Dezelfde software, een andere AI Act-datum

Op een testvloer staan twee identieke softwaremodules. De eerste stuurt een zelfstandig selectiesysteem voor sollicitanten aan. De tweede zit als veiligheidscomponent in een gereguleerd medisch hulpmiddel waarvoor een conformiteitsbeoordeling door een derde verplicht is. Tot voor kort wees de Europese implementatieplanning vooral naar één zomer: augustus 2026. Sinds 27 juli loopt de juridische route uiteen. Verordening (EU) 2026/1744 geeft de high-risk regels voor Annex III-systemen en voor AI in Annex I-producten verschillende toepassingsdata. De code kan gelijk zijn; functie, inbouw en marktcontext bepalen wanneer welke verplichtingen gaan gelden.

De wet splitst toepassing en productroute

De authentieke tekst van het Digitale Omnibus over AI is op 24 juli 2026 gepubliceerd en trad drie dagen later in werking. De verordening wijzigt artikel 113 van de AI Act. Hoofdstuk III, afdelingen 1, 2 en 3, gaat voor systemen die op grond van artikel 6, lid 2, en Annex III als hoog risico gelden op 2 december 2027 gelden. Voor systemen die via artikel 6, lid 1, en Annex I onder het productveiligheidsrecht vallen, is de datum 2 augustus 2028. Artikel 6, lid 5, is van deze specifieke verschuiving uitgezonderd.

Annex III bevat gebruikssituaties zoals biometrie, kritieke infrastructuur, onderwijs, werk, essentiële diensten, rechtshandhaving, migratie en rechtsbedeling. Annex I verwijst naar geharmoniseerd productrecht. Artikel 6, lid 1, vergt twee elementen: de AI is zelf een Section A-product of een veiligheidscomponent daarvan, en dat product moet een conformiteitsbeoordeling door een derde ondergaan. Voor zo'n Section A-systeem, bijvoorbeeld een kwalificerend medisch hulpmiddel, werkt de AI Act rechtstreeks. Het nieuwe artikel 2, lid 13, geeft de Commissie wel ruimte om via gedelegeerde handelingen specifieke dubbele eisen te beperken wanneer productwetgeving een gelijkwaardig of hoger beschermingsniveau biedt. Een bedrijf kan die gelijkwaardigheid niet zelfstandig als uitzondering inroepen. De gebruikscontext is nu ook een implementatievariabele.

Machines verdienen een aparte regel in de portfoliokaart. De Omnibus verplaatst de Machineverordening van Section A naar Section B van Annex I. Voor die productgroep gelden uit de AI Act rechtstreeks uitsluitend artikel 6, lid 1, artikel 60a en artikelen 102 tot en met 112. Artikelen 57 tot en met 59 gelden alleen voor zover de high-risk eisen in de sectorale productwetgeving zijn verwerkt. De overige materiële AI-eisen moeten via gedelegeerde handelingen in de Machineverordening worden opgenomen en vanaf 2 augustus 2028 toepassen. Bij een machineveiligheidsfunctie is de rechtstreekse werking van de AI Act dus beperkt; de materiële waarborgen lopen via het sectorale productrecht.

De wetgever motiveert het uitstel met vertraagde normen, gemeenschappelijke specificaties, alternatieve guidance en de inrichting van nationale bevoegde autoriteiten. Dat is meer dan administratief ongemak. Een aanbieder kan een conformiteitsdossier moeilijk afronden wanneer de technische norm en de toezichtspraktijk nog bewegen. De nieuwe data geven tijd, maar maken classificatie eerder in het ontwikkelproces noodzakelijk: wie pas bij marktintroductie ontdekt onder welke route een systeem valt, kan de extra maanden alsnog verliezen.

Veel verplichtingen lopen gewoon door

De wijziging zet de AI Act niet opnieuw op nul. Hoofdstukken I en II gelden in hoofdzaak sinds 2 februari 2025, met enkele nieuw gewijzigde verbodsbepalingen vanaf 2 december 2026. De regels voor general-purpose AI gelden sinds 2 augustus 2025. De algemene toepassing van andere delen van de AI Act blijft een afzonderlijke vraag. Organisaties moeten daarom per bepaling vaststellen of zij werkelijk is verschoven. Een algemeen label als “AI Act uitgesteld” is juridisch onbruikbaar.

