Voorstel Europese normalisatieverordening van 6 oktober 2026 (COM(2026) 780): gratis geharmoniseerde normen, gemeenschappelijke specificaties en wat het betekent voor de AI Act
In Ballymun, een wijk in het noorden van Dublin, verschenen begin deze eeuw scheuren in de vloeren van een nieuw jongerencentrum. De aannemer, James Elliott Construction, wees naar het steenslag onder de vloer: dat zou te veel zwavel bevatten. De Ierse rechter moest beoordelen of het materiaal voldeed aan een Europese norm voor granulaten, en legde de vraag voor aan het Hof van Justitie. Op 27 oktober 2016 oordeelde het Hof in James Elliott Construction (C-613/14) dat een geharmoniseerde norm deel uitmaakt van het Unierecht. Een technisch document van een private normalisatie-instelling kreeg daarmee de status van recht. Tien jaar later trekt de Europese Commissie daar een wetgevende conclusie uit, met directe gevolgen voor de normen waarop de AI Act steunt.
Wat de Commissie op 6 oktober 2026 voorstelde: COM(2026) 780 vervangt Verordening 1025/2012
Op 6 oktober 2026 publiceerde de Commissie het voorstel voor een verordening betreffende Europese normalisatie, COM(2026) 780. Het voorstel trekt Verordening (EU) nr. 1025/2012 in, de basis van het huidige Europese normalisatiestelsel, en schrapt artikel 48 van de Verordening algemene productveiligheid (EU) 2023/988. De rechtsgrondslag is artikel 114 VWEU; het Europees Parlement en de Raad beslissen via de gewone wetgevingsprocedure. Volgens het voorstel gaat de nieuwe verordening zes maanden na inwerkingtreding gelden. Het is dus nog geen recht, en de tekst kan in de onderhandelingen veranderen.
De Commissie onderbouwt het voorstel met een evaluatie uit juni 2025. Een geharmoniseerde norm kost gemiddeld zes jaar ontwikkeltijd en haalt de wettelijke termijnen vaak niet. Kleine bedrijven, consumentenorganisaties en onderzoekers zitten te weinig aan tafel, vooral bij nieuwe technologie. De Commissie noemt AI en cyberbeveiliging uitdrukkelijk als terreinen waar die vertraging de uitvoering van Europese wetgeving remt, en verwijst daarbij naar de AI Act en de Cyberweerbaarheidsverordening.
Waarom de AI Act op geharmoniseerde normen leunt: artikel 40, artikel 41 en normalisatieverzoek M/593
De AI Act formuleert de eisen voor AI-systemen met een hoog risico in open termen: passend risicobeheer, voldoende datakwaliteit, een nauwkeurigheid die past bij het beoogde doel. Normen maken die eisen meetbaar. Artikel 40 van de AI Act geeft een systeem dat voldoet aan een geharmoniseerde norm, waarvan de referentie in het Publicatieblad staat, een vermoeden van conformiteit, en alleen voor de eisen die die norm bestrijkt. Toepassing van de norm blijft vrijwillig: een aanbieder mag ook op een andere, onderbouwde manier aantonen dat zijn systeem aan de eisen voldoet. Dat een norm deel uitmaakt van het Unierecht, maakt haar dus geen verplichting. Voor een aanbieder is de norm wel de kortste route naar een verdedigbaar dossier.
In mei 2023 vroeg de Commissie CEN en CENELEC met normalisatieverzoek M/593 om die normen te ontwikkelen; het werk ligt bij de gezamenlijke technische commissie JTC 21. Over die stand van zaken schreven wij eerder in ons stuk over industriële AI-agents en de Machineverordening. Voor zover wij op 14 oktober 2026 konden nagaan, staat er nog geen referentie van een geharmoniseerde norm onder de AI Act in het Publicatieblad. Artikel 41 bevat een vangnet: als de normen uitblijven of tekortschieten, kan de Commissie bij uitvoeringshandeling gemeenschappelijke specificaties vaststellen. Voor zover bekend heeft de Commissie die route nog niet gebruikt.
