrete juridische werkelijkheid van 2026: wat er op 2 augustus 2026 onverkort van kracht werd, welke bepalingen door recente ingrepen van de Europese wetgever zijn verschoven, en welke verplichtingen organisaties per direct moeten naleven om boetes en handhavingsmaatregelen te voorkomen.

De gefaseerde invoering van Verordening (EU) 2024/1689 is ontworpen om de markt geleidelijk aan te passen aan de nieuwe eisen. Echter, door interventies in het Europese wetgevingsproces in de zomer van 2026 is het invoeringspad op cruciale onderdelen aangepast. Om direct vast te stellen onder welke juridische risicocategorie een specifiek AI-systeem valt, kunnen organisaties de EU AI Act categorie-checker raadplegen waarmee de toepasselijke verplichtingen snel in kaart worden gebracht. Alle datum- en statusclaims in deze analyse zijn zorgvuldig gecontroleerd op 2026-08-07.

De officiële EC-tijdlijn: een geactualiseerd overzicht

De introductie van de AI Act volgt een wettelijk vastgelegd stappenplan dat over een periode van vier jaar uitrolt. Volgens de geactualiseerde richtlijnen van de EC AI Act Service Desk, gecontroleerd op 2026-08-07, ziet de officiële fasering van de verordening er als volgt uit:

• 01 augustus 2024 — Inwerkingtreding: De verordening trad twintig dagen na publicatie in het Publicatieblad van de Europese Unie officieel in werking. Dit markeerde de start van de wettelijke overgangstermijnen.
• 02 februari 2025 — Algemene bepalingen en verboden AI-praktijken: De algemene definities uit Hoofdstuk I en de absolute verboden op onaanvaardbare AI-risico's uit Artikel 5 (zoals sociale kredietscoring, subliminale beïnvloeding en ongerichte scraping van gelaatsafbeeldingen) werden direct van kracht. Handhaving op deze verboden startte op dezelfde datum.
• 02 augustus 2025 — GPAI-regels en bestuursstructuur: De voorschriften voor General-Purpose AI (GPAI)-modellen, de verplichtingen voor modelaanbieders met systeemrisico's, de oprichting van het Europese AI Office en de aanstelling van de Scientific Panel van onafhankelijke deskundigen werden operationeel.
• 02 augustus 2026 — Hoofdmoot van de verordening en start algemene handhaving: De algemene toepassing van de AI Act trad in werking. Dit omvat de verplichte AI-geletterdheid voor organisaties (Artikel 4), de uitgebreide transparantieplichten (Artikel 50), en de formalisering van de nationale toezichts- en handhavingsbevoegdheden.
• 02 december 2026 — Nieuwe verboden en watermerkovergangstermijn: Inwerkingtreding van het negende verbod in Artikel 5 (gericht op AI-systemen voor non-consensuele intieme beelden en CSAM), evenals het verstrijken van de specifieke overgangstermijn voor watermerkintegratie onder Artikel 50 lid 2.
• 02 augustus 2027 — Verplichte regulatory sandboxes in lidstaten: Elke EU-lidstaat moet op deze datum ten minste één nationale proeftuin voor regelgeving (regulatory sandbox) operationeel hebben om innovatie in verantwoorde AI te ondersteunen.
• 02 december 2027 — Toepassing op Annex III-hoogrisicosystemen: Inwerkingtreding van de zware conformiteits- en kwaliteitseisen voor op zichzelf staande hoog-risico AI-systemen (zoals AI in werving en selectie, kredietbeoordeling, rechtspraak en biometrie), verschoven via de Digital Omnibus.
• 02 augustus 2028 — Toepassing op Bijlage I-producten: Toepassing van de verplichtingen op AI-systemen die dienen als veiligheidscomponenten in reeds gereguleerde fysieke producten (zoals medische hulpmiddelen, luchtvaart, liften en machines).