Ook transparantie heeft een eigen spoor. Artikel 50 bevat verplichtingen voor onder meer interactie met AI, synthetische inhoud en deepfakes. De Omnibus voegt voor bepaalde systemen die vóór 2 augustus 2026 op de markt zijn gebracht een overgang toe: aanbieders van systemen die synthetische audio, beelden, video of tekst genereren, moeten uiterlijk 2 december 2026 de nodige stappen voor artikel 50, lid 2, zetten. AIRecht lichtte eerder toe welke artikel 50-meldingen bij verschillende toepassingen horen. Die transparantievraag verdwijnt dus niet achter de latere high-risk data.

De wijzigingsverordening laat artikelen 102 tot en met 110 vanaf 27 juli 2026 gelden. Deze slotbepalingen wijzigen sectorale EU-wetgeving; zij vormen niet het governancehoofdstuk van de AI Act. Het eigenlijke governancekader staat in hoofdstuk VII en geldt sinds 2 augustus 2025. Uitstel van één afdeling betekent geen pauze voor de organisatie. Rollen, documentatie, klachtenroutes en toezichtcontacten moeten aan hun eigen bepalingen en toepassingsdata worden gekoppeld.

Productarchitectuur wordt juridisch bewijs

De gesplitste route dwingt bedrijven hun productportfolio preciezer te beschrijven. Een modelnaam of leveranciers-SKU vertelt niet of AI zelfstandig een Annex III-besluit ondersteunt, onder Section A rechtstreeks in een gereguleerd product valt, via Section B een sectorale route volgt, of slechts een niet-kritische ondersteunende taak uitvoert. Daarvoor zijn de technische functie, het beoogde doel, de plaats in het grotere systeem en de toepasselijke productwetgeving nodig.

Dat vraagt om een koppeling tussen juridische inventaris en technische configuratie. Modelversie, trainingsbasis, interface, beslisbevoegdheid, menselijke tussenkomst, hardwarecontext en productrelease horen in één versiegeschiedenis bij elkaar. Wanneer dezelfde module in verschillende producten belandt, moet het dossier de varianten uit elkaar houden. Eén modelkaart kan meerdere rechtsposities bevatten; een platte leverancierslijst kan dat verschil niet dragen.

Artikel 111 maakt wijzigingsbeheer extra belangrijk. Voor bestaande high-risk systemen geldt de verordening volgens het aangepaste lid 2 na de relevante toepassingsdatum wanneer het ontwerp aanzienlijk verandert. De considerans verduidelijkt dat de overgang ziet op type en model: als vóór de relevante datum ten minste één exemplaar rechtmatig op de markt of in gebruik was, kunnen andere exemplaren van datzelfde ongewijzigde type en model onder de overgang vallen. Een significante ontwerpwijziging trekt het systeem de volledige high-risk verplichtingen in. Voor high-risk systemen die door publieke autoriteiten worden gebruikt, blijft 2 augustus 2030 een uiterste nalevingsdatum.

Contracten volgen de technische werkelijkheid

Een contract kan bepalen wie classificeert, wie bewijs levert en wie een wijziging meldt. Het kan de wettelijke kwalificatie zelf niet vastzetten. Bouwt een integrator een algemene model-API in een medisch hulpmiddel in, dan kan de rechtstreekse Section A-route in beeld komen. Bij machineveiligheid loopt de materiële vertaling via de sectorale Machineverordening. De aanbieder kent het model; de fabrikant kent de productfunctie; de afnemer kent het gebruik. De contractketen moet die drie kennisposities verbinden.

Praktisch horen daarin ten minste de beoogde toepassingen, uitgesloten gebruikssituaties, Annex I-productcontext, Annex III-categorie, versiebeheer en wijzigingsmelding thuis. Ook audittoegang en medewerking aan conformiteitsbeoordeling verdienen een concrete eigenaar. Een leverancier die alleen verklaart “AI Act compliant” te zijn, laat de afnemer met een oncontroleerbare conclusie achter. Beter is een beperkte verklaring die noemt voor welke versie, functie, markt en datum zij geldt.

