Klinische AI-verplichtingen die nooit zijn uitgesteld tot 2027
Een politiek akkoord dat de verplichtingen voor hoog-risico AI onder de EU AI Act uitstelt tot december 2027, en tot augustus 2028 voor AI die is ingebed in gereguleerde medische hulpmiddelen, heeft ertoe geleid dat veel zorgsystemen de hele regelgeving afdoen als “een probleem voor volgend jaar.” Dat is een verkeerde interpretatie. Het uitstel geldt slechts voor specifieke hoofdstukken van de wet. Diverse andere verplichtingen zijn nooit uitgesteld, en sommige zijn nu al van kracht voor klinische AI-tools.
Het praktische risico is dat een zorgsysteem stilletjes stopt met AI-governance, om er vervolgens achter te komen dat transparantieverplichtingen en verplichtingen voor aanbieders van general-purpose AI, waarvan de modellen vaak onder klinische beslissingsondersteuning liggen, nooit onderdeel waren van het uitstel. Dit artikel zet uiteen wat het uitstel daadwerkelijk dekt, wat onaangeroerd blijft en wat dat betekent voor AI-governance die nu al in gang gezet moet zijn.
Samenvatting
De Digital Omnibus-amendement op de EU AI Act stelde verplichtingen voor hoog-risico systemen uit, momenteel tot december 2027 voor standalone systemen en augustus 2028 voor AI in gereguleerde medische hulpmiddelen, als reactie op onvoltooide technische standaarden. Dat uitstel raakt niet de verboden praktijken, de verplichtingen voor aanbieders van general-purpose AI-modellen of de transparantie-eisen, waarvan er al diverse bindend zijn voor zorgsystemen. Voor compliance-leiders zijn de data in 2027 en 2028 dus niet de juiste deadlines om op te sturen als het doel is om alle verplichtingen als nog openstaand te behandelen.
Belangrijkste punten
- Alleen verplichtingen uit Hoofdstuk III voor hoog-risico systemen en Annex I voor medische hulpmiddelen zijn uitgesteld, niet de hele wet.
- Transparantieverplichtingen onder Artikel 50 zijn niet uitgesteld en gelden nu al. Het informeren van patiënten over AI-interactie is nu al verplicht.
- Verplichtingen voor aanbieders van general-purpose AI-modellen zijn niet geraakt door het uitstel. Veel klinische AI-tools zijn gebaseerd op general-purpose modellen.
- Verboden AI-praktijken blijven verboden, ongeacht de tijdlijn voor hoog-risico systemen.
- Governance-infrastructuur die nu wordt gebouwd voor transparantie en documentatie blijft bruikbaar bij toekomstige hoog-risico classificatie.
Wat de Digital Omnibus daadwerkelijk heeft uitgesteld voor klinische AI
Het uitstelmechanisme is ingevoerd omdat de technische standaarden die nodig zijn om hoog-risico verplichtingen operationeel te maken niet op tijd gereed waren.
Een gericht uitstel voor Hoofdstuk III en Annex I, geen reset van de wet
Het uitstel geldt voor conformiteitsbeoordeling en het volledige compliance-regime dat van toepassing is op hoog-risico en ingebedde medische hulpmiddelen. Alles buiten deze categorieën loopt volgens de oorspronkelijke tijdlijn van de wet.
Backstop-data zijn er juist omdat standaarden nog in ontwikkeling zijn
De nieuwe data functioneren als uiterste grenzen, met 2027 en 2028 als absolute limieten. Toezichthouders verwachten dat zorgsystemen zich blijven voorbereiden tijdens de verlenging.
Wat nu al geldt voor zorgsystemen, uitstel of niet
Diverse verplichtingen vallen volledig buiten de uitgestelde categorieën en zijn van kracht volgens het oorspronkelijke schema.
Verplichtingen voor general-purpose AI-modellen golden al vóór het uitstel
Aanbieders van general-purpose AI-modellen, die veel klinische beslissingsondersteuning aandrijven, zijn al sinds vóór het Digital Omnibus-voorstel onderworpen aan documentatie- en transparantieverplichtingen.
Transparantie- en meldingsplichten gelden nu
Vereisten dat patiënten geïnformeerd worden wanneer ze met een AI-systeem te maken hebben, gelden volgens het oorspronkelijke schema van de wet en zijn niet verplaatst door de Omnibus.
Waarom het uitstel als pauze zien later meer kost
Een zorgsysteem dat alle AI-governance stopzet, gooit voorbereidend werk weg dat het halen van de uiteindelijke hoog-risico deadline eenvoudiger had gemaakt.
Documentatie en logs die nu worden opgebouwd zijn geen verspilde moeite
De registratie- en toegangscontrole die uiteindelijk vereist is voor hoog-risico systemen overlapt grotendeels met wat transparantieverplichtingen nu al vragen.
AI-governance bouwen rond wat nu daadwerkelijk geldt
Het praktische startpunt is het opdelen van de verplichtingen in wat nu al geldt en wat op een backstop-tijdlijn staat, en direct governance-werk prioriteren op de eerste lijst.
Hoe een Data Control Plane bestaande AI-governanceverplichtingen ondersteunt
Het Kiteworks Data Control Plane past data-bewuste zero-trust controls toe op elke actie van elke gebruiker of AI-agent over elk kanaal, en legt deze vast in een manipulatiebestendige, onbeperkte audit log die direct integreert met SIEM-tools. Zo krijgen zorgsystemen het gedetailleerde, doorzoekbare overzicht dat huidige transparantieverplichtingen vereisen.
Zorgsystemen die willen zien hoe dit werkt voor hun huidige AI-inzet kunnen een demo op maat aanvragen.
Veelgestelde vragen
Alleen verplichtingen uit Hoofdstuk III voor hoog-risico systemen en Annex I voor medische hulpmiddelen zijn uitgesteld, tot december 2027 voor standalone systemen en augustus 2028 voor AI in gereguleerde medische hulpmiddelen. De rest van de wet volgt de oorspronkelijke tijdlijn.
Ja. Transparantieverplichtingen onder Artikel 50 zijn niet uitgesteld door de Digital Omnibus en gelden nu al. Zorgsystemen moeten patiënten informeren wanneer zij met een AI-systeem te maken hebben.
Ja. Verplichtingen voor aanbieders van general-purpose AI-modellen zijn niet geraakt door het uitstel en gelden volgens het oorspronkelijke schema. Dit is relevant omdat veel klinische beslissingsondersteuning op deze modellen draait.
Verboden AI-praktijken blijven verboden, transparantieverplichtingen gelden nu al, en documentatie en logs die nu worden opgebouwd voor huidige verplichtingen blijven bruikbaar en verminderen de inspanning wanneer hoog-risico vereisten uiteindelijk van kracht worden.