De tijdsdruk is zichtbaar. Na de Digitale Omnibus over AI, Verordening (EU) 2026/1744, gelden de eisen van hoofdstuk III, afdelingen 1 tot en met 3, met uitzondering van artikel 6, lid 5, voor de hoog-risicosystemen uit bijlage III vanaf 2 december 2027 en voor AI in producten uit bijlage I vanaf 2 augustus 2028; wij beschreven die gesplitste toepassingsdata in juli. Als een norm gemiddeld zes jaar kost, valt de AI-norm die nu nog in ontwikkeling is daar nauwelijks binnen.
Gratis toegang tot normen: wat het Hof op 5 maart 2024 besliste en wat artikel 5 van het voorstel regelt
James Elliott maakte van de geharmoniseerde norm een stuk Unierecht. Toch bleven die normen achter een betaalmuur; wie de tekst wilde lezen, kocht hem bij een nationale normalisatie-instelling, in Nederland NEN. In 2024 sloeg het Hof daar een eerste bres in. De Amerikaanse organisatie Public.Resource.Org en de Ierse stichting Right to Know vroegen de Commissie om inzage in vier geharmoniseerde normen, waaronder normen voor de veiligheid van speelgoed. Het Hof van Justitie oordeelde op 5 maart 2024 in Public.Resource.Org en Right to Know/Commissie (C-588/21 P) dat er een hoger openbaar belang bestaat bij toegang tot die normen, omdat zij deel uitmaken van het recht dat burgers en bedrijven moeten kunnen kennen.
Artikel 5 van het voorstel zet die rechtspraak om in een plicht. Normalisatie-instellingen moeten onbeperkte gratis online toegang geven tot normen waarvan de referentie in het Publicatieblad staat, inclusief wijzigingen en correcties, in een leesbaar, doorzoekbaar en printbaar formaat. Die normen blijven ook beschikbaar nadat hun referentie is ingetrokken. Dat laatste is voor procedures belangrijk: een geschil over een AI-systeem uit 2028 wordt misschien in 2033 beslecht, en dan moet de norm van destijds nog te lezen zijn.
Het voorstel noemt de prijs openlijk. Volgens de effectbeoordeling besparen bedrijven ongeveer 30 miljoen euro per jaar doordat de betaalmuur verdwijnt, en de nationale normalisatie-instellingen verliezen tot 30 miljoen euro aan omzet, ongeveer 15 procent van hun normverkoop in de EU. Artikel 8 opent de mogelijkheid dat de Unie en de lidstaten bijdragen aan de financiering van het stelsel. Voor NEN en zijn Europese zusterorganisaties is dat een verschuiving in het verdienmodel, en voor de Nederlandse overheid een begrotingsvraag.
Wie de AI-norm schrijft als CEN en CENELEC te laat zijn: artikel 29 en artikel 32 van het voorstel
De tweede kern van het voorstel betreft de vraag wie normen mag maken. Tot nu toe kon de Commissie een normalisatieverzoek alleen richten aan CEN, CENELEC en ETSI. Artikel 29 van het voorstel laat haar een verzoek richten aan een of meer aangewezen normontwikkelingsorganisaties als de Europese instellingen niet reageren, een verzoek weigeren, de termijn missen of een norm leveren die niet voldoet. Elk verzoek krijgt een leverdatum en een vervaldatum. Voor normen die raken aan strategische belangen of veiligheid kan de Commissie deelname beperken tot organisaties die in de Unie gevestigd zijn en niet onder zeggenschap van een derde land staan.
Artikel 32 maakt van gemeenschappelijke specificaties een horizontale terugvaloptie voor alle productwetgeving. De Commissie stelt ze vast bij uitvoeringshandeling volgens de onderzoeksprocedure van Verordening 182/2011, na raadpleging van deskundigen en belanghebbenden. Zodra alsnog een geharmoniseerde norm verschijnt, trekt de Commissie de overlappende specificatie in. Artikel 33 geeft lidstaten, het Europees Parlement en de Commissie een meldprocedure om een gebrekkige norm of specificatie aan te vechten.