Publieke inkoop maakt dit scherp. Een aanbestedende dienst kan tijdens een meerjarig traject dezelfde software eerst als ondersteunend instrument en later als selecterend of prioriterend systeem gebruiken. De oorspronkelijke classificatie veroudert dan. Een wijzigingsclausule moet ruimte geven voor herbeoordeling, aanvullende documentatie en zo nodig opschorting van een functie. Dat beschermt leveranciers eveneens: zij dragen dan geen stilzwijgende verantwoordelijkheid voor gebruik dat buiten het overeengekomen doel is gegroeid.

Toezicht krijgt twee snelheden

De twee data kunnen uiteenlopende markteffecten hebben. Annex III-aanbieders hebben tot december 2027; fabrikanten in de Annex I-route krijgen tot augustus 2028 voor de genoemde afdelingen. Productcycli verklaren een deel van dat verschil. Ingebouwde AI loopt vaak mee met certificering, materiaalkeuze en veiligheidsvalidatie. Tegelijk kan een langere route gevestigde fabrikanten bevoordelen wanneer kleinere toetreders de noodzakelijke testfaciliteiten, normen en notified bodies moeilijker bereiken. Implementatietijd is ook een markttoegangsvraag.

Voor toezichthouders ontstaat een redengevingsopgave. Werknemers, patiënten, consumenten en burgers ervaren geen “Annex” wanneer een systeem hen rangschikt, diagnostiek ondersteunt of een machine stopt. Zij moeten kunnen begrijpen welke waarborgen al gelden, welke nog volgen en bij welke instantie zij terechtkunnen. Een helder openbaar onderscheid tussen verbod, transparantie, GPAI, high-risk eisen en productconformiteit voorkomt dat wettelijke fasering als rechtsvrije ruimte wordt gelezen.

Ook ondernemingen verdienen voorspelbaarheid. Normen en guidance moeten op tijd beschikbaar komen; anders verschuift onzekerheid alleen mee. De Commissie krijgt daarom een bestuurlijke verantwoordelijkheid om ondersteunende instrumenten tijdig gereed te hebben. Nationale autoriteiten kunnen intussen publiceren hoe zij classificatie, ontwerpwijzigingen en gecombineerde producten beoordelen. Zo wordt de extra tijd omgezet in navolgbare uitvoering.

Een portfoliokaart die kan meebewegen

Een bruikbare besliskaart bevat per toepassing minstens de volgende velden:

• beoogd doel, gebruikers en getroffen personen;
• zelfstandig systeem of ingebouwde veiligheidscomponent;
• mogelijke Annex III-categorie, toepasselijke Annex I-wetgeving en plaatsing in Section A of B;
• model-, product- en interfaceversie, inclusief eerste marktintroductie;
• reeds geldende verplichtingen, relevante toepassingsdatum en eigenaar van het bewijs;
• triggers voor herbeoordeling, zoals nieuw gebruik, significante ontwerpwijziging of andere menselijke tussenkomst.

Die kaart moet bij iedere release kunnen worden herberekend. Zij vormt een verbinding tussen productmanagement, juristen, security, kwaliteitszorg en inkoop. De uitkomst is geen universeel groen vinkje; zij is een gedateerde, brongebonden positie voor één technische configuratie. Dezelfde software kan in een andere juridische route terechtkomen zodra functie of productcontext wijzigt.

De AIRecht Contractscan maakt clausules over toepassingsdoel, classificatie, versiebeheer, audit en wijzigingsmelding zichtbaar. Voor complexe Annex I/Annex III-portfolios past een afgebakende classificatie- en implementatiereview. De datumverschuiving geeft bedrijven extra tijd op specifieke onderdelen. De kwaliteit van het dossier zal afhangen van wat zij met die tijd vastleggen.

Bronnen geraadpleegd op 29 juli 2026: Verordening (EU) 2026/1744 van 8 juli 2026, gepubliceerd in het Publicatieblad op 24 juli 2026 en in werking sinds 27 juli 2026, en Verordening (EU) 2024/1689. De genoemde termijnen hebben betrekking op de in artikel 113 aangewezen delen van hoofdstuk III; andere verplichtingen volgen hun eigen toepassingsregime.