AI-verordening: wat uw organisatie nu moet doen
Stand van zaken: 12 oktober 2026
Gebruikt uw organisatie generatieve AI, dan bent u onder de AI-verordening vrijwel altijd gebruiksverantwoordelijke, en dan gelden er op dit moment drie dingen: maatregelen voor AI-geletterdheid (art. 4), de verboden praktijken (art. 5) en sinds 2 augustus 2026 de transparantieplichten van art. 50. De zware plichten voor hoog-risicosystemen komen later, na de Digitale omnibus pas op 2 december 2027. Wie nu een register bijhoudt van welke AI waarvoor wordt gebruikt, ziet op tijd welke toepassing in die categorie valt.
Gebruiksverantwoordelijke of aanbieder
De verordening spreekt van een gebruiksverantwoordelijke als iemand een AI-systeem onder eigen verantwoordelijkheid gebruikt. Overheidsinstanties horen er uitdrukkelijk bij, alleen persoonlijk gebruik buiten het werk valt erbuiten. Een ministerie met een chatassistent, een woningcorporatie die brieven laat samenvatten en een accountantskantoor met Copilot zitten allemaal in deze rol.
Lastiger wordt het als u zelf iets bouwt. Volgens art. 25 lid 1 wordt een gebruiksverantwoordelijke als aanbieder behandeld wanneer die zijn naam of merk op een hoog-risicosysteem zet of het wezenlijk wijzigt. Hetzelfde gebeurt wanneer u het beoogde doel van een systeem verandert, “met inbegrip van een AI-systeem voor algemene doeleinden”, zodat het hoog risico wordt. Een gemeente die een taalmodel inricht om aanvragen voor bijzondere bijstand te beoordelen, moet dus ook de aanbiedersplichten bekijken. Een team dat hetzelfde model alleen voor notulen gebruikt, hoeft dat niet.
Welke plichten wanneer gelden
De Digitale omnibus, Verordening (EU) 2026/1744, is sinds 27 juli 2026 van kracht. Ze heeft vooral de data voor hoog risico verschoven. Aan de transparantieplichten voor gebruiksverantwoordelijken (art. 50 lid 3 en 4) veranderde ze niets.
| Vanaf | Plicht | Wat het voor gewone AI-gebruikers betekent |
|---|---|---|
| 2 februari 2025 | Art. 4, AI-geletterdheid | Maatregelen nemen om de AI-geletterdheid van uw mensen te ondersteunen; uitgewerkt in onze gids over AI-geletterdheid |
| 2 februari 2025 | Art. 5, verboden praktijken | Onder meer geen AI die emoties van medewerkers afleidt, behalve om medische of veiligheidsredenen (lid 1 onder f) |
| 2 augustus 2026 | Art. 50, transparantie | Deepfakes als kunstmatig herkenbaar maken; gepubliceerde AI-tekst over zaken van algemeen belang melden, tenzij een redacteur hem heeft gecontroleerd en daarvoor verantwoordelijk is |
| 2 december 2026 | Nieuwe verboden in art. 5 | Geen AI inzetten om intieme beelden van herkenbare personen zonder hun toestemming te maken |
| 2 december 2027 | Hoog risico, bijlage III | Art. 26 voor alle gebruiksverantwoordelijken, art. 27 voor overheid en publieke dienstverleners |
| 2 augustus 2028 | Hoog risico, bijlage I | Vooral relevant voor wie AI in producten als machines of medische hulpmiddelen gebruikt |
Voor hoog-risicosystemen die al vóór die data voor overheidsinstanties in gebruik waren, geldt 2 augustus 2030 als uiterste datum. Daar moet u niet op rekenen bij nieuwe aanschaf.
De Commissie publiceerde op 20 juli 2026 richtsnoeren voor art. 50, die vooral communicatieafdelingen moeten lezen. Naar de tekst van lid 4 hangt veel af van de eindredactie. Het volgende voorbeeld is onze eigen lezing, geen uitspraak van de Commissie of een toezichthouder: schrijft een woordvoerder een AI-concept voor een publieksbericht om en geeft hij het onder eigen verantwoordelijkheid vrij, dan zien wij dat als redactionele controle, mits hij ook de feiten nagaat. De richtsnoeren noemen feitencontrole als minimum en laten een louter formele controle, zoals een spellingscheck, niet meetellen. Bij een automatisch gegenereerde publicatie zonder menselijke eindredactie ontbreekt die in elk geval.
Vier vragen per toepassing
De verordening regelt systemen, maar in de praktijk werkt u met toepassingen. Copilot voor notulen en Copilot voor een selectiegesprek zijn juridisch twee verschillende dingen. Stel daarom per toepassing deze vragen, in deze volgorde.
- Raakt het een verbod uit art. 5? Denk aan emotieherkenning op de werkplek of in het onderwijs.
- Maakt of bewerkt het content die naar buiten gaat? Dan speelt art. 50 lid 4.