Voor de AI Act verandert daarmee niet automatisch iets. Artikel 41 blijft de eigen, sectorale grondslag voor gemeenschappelijke specificaties onder de AI Act, en hoe de nieuwe horizontale bevoegdheid van artikel 32 zich daartoe verhoudt, zullen Parlement en Raad moeten uitwerken. Let ook op het onderscheid tussen twee soorten termijnen: het voorstel geeft normalisatieverzoeken een vaste leverdatum voor de norm, terwijl het voor het vaststellen van een specificatie zelf geen termijn noemt. Een tweede vraag betreft de democratische controle. Een gemeenschappelijke specificatie wordt geschreven door de Commissie en een comitologiecomité, met minder ruimte voor het consensusproces waarin bedrijven, consumenten en onderzoekers via de normcommissies meepraten. Toen de Commissie in 2025 een vergelijkbare terugvaloptie voorstelde in het Omnibus IV-pakket, vroeg de Duitse Kommission Arbeitsschutz und Normung (KAN) onder meer om de onderzoeksprocedure, een intrekkingsmechanisme en verplichte inspraak van belanghebbenden. Het nieuwe voorstel neemt zulke waarborgen op in de artikelen 32 en 33; de vraag hoeveel gewicht de inspraak in het comité werkelijk krijgt, blijft. Wie de inhoud van AI-eisen wil beïnvloeden, moet daarom straks op twee plaatsen opletten: in de normcommissie en in het comité.
Wat dit betekent voor Nederlandse aanbieders, afnemers en aanbestedende diensten
Voor aanbieders van AI met een hoog risico verandert de planning. Een dossier dat op een toekomstige geharmoniseerde norm wacht, kan ook uitkomen bij een gemeenschappelijke specificatie of bij een norm van een aangewezen organisatie buiten CEN en CENELEC. Het verstandige dossier legt nu al vast welke methoden het gebruikt voor risicobeheer, datakwaliteit en logging, en waarom die methoden aansluiten bij de eisen van de artikelen 9 tot en met 15.
Voor afnemers en aanbestedende diensten raakt het voorstel de contracten. Een leverancier die belooft te leveren "conform de geldende geharmoniseerde normen" belooft op dit moment weinig, omdat die normen voor AI nog niet in het Publicatieblad staan. Aanbestedende diensten mogen in hun technische specificaties naar Europese normen verwijzen op grond van artikel 42 van Richtlijn 2014/24/EU; gratis toegang maakt het eenvoudiger om zo'n verwijzing ook werkelijk te controleren. Het is verstandig in een contract te benoemen welke norm of specificatie geldt, wat er gebeurt als een norm wordt ingetrokken, en wie betaalt als het systeem moet worden aangepast aan een latere versie.
Hier komen recht, techniek en economie samen. Het Hof zei in 2016 en in 2024 dat normen recht zijn en dus kenbaar moeten zijn. De Commissie trekt daar in 2026 de conclusie uit dat normen ook op tijd moeten komen, en dat zij anders zelf specificaties mag vaststellen. Voor burgers is de uitkomst concreet. Wie straks wordt beoordeeld door een AI-systeem bij een uitkering, een sollicitatie of een kredietaanvraag, kan dan de norm lezen waarop de aanbieder zich voor het vermoeden van conformiteit beroept. De onderhandelingen in Parlement en Raad bepalen hoeveel van die openheid overblijft.
Werkt u met een AI-leverancier en wilt u weten welke normen uw contract eigenlijk noemt, en wat er gebeurt als die normen veranderen? Met de contractscan ziet u dat snel per clausule. Zet u zelf AI in richting klanten of burgers, dan laat de AI-transparantiescan zien welke uitleg u al geeft en waar die nog tekortschiet.
Bronnen: Europese Commissie, Proposal for a Regulation on European standardisation, COM(2026) 780 final (6 oktober 2026, Raadsdocument ST 14141/26), artikelen 5, 7, 8, 20, 29, 32, 33, 42 en 43 en toelichting; Verordening (EU) nr. 1025/2012; Verordening (EU) 2024/1689 (AI Act), artikelen 40 en 41; Verordening (EU) 2026/1744 (Digitale Omnibus over AI); Hof van Justitie, James Elliott Construction, C-613/14 (27 oktober 2016); Hof van Justitie, Public.Resource.Org en Right to Know/Commissie, C-588/21 P (5 maart 2024); Richtlijn 2014/24/EU, artikel 42. Bronnen geraadpleegd op 14 oktober 2026. Dit artikel is gepubliceerde analyse, geen juridisch advies.