Het Digital Omnibus-dossier: wat er verschuift, wat vastligt en wat nog moet

Geen AI-reguleringsonderwerp veroorzaakt in 2026 zoveel verwarring als de Digital Omnibus. De een leest "uitstel" en legt zijn voorbereiding stil, de ander wijst erop dat er juridisch nog niets veranderd is. Beide hebben een punt — en wie het dossier scherp heeft, weet precies welk werk doorgaat en welk werk lucht krijgt.

Wat er op 7 mei 2026 is afgesproken

De Raad en het Europees Parlement bereikten een voorlopig politiek akkoord over het AI-deel van de Digital Omnibus, de vereenvoudigingsagenda van de Commissie. De kern:

Onderwerp	Geldende tekst	Politiek akkoord
Hoogrisico, bijlage III	2 augustus 2026	2 december 2027
Hoogrisico, bijlage I (producten)	2 augustus 2027	2 augustus 2028
Transparantie, artikel 50	2 augustus 2026	2 december 2026
Nieuw verbod, artikel 5 (nudifiers/CSAM)	—	2 december 2026

Naast het verschuiven van data voegt de Omnibus ook een nieuw verbod toe aan artikel 5: AI-systemen die niet-consensueel intiem beeldmateriaal ("nudifiers") of materiaal van seksueel kindermisbruik (CSAM) genereren of manipuleren. Dat verbod geldt vanaf 2 december 2026 (zie de verboden praktijken). Daarnaast wordt de formulering van enkele bepalingen verzacht — waaronder artikel 4 (AI-geletterdheid), waarvan de plicht zelf en de toepassingsdatum overigens ongemoeid blijven.

Wat uitdrukkelijk níet verschuift

De bepalingen die al gelden, raakt het akkoord niet: de verboden praktijken en de geletterdheidsplicht (sinds 2 februari 2025), het GPAI-regime (sinds 2 augustus 2025) en de handhavingsbevoegdheid van het AI Office per 2 augustus 2026. Ook de nationale toezichtsstructuren worden gewoon per 2 augustus 2026 operationeel. Wie "de AI Act is uitgesteld" zegt, zegt het dus te breed: alleen het hoogrisicoblok en de transparantielaag schuiven.

De weg van akkoord naar wet

Een voorlopig politiek akkoord is de laatste inhoudelijke stap, maar niet de laatste stap. Het dossier is sindsdien doorgeschoven: de ambassadeurs van de lidstaten (Coreper) bekrachtigden de tekst op 13 mei 2026, en op 16 juni 2026 nam het Europees Parlement hem plenair aan met 423 stemmen vóór, 57 tegen en 174 onthoudingen. Daarmee is de inhoudelijke parlementaire fase afgerond. Er resten nog: formele aanname door de Raad, ondertekening door de twee voorzitters, en publicatie in het Publicatieblad — algemeen verwacht in juli 2026, vóór de datum van 2 augustus 2026. Tot die publicatie is Verordening (EU) 2024/1689 in haar huidige vorm de geldende norm — met 2 augustus 2026 als datum voor het hoogrisicoblok. Dat is geen formaliteit: organisaties die hun voorbereiding volledig stilleggen, nemen een juridisch risico zolang de wijziging niet bekendgemaakt is, hoe waarschijnlijk de uitkomst ook is.

De aangenomen tekst bevestigt de data in de tabel hierboven en scherpt enkele punten aan waar het Parlement op stond: het nieuwe artikel 5-verbod is zo geformuleerd dat het AI dekt die materiaal van seksueel kindermisbruik genereert of zonder toestemming de intieme delen of seksuele handelingen van een identificeerbare persoon afbeeldt; overlappende eisen voor machineproducten vervallen; het begrip "veiligheidscomponent" wordt verduidelijkt; en de lichtere uitzonderingen worden van het mkb uitgebreid naar kleine midcap-ondernemingen.

Waar de gegevensbeschermingsautoriteiten bezwaar tegen maken

Vereenvoudiging is niet onomstreden. Op 21 januari 2026 namen het Europees Comité voor gegevensbescherming (EDPB) en de Europese Toezichthouder voor gegevensbescherming (EDPS) Gezamenlijk Advies 1/2026 over het voorstel aan. Zij steunen het aanpakken van werkelijke uitvoeringsproblemen, maar waarschuwen dat administratieve vereenvoudiging de bescherming van grondrechten niet mag verlagen. Drie bezwaren springen eruit: het schrappen van de plicht om zelfstandige hoogrisicosystemen in de EU-databank te registreren zou volgens hen de verantwoording aanzienlijk ondermijnen; het verwerken van bijzondere categorieën persoonsgegevens voor het opsporen van bias zou beperkt moeten blijven tot "voldoende ernstige" risico's; en de gegevensbeschermingsautoriteiten zouden hun centrale toezichtsrol op persoonsgegevensverwerking binnen regulatory sandboxes moeten behouden. Het advies is niet bindend, maar markeert de breuklijn waarlangs de medewetgevers moesten manoeuvreren — en wijst aan waar de handhavingsaandacht zich waarschijnlijk concentreert zodra de gewijzigde tekst van toepassing is.

Hoe organisaties hier verstandig mee omgaan

Drie vuistregels. Eén: plan op de nieuwe data, maar documenteer het besluit en de aanname ("politiek akkoord, publicatie verwacht") zodat de afweging uitlegbaar blijft. Twee: gebruik de gewonnen tijd voor de bouwstenen die toch al gelden of nooit weggaan — het AI-register, geletterdheid, de verbodsscreening, datakwaliteit. Drie: leg in contracten met leveranciers en afnemers beide tijdlijnen vast, met de publicatie in het Publicatieblad als omslagpunt. Deze kennisbank houdt het dossier bij; zodra de gewijzigde verordening verschijnt, worden de tijdlijn, het statusbord en dit dossier dezelfde dag bijgewerkt.