Digital Omnibus: wat verandert er aan de AI Act en wat betekent dat voor compliance?

Een volledige analyse van het Digital Omnibus on AI-voorstel: wijzigingen, kritiek, Nederlands standpunt en praktische handvatten voor compliance professionals

Waarom dit voorstel er komt

Op 19 november 2025 publiceerde de Europese Commissie het Digital Omnibus on AI-voorstel als onderdeel van een breder Digital Package, samen met de Data Union Strategy en European Business Wallets (European Commission). Nog geen vijftien maanden na inwerkingtreding van de AI Act wil de Commissie de wet op meerdere punten aanpassen.

De directe aanleiding is een combinatie van drie factoren.

1. Het Draghi-rapport en de competitiveness-agenda

In september 2024 presenteerde Mario Draghi zijn rapport over Europees concurrentievermogen. De kernboodschap: de EU valt steeds verder achter bij de VS en China in geavanceerde technologieën. Regelgeving werd door meer dan 60% van Europese bedrijven als obstakel voor investering ervaren (Liberties.eu). Het rapport werd het intellectuele fundament voor een bredere dereguleringsagenda binnen de Commissie.

2. Implementatieproblemen bij de AI Act zelf

De aanwijzing van nationale toezichthouders verliep traag. De ontwikkeling van geharmoniseerde standaarden door CEN-CENELEC bleef achter op schema. Bedrijven moesten voldoen aan regels waarvoor de praktische handvatten — standaarden, richtlijnen, specificaties — nog ontbraken (Gleiss Lutz). Dit was een reëel probleem: de AI Act stelt hoge eisen, maar de instrumenten om aan die eisen te voldoen waren niet beschikbaar.

3. Politieke en geopolitieke druk

Grote techbedrijven voerden een intensieve lobbycampagne. De Trump-administratie zette via het Amerikaanse AI Action Plan druk op de EU om digitale regels te versoepelen (Liberties.eu). De Commissie presenteerde het voorstel met de belofte om administratieve lasten met minimaal 25% te verlagen voor alle bedrijven en 35% voor het MKB, met een verwachte besparing van zes miljard euro (IAPP).

De kernwijzigingen aan de AI Act

Het voorstel bevat acht concrete wijzigingen. Hieronder een systematische analyse van elk onderdeel.

1. Uitgestelde deadlines voor hoog-risico AI-systemen (Artikel 113)

Dit is de meest ingrijpende wijziging. De verplichtingen voor hoog-risico AI-systemen worden gekoppeld aan de beschikbaarheid van geharmoniseerde standaarden en andere compliance-instrumenten.

Het mechanisme: de Commissie neemt een besluit wanneer de noodzakelijke ondersteuningsmaatregelen (standaarden, specificaties, richtlijnen) beschikbaar zijn. Pas na dat besluit begint de klok te lopen (Bird & Bird).

Beoordeling: Het koppelen van deadlines aan standaardenbeschikbaarheid is op zichzelf verdedigbaar. CEN-CENELEC's Joint Technical Committee 21 geeft zelf aan dat volledige standaarden mogelijk niet vóór december 2026 beschikbaar zijn (Morrison & Foerster). Maar Morrison & Foerster wijst op een fundamenteel probleem: de strikte uiterste datum blijft problematisch als standaardenontwikkeling opnieuw vertraagt. Bedrijven rapporteren consistent dat zij minimaal 12 maanden nodig hebben om zelfs aan één standaard te voldoen (Morrison & Foerster).

2. AI-geletterdheid: van verplichting naar aanmoediging (Artikel 4)

De huidige AI Act verplicht álle aanbieders en gebruikers om te zorgen dat hun personeel voldoende AI-geletterd is. Die verplichting geldt sinds 2 februari 2025.

Wat verandert: de verplichting voor aanbieders en gebruikers wordt geschrapt. In plaats daarvan moeten de Commissie en lidstaten aanbieders en gebruikers "aanmoedigen" om maatregelen te nemen. Dat kan bestaan uit het aanbieden van trainingsmogelijkheden, informatieve bronnen en uitwisseling van goede praktijken (Morrison & Foerster, Gleiss Lutz).

Wat blijft: gebruikers van hoog-risico AI-systemen behouden wél de plicht om training te verzorgen.

