AI Act geeft uitstel, maar geen vrijstelling

Inleiding

Veel bedrijven zullen de recente beweging rond de EU AI Act lezen als goed nieuws. Er komt meer tijd. De druk verschuift. De deadline voelt minder dreigend. Maar juist daarin zit het risico. Want wat op papier op uitstel lijkt, is in de praktijk vooral een test van volwassenheid.

Stand van zaken op 5 september 2026: de vereenvoudiging van de AI Act is inmiddels vastgesteld. Verordening (EU) 2026/1744 trad op 27 juli 2026 in werking. De betrokken verplichtingen voor hoogrisicosystemen uit artikel 6, lid 2 en bijlage III gelden vanaf 2 december 2027; voor de categorie uit artikel 6, lid 1 en bijlage I vanaf 2 augustus 2028. De transparantieregels van artikel 50 gelden in beginsel sinds 2 augustus 2026. Alleen aanbieders van systemen die synthetische content genereren en vóór die datum op de markt waren, krijgen tot 2 december 2026 voor de technische markering uit artikel 50, lid 2.

Dat geeft enige ruimte. Maar het verandert vooral de aard van het probleem. De vraag is niet langer: halen we de eerstvolgende deadline? De echte vraag wordt: kunnen we aantonen hoe onze AI werkt, welke data erin zit, welke beslissingen eruit volgen en waar een mens kan ingrijpen als het misgaat?

De echte bottleneck is niet het model, maar het bewijs

In veel organisaties wordt AI nog steeds benaderd als een toolvraag. Welk model kiezen we? Welke copilots rollen we uit? Welke workflows kunnen we automatiseren? Dat zijn zinvolle vragen, maar ze missen de nieuwe kern. In de volgende fase van zakelijke AI wordt niet het model de schaarsste factor, maar de bewijslaag eromheen.

Als praktische managementaanpak bestaat die bewijslaag uit drie dingen. De precieze wettelijke verplichtingen verschillen per toepassing en per rol van aanbieder of gebruiksverantwoordelijke; onderstaande aanpak is geen uniforme wettelijke checklist. Ten eerste: herleidbaarheid van data. Je moet kunnen aanwijzen waar trainings- of contextdata vandaan komen, welke bewerkingen erop hebben plaatsgevonden en welke aannames daarin besloten liggen. Ten tweede: bestuurbaarheid. Je moet weten wie eigenaar is van een use case, wie toezicht houdt, wanneer escalatie verplicht is en wanneer een systeem simpelweg niet zelfstandig mag handelen. Ten derde: aantoonbaarheid. Niet alleen intern voor audit en risk, maar ook extern richting klanten, toezichthouders en ketenpartners.

Dat is precies waarom de recente discussie over de AI Act veel belangrijker is dan een puur juridisch uitstelbericht. Een opiniebijdrage in TechRadar Pro van 9 juli 2026 vat het scherp samen: de onderliggende eis is in feite provability. Met andere woorden: niet alleen AI gebruiken, maar kunnen bewijzen hoe je die AI verantwoord inzet.

Voor bestuurders is dat een cruciale verschuiving. AI-governance is daarmee geen map met beleidsteksten meer. Het wordt een operationele capaciteit, vergelijkbaar met financial control, security logging of kwaliteitsbeheer in productie.

Agenten verschuiven compliance van beleid naar processen

Die verschuiving wordt extra relevant nu bedrijven niet alleen experimenteren met chatinterfaces, maar met agenten die systemen aanroepen, acties uitvoeren en zelfstandig meerstapswerk verrichten. Een juridische working paper op arXiv uit april 2026 analyseert AI-agenten onder EU-recht, vóór de latere wetswijziging. De auteurs betogen dat high-risk agentic systems met niet-herleidbare gedragsverandering moeilijk verenigbaar zijn met de toenmalige eisen van de AI Act. Dat is een juridische analyse, geen bindend oordeel over een concrete toepassing. Hun praktische conclusie is misschien nog belangrijker: de eerste compliance-opgave is een uitputtende inventarisatie van externe acties, datastromen, gekoppelde systemen en betrokken personen.

Dat klinkt technisch, maar het is in werkelijkheid een managementopgave. Want zodra een agent niet alleen antwoord geeft, maar een korting toekent, een kandidaat afwijst, een klantsegment prioriteert of een workflow start, verschuift de vraag van productiviteit naar verantwoordelijkheid.