- Valt het doel onder bijlage III? Voor gewone organisaties zijn punt 4 (werving en selectie van personeel) en punt 5 onder a (beoordelen of iemand in aanmerking komt voor overheidsuitkeringen en -diensten) het vaakst van belang.
- Zo ja: geldt een uitzondering van art. 6 lid 3, bijvoorbeeld een “beperkte procedurele taak” of een voorbereidende taak? Die uitzondering vervalt zodra het systeem profileert.
Bij de meeste toepassingen van generatieve AI die wij tegenkomen, eindigt het bij vraag 2. Leg het antwoord toch vast. Een toezichthouder vraagt niet alleen wat u deed, maar ook waarom u een toepassing niet als hoog risico zag.
Het AI-register: één regel per toepassing
Een register hoeft geen apart systeem te zijn. Een spreadsheet met de velden hieronder volstaat. Overheidsorganisaties kunnen het later naast hun publicaties in het algoritmeregister leggen, al is die registratie wettelijk nog niet verplicht.
| Veld | Voorbeeld |
|---|---|
| Toepassing | Samenvatten van ingekomen bezwaarschriften |
| Systeem en leverancier | Productnaam en het gebruikte model |
| Afdeling en eigenaar | Team juridische zaken, met naam van de verantwoordelijke |
| Gegevens die erin gaan | Persoonsgegevens van bezwaarmakers, geen bijzondere categorieën |
| Waar het model draait | Land of regio van verwerking; is verwerking buiten de EU technisch uitgesloten? |
| Rol | Gebruiksverantwoordelijke, of aanbieder als u het onder eigen naam aanbiedt |
| Indeling | Geen hoog risico, met de reden in één zin |
| Transparantie | Gaat de uitvoer naar buiten? Wie controleert hem? |
| Menselijk toezicht | Wie leest mee voordat er iets wordt besloten |
| DPIA en verwerkersovereenkomst | Datum en vindplaats |
| Opleiding | Welke instructie de gebruikers kregen, met datum |
| Volgende herziening | Uiterlijk bij een nieuwe functie van de leverancier, anders jaarlijks |
Het veld “Waar het model draait” wordt vaak leeg gelaten, omdat de leverancier het niet per model vermeldt. Vraag het na. Voor de DPIA heeft u dezelfde informatie nodig, en art. 26 lid 9 verwijst bij hoog risico precies naar die koppeling: de informatie van de aanbieder gebruikt u voor de gegevensbeschermingseffectbeoordeling uit de AVG.
Als een toepassing toch hoog risico is
Valt een toepassing onder bijlage III, dan heeft u tot 2 december 2027 de tijd. Art. 26 vraagt dan onder meer dat u het systeem volgens de gebruiksaanwijzing gebruikt. Het menselijk toezicht legt u bij mensen “die over de nodige bekwaamheid, opleiding en autoriteit beschikken en de nodige ondersteuning krijgen”. De logs die onder uw controle vallen, bewaart u ten minste zes maanden. Ziet u een risico, dan meldt u dat aan de aanbieder en de markttoezichtautoriteit en zet u het gebruik stil.
Als werkgever informeert u vooraf de werknemersvertegenwoordigers en de betrokken medewerkers (lid 7); in Nederland betekent dat in de regel de OR. Overheidsinstanties hebben er een plicht bij: een hoog-risicosysteem dat niet in de EU-databank staat, gebruiken zij niet (lid 8). Publiekrechtelijke organen en private partijen die publieke diensten verlenen, maken bovendien een beoordeling van de gevolgen voor grondrechten (art. 27). Sinds de omnibus mag die verwijzen naar de onderdelen van een bestaande DPIA. Dat scheelt dubbel werk.
Toezicht in Nederland
In Nederland is het toezicht op dit moment nog niet geregeld. Op 20 april 2026 stuurde het kabinet een Kamerbrief over de inrichting en bracht het de Uitvoeringswet AI-verordening in internetconsultatie. Volgens die brief komen er tien markttoezichtautoriteiten. Voor organisaties die generatieve AI gebruiken, is deze verdeling het belangrijkst:
| Onderwerp | Beoogde toezichthouder |
|---|---|
| Verboden praktijken | AP; bij financiële instellingen voor manipulatie en misbruik van kwetsbaarheden de AFM |
| Transparantie (art. 50) | AP; bij financiële instellingen AFM en DNB |
| Overige gebieden van bijlage III, zoals werk en overheidsdiensten | AP |
| Kredietwaardigheid en verzekeringspremies (bijlage III) | AFM en DNB bij financiële diensten, verder de AP |
| Centraal contactpunt en coördinatie | RDI, samen met de AP |
Het kabinet accepteert in dezelfde brief dat de uitvoeringswet “naar verwachting later in werking treedt” dan de verordening voorschrijft. Na de consultatie gaat het voorstel nog naar de Raad van State, daarna naar Tweede en Eerste Kamer. Op 12 oktober 2026 vonden wij op officielebekendmakingen.nl geen ingediend wetsvoorstel. In de planningsbrief Digitale Zaken van 31 augustus 2026 staat de uitvoeringswet voor het tweede kwartaal van 2027. De AP schreef op 9 oktober 2026: “De AP is beoogd markttoezichthouder op AI, maar nog niet aangewezen.” Ze bouwt intussen een nieuwe directie op en richt met de RDI een AI-sandbox in.
