EU AI Act: hoogrisico-compliance deadline 2026

De deadline voor hoogrisico-compliance van de EU AI Act is een mondiaal regelgevend kantelpunt. Op 2 augustus 2026 treedt 's werelds eerste alomvattende AI-wet in een beslissende handhavingsfase, nadat de Digital Omnibus van mei 2026 de meeste zelfstandige hoogrisico-conformiteitsverplichtingen uitstelde tot 2 december 2027. De datum activeert nog steeds de transparantieregels van Artikel 50, beëindigt de GPAI-handhavingsperiode en start boetes tot €35 miljoen of 7% van de wereldwijde omzet. Met 78% van de ondernemingen onvoorbereid hervormt het Brussels Effect AI-governance AI-ontwerp van Silicon Valley tot Shanghai.

Wat is de hoogrisico-deadline van de EU AI Act?

De EU AI Act, Verordening (EU) 2024/1689, deelt AI in vier risiconiveaus in. Hoogrisicosystemen — werkgelegenheid, kredietscoring, medische diagnostiek, onderwijs, rechtshandhaving, migratie en kritieke infrastructuur — moeten voldoen aan de Artikelen 9-15 over risicobeheer, datagovernance, documentatie, transparantie, menselijk toezicht en robuustheid. De oorspronkelijke deadline was 2 augustus 2026, maar de Digital Omnibus verschoof zelfstandige Annex III-verplichtingen naar 2 december 2027 en ingebedde Annex I-AI naar 2 augustus 2028. 2 augustus 2026 activeert nog steeds Artikel 50-transparantieplichten zoals watermerken voor deepfakes. De wet geldt extraterritoriaal voor elke AI die EU-ingezetenen beïnvloedt, volgens Security Boulevard.

Waarom 2 augustus 2026 een mondiaal kantelpunt is

Boetes reiken tot €35 miljoen of 7% van de wereldwijde omzet voor verboden praktijken en €15 miljoen of 3% voor hoogrisico-overtredingen — hoger dan de GDPR-maxima. Elke organisatie wier AI-output EU-ingezetenen raakt, valt onder het bereik. Een rapport van de Thomson Reuters Foundation over bijna 3.000 bedrijven vond dat 47% van de bedrijven die de wet noemen buiten de EU is gevestigd, met de VS als grootste niet-EU-bron. De EU AI Act handhavingstijdlijn toont dat het Brussels Effect verankerd is in supply-chaincontracten en aanbestedingen. De EU-compliancemarkt wordt tegen 2030 geschat op €17-38 miljard, aldus Informed Clearly.

Hoogrisicosectoren en de Digital Omnibus

Annex III definieert acht hoogrisicodomeinen: biometrische identificatie, kritieke infrastructuur, onderwijs, werkgelegenheid, toegang tot essentiële diensten, rechtshandhaving, migratie en rechtsbedeling. Wervingsalgoritmen, kredietscoring en medische diagnostiek zijn het meest blootgesteld. De EU Digital Omnibus 2026 stelde zelfstandige Annex III-verplichtingen uit tot 2 december 2027 en ingebedde Annex I-AI tot 2 augustus 2028. Maar Artikel 50 veranderde niet: vanaf 2 augustus 2026 moeten deepfakes en AI-content gelabeld worden, en GPAI-modellen zoals ChatGPT en Claude krijgen bindende transparantie- en auteursrechtplichten. Bedrijven kunnen niet tot 2027 wachten.

Voorbereiding: checklist in 5 stappen

De readiness-analyse van Vision Compliance uit 2026 vond dat 78% van de ondernemingen geen betekenisvolle stappen zette, 83% geen formele AI-inventaris heeft en 74% geen compliance-verantwoordelijke. Om de kloof te dichten:

1. Bouw een volledige inventaris van AI-systemen in ontwikkeling en productie.
2. Classificeer elk systeem per risiconiveau met Annex I- en Annex III-criteria.
3. Wijs een benoemde AI-compliance-eigenaar met bestuurlijke verantwoordelijkheid aan.
4. Implementeer documentatie, risicobeheer en menselijk toezicht voor hoogrisicosystemen.
5. Bereid Fundamental Rights Impact Assessments voor bij inzet van hoogrisico-AI.

Volgens Axis Intelligence lopen de kosten uiteen van $500.000-$2 miljoen voor het mkb tot $8-15 miljoen voor grote ondernemingen, maar non-compliance is duurder. De grootste kloof is een AI-compliancekader, niet technische AI-capaciteit.

Perspectieven van experts

“De grootste kloof is niet technische AI-capaciteit, maar governance-infrastructuur — systeeminventarissen, risicoclassificaties, documentatie en toezicht,” aldus Vision Compliance. De Thomson Reuters Foundation voegt toe: “Bedrijven die de wet noemen presteren beter op governance, veerkracht en investeerdersvertrouwen.” Artikel 15 vereist nu continu adversariaal testen tegen MITRE ATLAS- en OWASP LLM Top 10-dreigingen, wat compliance verandert in een doorlopende AI-risicobeheerstandaarden-discipline.

Veelgestelde vragen

Wat gebeurt er op 2 augustus 2026?

De transparantieregels van Artikel 50 treden in werking: AI-content en deepfakes moeten worden gelabeld. De GPAI-handhavingsperiode eindigt en boetes tot €35 miljoen of 7% van de wereldwijde omzet worden gehandhaafd.

Geldt de wet ook buiten de EU?

Ja. De wet geldt extraterritoriaal voor elke organisatie wier AI-output EU-ingezetenen beïnvloedt.

Hoe hoog zijn de boetes?

Tot €35 miljoen of 7% van de wereldwijde jaaromzet voor verboden praktijken, en €15 miljoen of 3% voor hoogrisico-overtredingen.

Wat moeten bedrijven eerst doen?

Bouw een AI-inventaris, classificeer systemen naar risico, wijs een compliance-eigenaar aan en implementeer direct documentatie en toezicht.