Triloog klapt: uitstel van de AI Act-deadline is nog altijd niet rond.

Even het speelveld. De Europese Commissie stelde in november voor om de verplichtingen voor zelfstandige hoog-risico-AI uit Annex III van de AI Act uit te stellen: van 2 augustus 2026 naar 2 december 2027. Dat voorstel, onderdeel van de Digital Omnibus on AI, moet via onderhandelingen tussen Parlement, Raad en Commissie worden vastgesteld, de zogeheten triloog.

Die posities liggen al weken vast: de Raad bepaalde zijn onderhandelingspositie op 13 maart, het Parlement bevestigde de zijne plenair op 26 maart. En toch eindigde ook de tweede politieke ronde op 28 april zonder akkoord. Als drie partijen met uitgewerkte standpunten er twee rondes lang niet uitkomen, zegt dat iets over hoe omstreden de inhoud is.

Hier wordt het praktisch. Uitstel dat niet is vastgesteld, bestaat juridisch niet. Tot Parlement en Raad een akkoord hebben en dat is bekrachtigd, staat 2 augustus 2026 gewoon in de verordening, en die datum is over drie maanden.

Ik hoor sinds november in vrijwel elk gesprek een variant van dezelfde zin: dat komt wel goed, dat wordt toch uitgesteld. Dat kan. Het kan ook later worden dan gedacht, gedeeltelijk worden, of aan voorwaarden worden gekoppeld die nu nog niemand kent. Een bedrijf dat zijn voorbereiding ophangt aan een Brussels onderhandelingsresultaat, heeft geen plan maar een weersverwachting.

Het eerlijke verhaal voor het MKB: de meeste bedrijven zijn gebruiker van standaard AI-tools en geen aanbieder van hoog-risicosystemen, en voor hen hangt aan 2 augustus geen hoog-risicodossier. Dat weet je alleen pas zeker als je het hebt uitgezocht, want ook een gebruiker raakt aan die domeinen zodra AI meebeslist over bijvoorbeeld werving en selectie. En let op de reikwijdte van het voorstel: het schuift het hoog-risicoregime op, niet de transparantie-eisen die in augustus ingaan. Daarom bestaat mijn advies uit stappen die onder élk scenario nodig zijn, uitstel of niet.

• Een AI-register: welke AI-toepassingen gebruik je, waarvoor, met welke data, en wie is er intern verantwoordelijk.
• AI-geletterdheid: de verplichting om mensen die met AI werken aantoonbaar te bekwamen geldt al sinds februari 2025 en staat los van dit uitstel.
• Leverancierstoetsing: weet per tool waar het model draait, wat er met jouw data gebeurt en wat de leverancier over AI Act-compliance vastlegt.
• Transparantie: laat merken wanneer een klant met AI praat of AI-gegenereerde content voor zich heeft. Dat deel van de verordening gaat in augustus in, wat de triloog ook oplevert.

Geen van de vier is weggegooid werk als het uitstel er alsnog komt. Het register is dan je basis voor december 2027, en de andere drie had je toch al nodig om verantwoord met deze techniek te werken.

De les van deze maand is niet dat Brussel traag is. De les is dat regelgevingsonzekerheid zelf een gegeven is waar je een proces voor inricht. Wie zijn AI-gebruik in kaart heeft, kan elke uitkomst van de triloog absorberen met een middag werk. Wie dat niet heeft, moet straks onder tijdsdruk beginnen bij vraag één: wat gebruiken we eigenlijk allemaal.

Dat is dezelfde volgorde die ik bij implementaties hanteer: eerst begrijpen wat er werkelijk gebeurt in je bedrijf, dan pas reageren op wat er buiten verandert. De triloog gaat verder in mei. Jouw inventarisatie hoeft daar niet op te wachten.