Beoordeling: Dit is geen technische vereenvoudiging, maar een fundamentele beleidswijziging. Een harde, handhaafbare plicht wordt een beleidsaanbeveling. Het EDPB en de EDPS zijn hier "sterk tegen" (zie hieronder).

3. Registratieplicht geschrapt (Artikel 49)

Onder de huidige wet moeten aanbieders van AI-systemen die onder Bijlage III vallen zich registreren in de EU-database, ook als zij concluderen dat hun systeem niet hoog-risico is (via het Artikel 6(3)-mechanisme).

Wat verandert: Artikel 49(2) wordt volledig geschrapt. Aanbieders hoeven hun zelfbeoordeling alleen nog te documenteren en beschikbaar te houden voor toezichthouders (Morrison & Foerster, Gleiss Lutz).

Beoordeling: Publieke registratie verdwijnt, en daarmee publieke controleerbaarheid. Aanbieders die concluderen dat hun systeem niet hoog-risico is, hoeven dat niet meer transparant te maken. De documentatieplicht blijft, maar zonder publieke database is externe verificatie vrijwel onmogelijk.

4. Verwerking bijzondere persoonsgegevens uitgebreid (nieuw Artikel 4a)

De huidige AI Act staat het gebruik van bijzondere persoonsgegevens (zoals etniciteit, gezondheidsdata, seksuele oriëntatie) toe voor bias-detectie in hoog-risico AI-systemen, mits "strikt noodzakelijk."

Twee wijzigingen:

1. De mogelijkheid wordt uitgebreid naar alle AI-systemen, niet alleen hoog-risico (Morrison & Foerster, IAPP)
2. De drempel wordt verlaagd van "strikt noodzakelijk" naar "noodzakelijk"

Dit gaat gepaard met strikte waarborgen: state-of-the-art beveiliging, geen overdracht aan derden, verwijdering na detectie of verlopen bewaartermijn (Bird & Bird).

Beoordeling: Bias-detectie is essentieel voor eerlijke AI. Maar de verruiming naar alle AI-systemen gecombineerd met de verlaagde drempel opent een bredere deur dan strikt nodig voor dat doel.

5. Conformiteitsbeoordeling: sectorwetgeving gaat voor (Artikel 43)

Bij producten die zowel onder sectorale wetgeving (medische hulpmiddelen, machines) als de AI Act vallen, moet de aanbieder voortaan de conformiteitsbeoordelingsprocedure van de sectorale wetgeving volgen. De AI Act-eisen worden daarin geïntegreerd (Morrison & Foerster).

Nieuw "once-only"-principe: aanbieders dienen één aanvraag in en ondergaan één beoordeling voor zowel de AI Act als de sectorale wet. Notified bodies onder sectorale wetgeving moeten zich binnen 18 maanden aanmelden als notified body onder de AI Act (Morrison & Foerster).

6. Centralisering toezicht bij het AI Office (Artikel 75)

Het toezicht op twee categorieën AI-systemen wordt gecentraliseerd bij het AI Office van de Commissie (Morrison & Foerster, Gleiss Lutz):

• AI-systemen gebouwd op GPAI-modellen waar dezelfde aanbieder zowel model als systeem ontwikkelt
• AI-systemen geïntegreerd in VLOPs/VLOSEs (zeer grote online platforms/zoekmachines onder de DSA)

Het AI Office krijgt bevoegdheid voor pre-market conformiteitsbeoordelingen. De aanbieder draagt de kosten.

7. Uitbreiding MKB- en SMC-regelingen (Artikel 63)

Vereenvoudigde compliance-procedures die eerder alleen voor micro-ondernemingen golden, worden uitgebreid naar alle MKB-bedrijven en small mid-cap ondernemingen (SMC's). Dit omvat vereenvoudigde technische documentatie en proportionele sancties (Gleiss Lutz).

De Commissie introduceert bindende definities van MKB en SMC in Artikel 3 van de AI Act.

8. Meer flexibiliteit in post-market monitoring (Artikel 72)

De bevoegdheid van de Commissie om een geharmoniseerd template voor monitoringplannen vast te stellen wordt geschrapt. Aanbieders krijgen meer ruimte om monitoringsystemen specifiek op hun organisatie af te stemmen. De Commissie publiceert in plaats daarvan richtlijnen (Gleiss Lutz).

