Wat geldt er vandaag al van de AI-verordening?
De verplichtingen die nu van kracht zijn, wat pas later komt, en waarom dat verschil minder geruststellend is dan het lijkt.
Laatst nagekeken: 4 september 2026
De meest voorkomende aanname over de AI-verordening is dat ze pas later gaat gelden. Die aanname klopt voor het zwaarste deel en niet voor de rest.
Drie categorieën verplichtingen zijn vandaag al van kracht. Twee daarvan sinds februari 2025, één sinds augustus 2026.
Wat nu geldt
De verboden praktijken (artikel 5), sinds 2 februari 2025
Deze kennen geen overgangstermijn en geen route naar conformiteit. Valt een systeem eronder, dan is de enige uitkomst ermee stoppen of het herontwerpen. Het boeteplafond is het hoogste dat de verordening kent: tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet.
De AI-geletterdheidsplicht (artikel 4), sinds 2 februari 2025
Elke aanbieder en gebruiksverantwoordelijke moet zorgen voor een passend kennisniveau bij de medewerkers die met AI-systemen werken. De Digital Omnibus heeft deze in juli 2026 verzacht tot een inspanningsverplichting: aantoonbare maatregelen nemen, geen gegarandeerd niveau per persoon.
De transparantieverplichtingen (artikel 50), sinds 2 augustus 2026
Deze gelden in specifieke situaties: wanneer iemand rechtstreeks met een AI-systeem communiceert, bij synthetisch gegenereerde inhoud, bij deepfakes, en bij emotieherkenning of biometrische categorisering waar die is toegestaan. Het is geen algemene transparantieplicht voor elk AI-systeem.
De acht verboden praktijken
Artikel 5 verbiedt acht praktijken:
- Schadelijke manipulatie van gedrag, buiten het bewustzijn van de betrokkene om
- Uitbuiting van kwetsbaarheden door leeftijd, handicap of een specifieke sociale of economische situatie
- Sociale scoring, door overheden én private partijen
- Inschatten van het risico dat iemand een strafbaar feit pleegt, uitsluitend op basis van profilering of persoonlijkheidskenmerken
- Ongericht verzamelen van gezichtsopnamen van internet of uit camerabeelden, om gezichtsherkenningsdatabanken op te bouwen
- Emotieherkenning op de werkplek en in het onderwijs, behoudens medische en veiligheidsredenen
- Biometrische categorisering die gevoelige kenmerken afleidt, zoals ras, politieke overtuiging, religie, seksuele gerichtheid of vakbondslidmaatschap
- Realtime biometrische identificatie op afstand in publiek toegankelijke ruimten voor rechtshandhaving, met limitatief omschreven uitzonderingen die vooraf gemachtigd moeten zijn
De meeste organisaties gebruiken geen van deze bewust. Twee situaties zijn wel realistisch, en het zijn precies de twee die in ingekochte software verstopt zitten.
Personeelssoftware die betrokkenheid of stress meet
Systemen die via stemanalyse, gezichtsuitdrukking of lichaamshouding de gemoedstoestand van medewerkers afleiden, vallen onder het verbod. Ook wanneer de medewerker toestemming geeft.
Let op het aanknopingspunt: het verbod geldt voor het afleiden van emoties uit biometrische gegevens. Sentimentanalyse op geschreven tekst valt er doorgaans buiten. Dat onderscheid is precies waarop leveranciers zich beroepen, dus het loont om na te gaan waarop hun systeem zich werkelijk baseert.
Leerplatformen met engagement-detectie
Software die via webcam concentratie, frustratie of aandacht van leerlingen meet, valt onder hetzelfde verbod. Ook hier maakt toestemming geen verschil.
Waar de grens precies loopt
Vier afbakeningen die in de praktijk het vaakst verkeerd gaan.