Wat er sinds de oorspronkelijke planning veranderde

Het oorspronkelijke tijdspad uit 2024 ging ervan uit dat alle verplichtingen rondom hoog-risico AI-systemen in bijlage III exact 24 maanden na inwerkingtreding — op 2 augustus 2026 — van kracht zouden worden. Tijdens de voorbereidende fasen in de eerste helft van 2026 bleek echter dat zowel de markt als de Europese standaardisatie-organisaties meer tijd nodig hadden. Het ontbreken van volledig afgeronde geharmoniseerde Europese normen (CEN/CENELEC) dreigde te leiden tot rechtsonzekerheid en juridische patstellingen bij conformiteitsbeoordelingen.

Om een juridisch vacuüm te voorkomen, heeft de Europese wetgever in het zomerreces van 2026 ingegrepen door middel van gerichte wetgeving. Hierdoor is er een scherp onderscheid ontstaan tussen wat per augustus 2026 wél verplicht is geworden en wat is uitgesteld naar latere jaren. Alle wijzigingen ten opzichte van de oorspronkelijke verordening zijn op 2026-08-07 feitelijk vastgesteld en van kracht.

De Digital Omnibus op AI en de verschoven termijnen

De belangrijkste juridische correctie in 2026 werd gerealiseerd door de vaststelling van de Digital Omnibus op AI (Verordening (EU) 2026/1744). Dit wetgevingsbesluit werd door de Raad en het Europees Parlement definitief vastgesteld op 8 juli 2026, vervolgens gepubliceerd in het Publicatieblad van de EU op 24 juli 2026, en is formeel in werking getreden op 27 juli 2026, precies op tijd om de deadline van 2 augustus 2026 aan te passen.

De Digital Omnibus heeft de ingangsdatum voor hoog-risico AI-systemen onder Bijlage III met zestien maanden verschoven van 2 augustus 2026 naar 2 december 2027. Voor AI-systemen die zijn ingebouwd in veiligheidsproducten onder Bijlage I is de vervaldatum vastgesteld op 2 augustus 2028. Deze verschuiving geeft fabrikanten, ontwikkelaars en notified bodies (aangemelde instanties) de nodige ruimte om audits en CE-markeringstrajecten zorgvuldig in te richten op basis van goedgekeurde normen.

Wat er op 2 augustus 2026 WÉL in werking is getreden

Het is een wijdverbreid misverstand dat de Digital Omnibus de gehele AI Act heeft uitgesteld. Op 2 augustus 2026 is de hoofdmoot van de algemene verordening onverkort van kracht geworden. Organisaties die AI-systemen ontwikkelen, importeren of toepassen binnen de EU moeten vanaf deze datum voldoen aan een reeks dwingende wettelijke voorschriften.

In de eerste plaats zijn de transparantievoorschriften uit Artikel 50 van de AI Act nu volledig afdwingbaar. Dit houdt in dat organisaties verplicht zijn om het voor natuurlijke personen duidelijk te maken wanneer zij interageren met een AI-systeem (zoals geautomatiseerde klantenservice chatbots). Daarnaast moeten synthetische audio-, video-, tekst- en beeldbestanden die door AI zijn gegenereerd of bewerkt, voorzien zijn van machinaal leesbare watermerken en technische meta-informatie die de AI-oorsprong aantoont.

In de tweede plaats is Artikel 4 van de AI Act geactiveerd. Dit artikel verplicht aanbieders en afnemers van AI-systemen om te zorgen voor een toereikend niveau van AI-geletterdheid bij hun personeel en bij personen die namens hen met AI-systemen werken. Werkgevers moeten aantonen dat hun medewerkers beschikken over de vereiste kennis om de werking, de risico's en de maatschappelijke impact van de door hen gebruikte AI-toepassingen te begrijpen.

Ten derde is op 2 augustus 2026 de volledige handhavingsstructuur voor General-Purpose AI (GPAI)-modellen operationeel geworden. Het Europese AI Office ziet vanaf nu actief toe op de naleving van documentatie-eisen, auteursrechtelijke transparantie en het risicobeheer bij systeemmodellen. Om de Europese vereisten te vergelijken met de regelgeving in andere mondiale markten, kunt u het achtergrondartikel over AI-wetgeving buiten de EU raadplegen voor een internationaal perspectief.