Wat NIET verandert

Het is minstens zo belangrijk om te weten wat het voorstel ongemoeid laat.

Verboden AI-praktijken (Artikel 5): De lijst van verboden AI-systemen — waaronder social scoring, niet-doelgerichte gezichtsherkenning, en manipulatieve AI — blijft volledig intact. Deze verplichtingen gelden sinds 2 februari 2025 en worden niet door het Omnibus geraakt.

Fundamentele rechten-toets (Artikel 27): De verplichting voor gebruikers van hoog-risico AI-systemen om een fundamental rights impact assessment (FRIA) uit te voeren blijft bestaan, hoewel Morrison & Foerster opmerkt dat het schrappen ervan tot de gemiste kansen behoort vanwege overlap met de DPIA onder de AVG (Morrison & Foerster).

GPAI-verplichtingen: De verplichtingen voor general-purpose AI-modellen (Artikel 51-56) die sinds 2 augustus 2025 gelden, blijven van kracht. De Commissie centraliseert het toezicht, maar verzwakt de regels niet inhoudelijk.

Transparantieverplichtingen (Artikel 50, deels): De verplichting om gebruikers te informeren dat zij met een AI-systeem communiceren blijft per 2 augustus 2026 van kracht. Alleen de machine-readable markering (watermerken) krijgt uitstel voor bestaande systemen.

Kritiek op het voorstel

EDPB en EDPS: steun met stevige kanttekeningen

Op 21 januari 2026 publiceerden het EDPB en de EDPS hun Joint Opinion 1/2026 (EDPB persbericht, Joint Opinion PDF). De toon is diplomatiek maar stevig. Reed Smith vat de positie samen als een spanning tussen "het bevorderen van innovatie" en "effectief toezicht en bescherming van betrokkenen" (Reed Smith).

Over AI-geletterdheid: het EDPB en de EDPS zijn "sterk tegen" het omzetten van de verplichting in een aanmoediging. AI-geletterdheid is volgens hen cruciaal voor het begrijpen van AI-concepten, ethisch bewustzijn en de bescherming van grondrechten. Nieuwe verplichtingen voor de Commissie moeten bestaande verplichtingen aanvullen, niet vervangen (EDPB, Reed Smith).

Over registratie: de toezichthouders adviseren tegen het schrappen van de registratieplicht. De wijziging zou de verantwoordingsplicht "significant ondermijnen" en een onwenselijke prikkel creëren om de hoog-risico-classificatie te ontlopen (EDPB).

Over bijzondere persoonsgegevens: zij erkennen het belang van bias-detectie, maar dringen aan op herstel van de "strikt noodzakelijk"-drempel en beperking tot situaties waarin het risico op nadelige effecten "voldoende ernstig" is (Reed Smith).

Over uitstel: "oprechte zorgen" over de vertraging, gezien de snelle AI-ontwikkelingen. De co-wetgevers worden opgeroepen om voor transparantie-eisen de oorspronkelijke tijdlijn te handhaven (EDPB).

EDPB-voorzitter Anu Talus: "Innovatie en efficiëntie zijn cruciaal en kunnen samengaan met het handhaven van verantwoordingsplicht voor AI-aanbieders." (EDPB)

Maatschappelijke organisaties: "historische terugval"

133 maatschappelijke organisaties en vakbonden ondertekenden een gezamenlijke verklaring die de Commissie opriep het voorstel te stoppen (EDRi).

• EDRi noemde het "een fundamentele terugval van EU digitale bescherming" en "een point of no return" voor digitale rechten (EDRi)
• Civil Liberties Union for Europe stelde dat het Omnibus "Big Tech precies geeft wat het wilde" en dat de Commissie tijdens het opstellen géén impactanalyse heeft uitgevoerd — terwijl zij beweerde dat de wijzigingen "geen impact op grondrechten" zouden hebben (Liberties.eu)