Emotieherkenning bij klanten is niet verboden
Het verbod is beperkt tot de werkplek en het onderwijs. Bij klanten is het niet vrij: het raakt snel aan biometrische categorisering, en onder de AVG gaat het om bijzondere persoonsgegevens. De smalle reikwijdte van het verbod is dus geen vrijbrief.
Er bestaat een uitzondering om medische of veiligheidsredenen
Detectie van vermoeidheid of nood bij een bestuurder is geen werknemersmonitoring en valt buiten het verbod. Die uitzondering moet wel vooraf worden vastgesteld en gedocumenteerd.
Kredietscoring is geen sociale scoring
Geautomatiseerde kredietbeoordeling door een bank valt niet onder het verbod, maar wel onder de hoogrisicocategorie, met eigen verplichtingen die later ingaan.
Toegangscontrole met gezichtsherkenning is geen verboden praktijk. Het verbod op realtime biometrische identificatie geldt in publiek toegankelijke ruimten en voor rechtshandhaving. Inloggen op uw eigen apparaat of toegang tot uw eigen gebouw valt daarbuiten.
Bij examentoezicht loopt de grens midden door één product: het detecteren van kijkrichting of schermactiviteit is hoogrisico en toegestaan, het afleiden van emoties is verboden. Dezelfde techniek, andere kwalificatie.
Wat er nog niet geldt
De verplichtingen voor hoogrisicosystemen zijn door de Digital Omnibus verschoven naar 2 december 2027 voor zelfstandige systemen en 2 augustus 2028 voor AI in gereguleerde producten.
Daarnaast komt er per 2 december 2026 nog iets bij: de Digital Omnibus voegt twee verboden toe, rond AI voor materiaal van seksueel kindermisbruik en rond niet-consensuele intieme synthetische inhoud, met bijhorende technische waarborgen vanaf die datum
Waarom uitstel geen rust is
Drie redenen waarom "pas in 2027" een gevaarlijke lezing is.
- Het verbod loopt nu
- Er is geen overgangsperiode en geen conformiteitsroute. En hoewel het nationale toezicht in verschillende lidstaten nog wordt ingericht, betekent het ontbreken van een aangewezen toezichthouder niet dat er niets kan gebeuren: medewerkers of derden kunnen zich vandaag al op de verordening beroepen in een procedure.
- De toets is een bewijsstuk
- Voor elk systeem moet aantoonbaar zijn dat de artikel 5-toets is uitgevoerd, met de uitkomst en de motivering. Ook de conclusie dat er géén verboden praktijk is, is bewijs. Wie die toets nooit heeft gedocumenteerd, heeft niets om voor te leggen.
- De toets vervalt bij elke wijziging
- Een eerder akkoord dekt geen nieuwe inzet. Elk nieuw systeem, elke aankoop en elke wezenlijke verandering van doel of context vraagt een nieuwe beoordeling.
- Daar komt bij dat de tijd tot december 2027 niet vrij is. De hoogrisicoverplichtingen vragen risicobeheer, datagovernance, technische documentatie, logging en menselijk toezicht. Dat is werk van maanden, geen formaliteit die je in de laatste weken afhandelt.
Waar te beginnen
De eerste stap is geen juridische maar een feitelijke: weten welke AI uw organisatie werkelijk gebruikt. In de praktijk is dat de moeilijkste stap, omdat het meeste niet als AI is aangekocht maar meekwam in een HR-pakket, een leerplatform, een ERP-module of een klantcontactsysteem.
Dat is wat een AI Act-audit als eerste doet: de systemen in kaart brengen, per systeem bepalen welke rol u inneemt, en per systeem de artikel 5-toets documenteren. Pas daarna wordt de vraag naar hoogrisico relevant.
De juridische kwalificatie is daarbij het werk van de aangesloten advocaten, in eigen naam en onder eigen beroepsaansprakelijkheid. Wij voeren de audit uit en stellen het rapport samen. Wij beoordelen geen conformiteit en geven geen certificaat af.