Uitstel van de handhaving is dat niet. De Kamerbrief zegt het zelf: de verplichtingen gelden, “want de verordening is rechtstreeks toepasselijk in alle lidstaten”. En de AP houdt al toezicht op de AVG, die bij bijna elke AI-toepassing met persoonsgegevens meespeelt.
Hoe Myra AI Workspace in dit register past
In het register beantwoordt u bij elke toepassing de vraag waar het model draait. Myra AI Workspace maakt dat per project instelbaar. Zet u een project op “Local only”, dan zijn alleen de modellen beschikbaar die Myra op eigen infrastructuur in de EU host; in betaalde self-service-abonnementen vraagt dat het pakket ‘EU-Gov’. Cloudmodellen, zoeken op internet en externe tools zijn in zo'n project uitgeschakeld. Routering naar uitsluitend EU-aanbieders laat zich instellen, per gateway of voor de hele omgeving. Standaard staat die instelling uit.
Wie een vraag stelt, ziet naast de modelkeuze een kleurindicator. Groen betekent een Myra-model, al dan niet met maskering. Geel betekent dat de vraag naar een extern model gaat nadat persoonsgegevens door placeholders zijn vervangen. Bij rood gaat de vraag zonder maskering naar een externe aanbieder.
Governance-sjablonen zetten plichten uit de AI-verordening en de AVG om in instellingen. Antwoorden dragen in de interface het label AI-gegenereerd; dat helpt uw gebruikers, maar de melding volgens art. 50 lid 4 bij publicatie regelt u zelf. Wijzigingen door beheerders en beveiligingsgebeurtenissen worden gelogd, desgewenst met een hashketen die latere aanpassingen zichtbaar maakt. Myra gebruikt klantgegevens niet om AI-modellen te trainen. De indeling van uw toepassingen en het register blijven uw werk, en de interface is Duits of Engels.
Veelgestelde vragen
Vallen assistenten als ChatGPT en Copilot onder hoog risico?
Als algemene schrijf- en zoekhulp naar onze lezing niet, zolang u ze niet inzet voor een doel uit bijlage III. Hoog risico hangt namelijk af van het doel waarvoor u een systeem gebruikt. Gebruikt u dezelfde assistent om sollicitaties te filteren of om te beoordelen of iemand recht heeft op een uitkering, dan kan die toepassing wel hoog risico zijn.
Wie is in Nederland de toezichthouder op de AI-verordening?
Formeel nog niemand voor het markttoezicht. Het kabinet wil tien markttoezichtautoriteiten aanwijzen, met de AP voor verboden praktijken, transparantie en het grootste deel van bijlage III, en de RDI als centraal contactpunt. Dat regelt de Uitvoeringswet AI-verordening, die op 12 oktober 2026 nog niet in werking is.
Gelden de plichten al als de Uitvoeringswet er nog niet is?
Ja. De verordening is rechtstreeks van toepassing in alle lidstaten. Het kabinet schrijft dat zelf in de Kamerbrief van 20 april 2026. Wat ontbreekt, is een aangewezen toezichthouder met bevoegdheden om te handhaven.
Moet een gemeente een AI-systeem met hoog risico registreren?
Ja, vanaf 2 december 2027 voor systemen uit bijlage III. Overheidsinstanties die zo'n systeem gebruiken, moeten zich houden aan de registratieplichten van art. 49. Staat het systeem niet in de EU-databank, dan mag de gemeente het niet gebruiken en meldt zij dat aan de aanbieder of distributeur (art. 26 lid 8).
Bronnen
- Verordening (EU) 2024/1689 (AI-verordening), Publicatieblad 12-07-2024, geraadpleegd op 12-10-2026
- Verordening (EU) 2026/1744 (Digitale omnibus inzake AI), Publicatieblad 24-07-2026, geraadpleegd op 12-10-2026
- Kamerbrief Inrichting toezicht op de naleving van de AI-verordening, Kamerstuk 22 112, nr. 4318 (20-04-2026), geraadpleegd op 12-10-2026
- Planningsbrief Digitale Zaken, Kamerstuk 26 643, nr. 1554 (31-08-2026), geraadpleegd op 12-10-2026
- AP: Toezicht op AI wordt concreet, sleutelrol voor de AP en de RDI (20-04-2026), geraadpleegd op 12-10-2026
- AP: AP zet volgende stap in toezicht op AI (09-10-2026), geraadpleegd op 12-10-2026
- Europese Commissie: richtsnoeren transparantieverplichtingen art. 50 (20-07-2026), geraadpleegd op 12-10-2026