Daarmee verandert ook de rol van operations. Niet langer alleen procesoptimalisatie, maar procesbewijs. Welke beslissingen mag een AI-systeem autonoom nemen? Bij welke mag het systeem alleen adviseren? Waar ligt de handrem? Welke logs zijn verplicht? Welke uitzonderingen moeten altijd naar een medewerker? Het zijn vragen die thuishoren in de operatie, niet alleen bij legal.

Uitstel is nuttig als je de gewonnen tijd benut voor aanpassingen

Het actuele debat is daarom minder: moeten bedrijven blij zijn met soepelere termijnen? En meer: gebruiken ze de gewonnen tijd goed?

De Stanford AI Index 2026 beschrijft een bredere trend die hier naadloos op aansluit: AI-capaciteiten groeien sneller dan de systemen eromheen. Governancekaders, evaluatiemethoden, onderwijs en data-infrastructuur lopen achter op het tempo van de technologie. Dat is precies wat veel organisaties nu ervaren. De pilot werkt. De demo overtuigt. Maar de randvoorwaarden voor schaal ontbreken.

Wie daar te licht over denkt, loopt vroeg of laat tegen een reputatie- of kwaliteitsprobleem aan. Het AP-bericht over Deloitte Australia uit oktober 2025 is daarvoor een ongemakkelijke herinnering. In een overheidsrapport waarin Azure OpenAI was gebruikt, bleken referenties en citaten onjuist. Deloitte had volgens het bericht ingestemd met terugbetaling van de laatste contracttermijn. Los van de vraag of AI de directe oorzaak was, laat de casus iets belangrijkers zien: zodra AI-output in formele besluitvorming, assurance of publieke verantwoording belandt, wordt controle op bron, validatie en review een zakelijke randvoorwaarde.

Dat is de kernles. AI schaalt niet duurzaam op basis van enthousiasme. AI schaalt op basis van controleerbaarheid.

Wat bedrijven nu concreet moeten doen

De praktische route is minder spectaculair dan veel AI-keynotes beloven, maar strategisch veel waardevoller.

Begin met een nuchtere inventarisatie. Niet van alle tools die iemand ooit heeft getest, maar van de AI-toepassingen die echt invloed hebben op klanten, medewerkers, prijzen, risico-inschattingen, service of besluitvorming. Breng daarna per toepassing in kaart welke data worden gebruikt, uit welke systemen die komen, welke menselijke controlepunten bestaan en welke output daadwerkelijk gevolgen heeft.

Verdeel toepassingen vervolgens in drie groepen. Laag risico: ondersteuning zonder directe besluitimpact. Middel risico: voorbereiding van beslissingen, analyses of voorstellen. Hoog risico: systemen die inwerken op rechten, toegang, geld, werk, veiligheid of formele acceptatie. Dit is uitsluitend een interne prioritering voor managementaandacht en vervangt de juridische risicoclassificatie onder de AI Act niet. Welke wettelijke plichten gelden, hangt af van de concrete toepassing en de rol van de organisatie, bijvoorbeeld aanbieder of gebruiksverantwoordelijke.

Investeer daarna in drie bouwstenen:

1. Een datalaag die herkomst, bewerking en gebruik kan uitleggen.
2. Een governancelaag met eigenaarschap, escalaties en verplichte menselijke review.
3. Een bewijslaag met logging, evaluaties, incidentregistratie en periodieke herbeoordeling.

Pas daarna heeft grootschalige uitrol echt zin. Niet omdat innovatie moet worden afgeremd, maar omdat snelheid zonder bewijs uiteindelijk vertraging oplevert. Eerst in audits, daarna in incidenten en uiteindelijk in gemiste schaal.

De winnaars gebruiken uitstel als voorsprong

De sterkste bedrijven zullen de AI Act daarom niet lezen als een juridische hindernis, maar als een ontwerpdocument voor volwassen AI-operaties. Niet alles in de wet is perfect uitgewerkt. Niet alle details liggen vast. Delen van het tijdpad zijn inmiddels wettelijk verschoven. Maar de richting is allang duidelijk.

Europa stuurt bedrijven naar een AI-model waarin waarde en verantwoording samen moeten oplopen. Voor organisaties die nog vooral op losse pilots draaien, voelt dat als extra werk. Voor organisaties die AI serieus in processen willen verankeren, is het juist een kans om orde aan te brengen voordat schaal de complexiteit verdubbelt.

Het echte concurrentievoordeel van de komende fase zit daarom niet alleen in wie de beste modellen gebruikt. Het zit in wie kan aantonen wat die modellen doen, waar hun data vandaan komen, wie de uitkomsten controleert en hoe snel er kan worden bijgestuurd als de werkelijkheid afwijkt van de demo.

Uitstel helpt alleen bedrijven die het gebruiken om volwassen te worden.