Wegwijzer primaire bronnen: waar AI-regulering écht staat
Vastgesteld 2026-06-11 · ≈ 2 min lezen · 
redactie Dirk Baaijen
Wie AI-regelgeving wil volgen, kan beter drie primaire bronnen goed lezen dan dertig samenvattingen. Deze wegwijzer ordent de officiële vindplaatsen — Europees, Nederlands en normalisatie — en geeft per bron aan waarvoor je er moet zijn en waar je op moet letten.
Over AI-regulering wordt veel geschreven en weinig geciteerd. Samenvattingen verouderen snel — zeker nu toepassingsdata verschuiven — en nemen elkaars onnauwkeurigheden over. Deze wegwijzer ordent de bronnen waar de regels zelf staan, in drie lagen.
Laag 1: de Europese teksten en hun uitleggers
EUR-Lex is de enige authentieke vindplaats van Unierecht. Voor de AI-verordening (2024/1689) en DORA (2022/2554) geldt: gebruik de geconsolideerde versie zodra er wijzigingen zijn doorgevoerd, en controleer altijd artikel 113 respectievelijk de slotbepalingen voor de toepassingsdata — de datum van inwerkingtreding en de datum waarop een verplichting van toepassing wordt, verschillen stelselmatig.
Het AI Office van de Europese Commissie publiceert via de digital strategy-site de stukken die de verordening in de praktijk vormgeven: richtsnoeren (onder meer over verboden praktijken en de definitie van een AI-systeem), het vragen-en-antwoordendocument over AI-geletterdheid, de gedragscode voor modellen voor algemene doeleinden en uitvoeringshandelingen. Wie wil weten hoe de Commissie een open norm leest, kijkt hier.
De EDPB is relevant zodra AI persoonsgegevens raakt — wat bij vrijwel elke toepassing op natuurlijke personen het geval is. Opinies over AI-modellen en de verhouding tussen AVG en AI-verordening verschijnen hier het eerst.
Laag 2: de Nederlandse toezichthouders
De Autoriteit Persoonsgegevens coördineert het Nederlandse algoritme- en AI-toezicht en rapporteert periodiek over AI- en algoritmerisico's. De RDI is beoogd markttoezichthouder voor een groot deel van de verordening; het kabinet zette in april 2026 de stap naar formele aanwijzing van de toezichthouders, en het wetsvoorstel voor de uitvoeringswet lag tot 1 juni 2026 ter consultatie. Voor de financiële sector blijven DNB en AFM het eerste loket, ook waar AI-verplichtingen via DORA en het financiëledienstenrecht binnenkomen.
Let bij alle vier op het verschil tussen voorlichting (interpretatie, vaak vooruitlopend op formele bevoegdheid) en formele besluiten of richtsnoeren.
Laag 3: normalisatie
De geharmoniseerde normen die een vermoeden van conformiteit met de AI-verordening gaan opleveren, worden ontwikkeld door CEN-CENELEC JTC 21. De normen zelf zijn pas bruikbaar na publicatie van de verwijzingen in het Publicatieblad, maar de werkprogramma's en conceptnormen geven het beste beeld van wat conformiteitsbeoordeling er straks concreet uit gaat zien.
Werkregels bij het gebruik van deze bronnen
- Citeer de geconsolideerde EUR-Lex-tekst, niet een samenvatting; noem artikel
en lid.
- Onderscheid drie data: inwerkingtreding, toepassingsdatum en — sinds het
Digital Omnibus-akkoord — politiek overeengekomen maar nog niet bekendgemaakte wijzigingen. Alleen wat in het Publicatieblad staat, geldt.
- Gebruik trackers zoals artificialintelligenceact.eu als index om de juiste
primaire vindplaats te vinden, nooit als eindbron.
- Dateer elke verwijzing: deze materie wijzigt per kwartaal, en een bron zonder
raadpleegdatum is over een half jaar niets meer waard.
Bronnen
- https://eur-lex.europa.eu/eli/reg/2024/1689/oj
AI-verordening in het Publicatieblad; via EUR-Lex ook de geconsolideerde versie na latere wijzigingen. - https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
Centrale Commissiepagina over de AI-verordening: uitvoeringshandelingen, richtsnoeren en het AI Office. - https://www.edpb.europa.eu
Europees Comité voor gegevensbescherming; opinies en richtsnoeren op het snijvlak van AI en gegevensbescherming. - https://www.autoriteitpersoonsgegevens.nl
Autoriteit Persoonsgegevens, waaronder de coördinatie van het algoritme- en AI-toezicht in Nederland. - https://www.rdi.nl
Rijksinspectie Digitale Infrastructuur, beoogd markttoezichthouder voor een groot deel van de AI-verordening. - https://www.dnb.nl
De Nederlandsche Bank; toezicht op DORA en op AI-gebruik in de financiële sector. - https://www.afm.nl
Autoriteit Financiële Markten; gedragstoezicht, waaronder AI-toepassingen richting consumenten. - https://www.cencenelec.eu
CEN en CENELEC; het gezamenlijke technisch comité JTC 21 ontwikkelt de geharmoniseerde normen onder de AI-verordening. - https://artificialintelligenceact.eu
Niet-officiële maar zorgvuldige tracker van het Future of Life Institute; handig als index, geen authentieke bron.
Lees ook
Nationale toezichthouders: AP, RDI en de verdeling van het AI-toezicht
De AI Act wordt grotendeels nationaal gehandhaafd. In Nederland geeft een concept-Uitvoeringswet (consultatie 20 april–1 juni 2026) de AP en RDI een coördinerende rol over tien bestaande markttoezichthouders; de AFM en DNB houden toezicht op de financiële sector.
Valt mijn instelling onder DORA?
DORA geldt voor een limitatief opgesomde lijst van financiële entiteiten — van banken en verzekeraars tot betaalinstellingen, crypto-aanbieders en hun kritieke ICT-dienstverleners. Kleine, niet-verweven entiteiten mogen een vereenvoudigd kader voeren. Deze uitleg helpt je bepalen of je eronder valt.
DORA-wegwijzer: valt mijn instelling eronder en wat moet ik regelen?
DORA (Verordening (EU) 2022/2554) geldt sinds 17 januari 2025 voor financiële entiteiten en hun kritieke ICT-dienstverleners. Vijf pijlers: ICT-risicobeheer, incidentmelding, weerbaarheidstesten, derden-ICT-risico en informatiedeling. Deze wegwijzer wijst per pijler de weg.