Wat kritische juristen zeggen

Morrison & Foerster concludeert dat het voorstel "slechts beperkte substantiële reducties in regelgevende eisen biedt" en dat het faalt om urgente behoeften van de industrie te adresseren. Hun kernvraag: "Als zelfs de Commissie en standaardisatie-organisaties hun eigen verduidelijkingsdoelen en deadlines niet halen, hoe kunnen bedrijven dan verwacht worden om te voldoen aan vaak complexe en onduidelijke vereisten?" (Morrison & Foerster)

Gleiss Lutz positioneert de wijzigingen als "geen deregulering, maar concessies op praktisch niveau" (Gleiss Lutz). Bird & Bird waarschuwt dat de versnelde behandeling via Rule 170 (urgentieprocedure) de mogelijkheden voor amendementen en stakeholder-engagement aanzienlijk zou beperken (Bird & Bird).

Nederlands standpunt: het BNC-fiche

Op 12 december 2025 publiceerde het kabinet zijn BNC-fiche over de Omnibus AI en Omnibus Digitaal (Rijksoverheid). Het standpunt: welwillend over het doel, kritisch over de uitwerking.

Nederland erkent dat minder regeldruk voordelen biedt, met name voor het MKB. Maar het kabinet stelt dat meerdere wijzigingen het niveau van gegevensbescherming "wezenlijk verminderen." Specifieke zorgen:

• Persoonsgegevens voor AI-training: het verruimde gebruik van gevoelige persoonsgegevens botst volgens het kabinet met grondrechten en gaat verder dan nodig voor lastenverlichting
• AVG-aanpassingen in de bredere Omnibus: versoepeling van de verwerkingsgrondslag "gerechtvaardigd belang" en de datalekmelding verzwakken de burgerbescherming
• Centralisering cybermeldpunt: Nederland vreest dat nationale meldsystemen worden gepasseerd
• Ontbrekende impactanalyse: onduidelijk wat de voorstellen concreet opleveren en wat de gevolgen zijn

Het kabinet wil dat de omnibussen "versimpelen, verduidelijken en stroomlijnen" zonder dat de doelen van de wetgeving — bescherming van grondrechten, veiligheid en privacy — worden ondergraven (Rijksoverheid).

Tijdlijn: waar staat het proces?

Het voorstel doorloopt de gewone wetgevingsprocedure (ordinary legislative procedure). Dit is de verwachte tijdlijn op basis van Bird & Bird (Bird & Bird):

Mogelijk versnelde procedure: het EP kan Rule 170 (urgentieprocedure) toepassen, waardoor het voorstel de volledige commissiefase overslaat en direct naar een plenaire stemming gaat. Dit zou aanname al in Q1 2026 mogelijk maken, maar beperkt amendementen en stakeholder-engagement aanzienlijk (Bird & Bird).

Digital Fitness Check: parallel werkt de Commissie aan een tweede fase — een uitgebreide "stresstest" van het volledige Digital Rulebook. Stakeholders kunnen tot 11 maart 2026 input leveren (Morrison & Foerster).

Wat je nu moet doen als compliance professional

Het Omnibus-voorstel is een voorstel, geen wet. Maar het creëert onzekerheid die actief gemanaged moet worden. Hieronder drie scenario's en een concreet actieplan.

Scenario's

Scenario 1 — Omnibus wordt grotendeels aangenomen (Q2/Q3 2026): maximaal 16 extra maanden voor Bijlage III-systemen, AI-geletterdheid wordt soft law, registratieplicht voor self-assessed systemen vervalt.

Scenario 2 — Omnibus wordt significant geamendeerd (meest waarschijnlijk): het EP en de Raad voegen strengere waarborgen toe, maar behouden de uitgestelde deadlines. Verwacht behoud van ten minste de registratieplicht en een tussenoplossing voor AI-geletterdheid.

Scenario 3 — Omnibus stagneert: politieke tegenstellingen vertragen het proces zodanig dat oorspronkelijke deadlines van kracht blijven. Onwaarschijnlijk, maar niet uitgesloten.

Concreet actieplan

1. AI-geletterdheid: blijf investeren

Ongeacht het Omnibus. Het EDPB en de EDPS steunen handhaving. De Autoriteit Persoonsgegevens heeft concrete handreikingen gepubliceerd. En het is gewoon goed risicomanagement. Organisaties die nu investeren in AI-geletterdheid zijn beter voorbereid op elke uitkomst.