Nieuwe verboden en overgangsregels voor deepfakes

Naast het verlenen van uitstel voor hoog-risico kwalificaties heeft de Digital Omnibus ook extra handhavingsinstrumenten geïntroduceerd. Er is een nieuw wettelijk verbod toegevoegd aan Artikel 5 van de AI Act dat zich specifiek richt op het genereren, verspreiden of faciliteren van non-consensuele intieme beelden (waaronder zogenaamde 'nudification'-toepassingen) en beeldmateriaal van seksueel misbruik van minderjarigen (CSAM).

Dit negende verbodsbepalingsartikel wordt formeel van kracht op 2 december 2026. Nationale toezichthouders krijgen vanaf die datum de bevoegdheid om direct op te treden met dwangsommen en het offline halen van infrastructuren die dergelijke software beschikbaar stellen binnen de Europese markt.

Met betrekking tot overgangsregelingen geldt op grond van Artikel 50 lid 2 dat bestaande generatieve systemen tot 2 december 2026 de tijd krijgen om geavanceerde technische detecteerbaarheid en onuitwisbare watermerken volledig te integreren in hun software-architectuur. Vanaf 2 december 2026 vervalt deze gratieperiode en mogen ongecodeerde generatieve modellen niet langer op de Europese markt worden aangeboden.

Wat betekent dit voor organisaties: concrete implicaties

Voor bedrijven, overheidsinstellingen en maatschappelijke organisaties betekent de situatie per augustus 2026 dat er direct actie vereist is, ongeacht het uitstel voor hoog-risico systemen. Organisaties kunnen niet wachten tot 2027 om hun AI-governance in te richten.

De concrete implicaties die per direct (gecontroleerd op 2026-08-07) gelden zijn:

• Verplichte AI-inventarisatie en audit: Organisaties moeten exact in kaart brengen welke AI-systemen in gebruik zijn, welke gegevensbronnen worden gebruikt, en of er sprake is van generatieve AI-componenten die onder de transparantieverplichtingen vallen.
• Inrichten van AI-geletterdheidsprogramma's: Werkgevers moeten scholing faciliteren voor medewerkers die met AI werken. Dit betreft niet alleen technische training, maar ook bewustwording ten aanzien van ethiek, gegevensbescherming en de limieten van geautomatiseerde besluitvorming.
• Aanpassen van klantinterfaces en openbaarmakingen: Elke applicatie waarbij een eindgebruiker communiceert met een AI-systeem moet voorzien zijn van duidelijke en begrijpelijke notificaties. Bij het publiceren van AI-gegenereerde content moet de herkomst expliciet vermeld worden.
• Toepassing van de overgangsregel van Artikel 113 lid 2: Voor AI-systemen die al vóór 2 augustus 2026 op de markt waren of in gebruik waren genomen, geldt dat de regels van de AI Act pas van toepassing worden indien er na 2 augustus 2026 een significante wijziging wordt aangebracht in het ontwerp, het doel of de functionaliteit van het systeem. Het louter uitvoeren van onderhoud of kleine bugfixes geldt niet als significante wijziging, maar een herstructurering van het algoritme of een verandering in de trainingsdata wel.
• Voorbereiding op de 2027/2028-mijlpalen: Leveranciers van potentiële hoog-risico systemen (zoals AI voor personeelsselectie, toegang tot financiële diensten of kritieke infrastructuur) moeten de extra tijd benutten om hun Kwaliteitsmanagementsysteem (KMS) en risicobeheersingsprocessen op te bouwen.

De Nederlandse context en Uitvoeringswet AI-verordening

In Nederland wordt de Europese verordening nader verankerd via de nationale Uitvoeringswet AI-verordening. De voorbereiding hiervan bevindt zich in een beslissende fase. Tussen 20 april 2026 en 1 juni 2026 heeft het Ministerie van Economische Zaken en Klimaat de concept-uitvoeringswet opengesteld voor openbare internetconsultatie.

Uit de consultatiedocumenten blijkt dat het Nederlandse kabinet kiest voor een gedecentraliseerd, hybride toezichtsmodel. In plaats van het oprichten van één nieuwe, centrale AI-autoriteit worden de toezichtstaken verdeeld over tien bestaande markttoezichthouders. Dit betreft onder meer de Autoriteit Financiële Markten (AFM), De Nederlandsche Bank (DNB), de Nederlandse Voedsel- en Warenautoriteit (NVWA), de Nederlandse Zorgautoriteit (NZa), de Inspectie Gezondheidszorg en Jeugd (IGJ), en de Nederlandse Arbeidsinspectie.