2. Registratie: registreer proactief

Mocht de registratieplicht verdwijnen, heeft u niets verloren. Verdwijnt ze niet, bent u voorbereid. Registratie dwingt bovendien tot een gestructureerde inventarisatie van AI-systemen die sowieso nodig is.

3. Hoog-risico compliance: start nu met gap-analyses

Zelfs met 16 maanden uitstel is de implementatietijd krap. Begin met risicobeoordelingen en gap-analyses. Volg de ontwikkeling van standaarden actief.

4. Documentatie en governance: bouw het fundament

De documentatieplicht voor self-assessed systemen blijft in alle scenario's bestaan. Zorg voor een governance-structuur die niet afhankelijk is van de uitkomst van het Omnibus.

5. Monitor actief

Volg de parlementaire behandeling, de Raadspositie en de triloog-onderhandelingen. Stel een intern team of externe adviseur aan om de compliance-strategie bij te sturen op basis van ontwikkelingen.

Analyse: waar ligt de grens tussen vereenvoudiging en uitholling?

De AI Act had reële implementatieproblemen. Standaarden die ontbreken, toezichthouders die niet zijn aangewezen, richtlijnen die op zich laten wachten — dat zijn legitieme obstakels. Het koppelen van deadlines aan standaardenbeschikbaarheid is een verdedigbare keuze.

Maar het voorstel gaat verder dan pragmatische bijsturing. Het onderscheid is cruciaal:

Implementatie-ondersteuning (meer tijd, betere standaarden, praktische richtlijnen) is welkom en nodig. Niemand is gebaat bij handhaving van regels waarvoor de instrumenten ontbreken.

Regelverlichting (minder verplichtingen, lagere drempels, minder transparantie) is een politieke keuze die als technische vereenvoudiging wordt verpakt. Het schrappen van de AI-geletterdheidsverplichting, het verwijderen van de registratieplicht, en het verlagen van de drempel voor bijzondere persoonsgegevens vallen in deze categorie.

De Commissie haalt deze twee doelen door elkaar. En dat is precies de reden waarom het EP, de Raad, het EDPB, de EDPS en 133 maatschappelijke organisaties zo kritisch reageren.

De meest waarschijnlijke uitkomst is een geamendeerd voorstel dat de deadline-uitstellen behoudt maar de inhoudelijke verzwakkingen deels terugdraait. Dat zou de pragmatische oplossing zijn die het politieke midden kan dragen.

Conclusie

Het Digital Omnibus-voorstel adresseert reële implementatieproblemen, maar verpakt tegelijkertijd substantiële beleidswijzigingen als "vereenvoudiging." De komende maanden bepalen het Europees Parlement en de Raad of de kern van de AI Act — transparantie, verantwoording, bescherming van grondrechten — overeind blijft.

Voor compliance professionals is de boodschap helder: wacht niet op het Omnibus. De huidige AI Act is de wet. De verboden zijn van kracht, de GPAI-regels gelden, en de deadlines voor hoog-risico komen eraan. Gebruik een eventueel uitstel niet als reden om achterover te leunen, maar als extra tijd om het goed te doen.

Bronnen

1. Digital Omnibus on AI Regulation Proposal — European Commission
2. EU Digital Omnibus on AI: What Is in It and What Is Not? — Morrison & Foerster LLP
3. EDPB and EDPS support streamlining AI Act implementation but call for stronger safeguards — EDPB
4. EDPB-EDPS Joint Opinion 1/2026 — EDPB/EDPS (PDF)
5. Commission's digital omnibus proposal to simplify the Artificial Intelligence Act — Gleiss Lutz
6. AI Act 2.0 — The Commission's regulatory remix proposal — Bird & Bird
7. EU Digital Omnibus: Analysis of key changes — IAPP
8. Forthcoming Digital Omnibus would mark point of no return — EDRi
9. The Digital Omnibus: What It Means for AI Regulation — Civil Liberties Union for Europe
10. Fiche 2 - Omnibus AI en Omnibus Digitaal — Rijksoverheid (BNC-fiche)
11. Fiche 2 - Omnibus AI en Omnibus Digitaal — Rijksoverheid
12. EDPB & EDPS issue Joint Opinion on the EU Digital Omnibus on AI — Reed Smith LLP