Binnen deze structuur vervullen twee instanties een centrale, coördinerende rol:

• Autoriteit Persoonsgegevens (AP): De AP treedt op als coördinerend toezichthouder voor grondrechtenbescherming, algoritmes en verwerking van persoonsgegevens binnen AI-systemen. De AP herbergt tevens de Directie Algoritme-toezicht.
• Rijksinspectie Digitale Infrastructuur (RDI): De RDI is aangewezen als het wettelijke Single Point of Contact (SPOC) voor de Europese Commissie en overige EU-lidstaten. Daarnaast is de RDI verantwoordelijk voor de markttoezichthoudersrol op de algemene productveiligheid, GPAI-modellen en technische conformiteit.

Op de controledatum van 7 augustus 2026 is de Uitvoeringswet AI-verordening nog niet definitief aangenomen door de Tweede en Eerste Kamer; het wetsvoorstel bevindt zich na de verwerking van de consultatierespons in de fase van redactionele aanpassing en advisering door de Raad van State. Voor een uitgebreid overzicht van de bevoegdheidsverdeling en de rolverdeling tussen de diverse toezichthoudende instanties, zie het dossier over AI-toezicht in Nederland waarin de tien toezichthouders afzonderlijk worden behandeld.

Normering en technische standaarden: EN 18286

Een essentiële pijler onder de uitvoering van de AI Act is de ontwikkeling van geharmoniseerde Europese normen door CEN/CENELEC, de Europese standaardisatie-organisaties. Deze normen bieden concrete technische specificaties waaraan systemen moeten voldoen om te profiteren van het wettelijke 'vermoeden van conformiteit'.

Op 22 juli 2026 heeft CEN/CENELEC een belangrijke mijlpaal bereikt met de officiële publicatie van de geharmoniseerde norm EN 18286 (Quality Management System for AI applications). Deze norm specificeert de eisen voor het opzetten, implementeren en onderhouden van een kwaliteitsmanagementsysteem voor AI-ontwikkeling en AI-toepassingen.

EN 18286 fungeert als een praktisch kader dat aansluit bij bestaande ISO/IEC-normen (zoals ISO/IEC 42001), maar bevat specifieke toevoegingen die direct invulling geven aan de vereisten van de Europese AI Act op het gebied van risicobeheer, datagovernance, transparantie en menselijk toezicht. Hoewel de wettelijke verplichtingen voor hoog-risico systemen zijn uitgesteld naar 2027, wordt het hanteren van EN 18286 door de EC AI Act Service Desk nadrukkelijk aanbevolen als de beste praktijk voor organisaties die hun governance per direct op orde willen brengen.

Voor meer verdieping in het samenspel tussen Europese harmonisatienormen en internationale standaarden zie het overzicht van AI-standaarden en normering waarin de relevante ISO- en CEN-kaders grondig worden geanalyseerd.

Conclusie en strategische vooruitblik

De status van de EU AI Act per augustus 2026 toont een dubbel beeld. Aan de ene kant heeft de Europese wetgever pragmatisme getoond door het uitstellen van de zwaarste certificeringseisen voor hoog-risico systemen naar december 2027 en augustus 2028 via de Digital Omnibus. Dit voorkomt marktverstoringen en geeft organisaties de tijd om zich gedegen voor te bereiden met volwassen normen zoals EN 18286.

Aan de andere kant is het handhavingstijdperk wel degelijk aangebroken. Sinds 2 augustus 2026 zijn de verplichtingen rondom AI-geletterdheid, transparantie bij generatieve content, en toezicht op general-purpose AI-modellen van kracht. Met de naderende uitbreidingen in december 2026 en de definitieve vaststelling van de Nederlandse Uitvoeringswet moeten organisaties hun AI-beheer nu formeel inrichten. Naleving van de AI Act is niet langer een toekomstig vooruitzicht, maar een dagelijkse operationaliteit.