EU AI-wet krijgt een verlenging van 16 maanden: Uitstel, geen afstel
Gereguleerde organisaties die zich haasten richting de AI-nalevingsdeadline van augustus 2026, hebben zojuist 16 maanden extra gekregen – en het instinct om opgelucht adem te halen en gas terug te nemen is precies de verkeerde reactie. Het Europees Parlement keurde op 16 juni 2026 wijzigingen goed op de EU AI-wet, waardoor de nalevingsdeadline voor zelfstandige AI-systemen met hoog risico die onder Bijlage III vallen, is verschoven van 2 augustus 2026 naar 2 december 2027. Deze stap biedt wat ademruimte, maar Morgan Lewis, het wereldwijde advocatenkantoor dat de wijzigingen grondig analyseerde, is duidelijk: toezichthouders geven geen signaal af dat er pauze genomen mag worden. Ze geven meer tijd om het goed te doen.
Voor grote organisaties die AI-systemen inzetten die raken aan onderwijs, werkgelegenheid, kredietbeoordeling, kritieke infrastructuur of wetshandhaving – de sectoren die expliciet onder Bijlage III vallen – verandert de verlengde deadline de tijdlijn voor naleving, maar niet de onderliggende verplichtingen. Een tweede wijziging verschuift de deadline voor AI die als veiligheidscomponent is ingebouwd in producten die onder EU-harmonisatiewetgeving vallen, van 2 augustus 2027 naar 2 augustus 2028. En een nieuwe bepaling verbiedt AI-aangedreven nudifier-applicaties volledig, met ingang van 2 december 2026 – een deadline die niet is verschoven.
Wat de wijzigingen gezamenlijk weerspiegelen, is een Europese toezichtspositie die zich aanpast aan de realiteit van implementatie, maar vasthoudt aan de oorspronkelijke intentie. De kernvereisten van de EU AI-wet – risicobeheer, transparantie, menselijke controle, gegevensbeheer en verantwoording – blijven ongewijzigd. Organisaties die de deadline-uitstel zien als reden om nalevingswerk uit te stellen, zullen op 2 december 2027 net zo slecht voorbereid zijn als ze op 2 augustus 2026 zouden zijn geweest, alleen met minder tijd om te handelen voordat de volgende handhavingsgolf begint.
Het Kiteworks 2026 Data Security and Compliance Risk: Annual Forecast Report laat zien dat AI governance en EU-naleving tot de belangrijkste strategische prioriteiten behoren voor security- en compliance-teams van ondernemingen dit jaar. De wijzigingen maken het governancegesprek urgenter, niet minder – omdat het venster om de juiste infrastructuur te bouwen nu openstaat.
Belangrijkste inzichten
1. De deadline van Bijlage III is 16 maanden verschoven, niet permanent.
Zelfstandige AI-systemen met hoog risico moeten nu uiterlijk op 2 december 2027 voldoen. De onderliggende risico- en governanceverplichtingen onder de EU AI-wet blijven ongewijzigd – alleen de tijdlijn is verschoven, niet de vereisten.
2. Het nudifier-verbod is niet uitgesteld.
AI-applicaties die niet-consensuele intieme beelden genereren, zijn verboden met ingang van 2 december 2026. Organisaties met AI-platforms voor contentgeneratie of beeldverwerking moeten hun risico direct beoordelen.
3. Toezichthouders willen actieve governance zien, geen uitgestelde papierwinkel.
Morgan Lewis merkt op dat EU-toezichthouders hebben aangegeven vanaf het moment dat de nieuwe deadlines ingaan, te zullen handhaven. De verlenging is bedoeld om te implementeren, niet om te vertragen.
4. AI-systemen als veiligheidscomponent krijgen 12 maanden uitstel, geen 16.
AI ingebouwd als veiligheidscomponent in producten die onder EU-harmonisatiewetgeving vallen, verschuift van 2 augustus 2027 naar 2 augustus 2028 – een andere tijdlijn die organisaties in de productie, medtech en industriële sectoren mogelijk verkeerd volgen.
5. Het 16-maandenvenster is hét moment om AI-gegevensbeheerinfrastructuur te bouwen.
Organisaties die deze tijd benutten om beleidsgestuurd contentbeheer in te voeren, zullen bij de deadline van december 2027 klaar zijn voor audit, in plaats van te moeten zoeken naar documentatie die ze niet hebben.
Welke Data Compliance Standards zijn belangrijk?
Lees nu
Wat de wijzigingen in de EU AI-wet daadwerkelijk hebben veranderd
De EU AI-wet, die in augustus 2024 van kracht werd, rolt de nalevingsverplichtingen gefaseerd uit. De wijzigingen die het Europees Parlement op 16 juni 2026 heeft goedgekeurd, hebben betrekking op twee specifieke categorieën van AI-systemen met hoog risico en introduceren één nieuw verbod.
De belangrijkste wijziging betreft zelfstandige AI-systemen met hoog risico zoals gedefinieerd in Bijlage III van de wet. Bijlage III noemt acht risicocategorieën: biometrische identificatie, beheer van kritieke infrastructuur, onderwijs en beroepsopleiding, werkgelegenheid en personeelsbeheer, toegang tot essentiële particuliere en publieke diensten (inclusief kredietbeoordeling), wetshandhaving, migratie en asiel, en rechtspraak. Elk AI-systeem dat in deze categorieën valt en als zelfstandig product wordt ingezet – dus niet als onderdeel van een ander product – heeft nu een nalevingsdeadline van 2 december 2027, verlengd vanaf de oorspronkelijke datum van 2 augustus 2026. De verlenging van 16 maanden weerspiegelt feedback uit de sector dat de oorspronkelijke implementatietijdlijn simpelweg niet haalbaar was voor complexe AI-governancevereisten.
De tweede wijziging betreft AI-systemen die als veiligheidscomponent worden ingezet in producten die onder EU-productharmonisatiewetgeving vallen – medische apparatuur, machines of industriële apparatuur waarbij AI ondersteunt bij veiligheidskritieke functies. Deze systemen hadden al een langere nalevingstermijn (oorspronkelijk 2 augustus 2027), en hun deadline verschuift nu naar 2 augustus 2028. Organisaties in de productie, medtech of industriële sectoren met AI-ondersteunde veiligheidssystemen moeten hun nalevingsplannen hierop aanpassen.
Het derde element is een nieuw verbod op AI-aangedreven nudifier-applicaties – software die realistische niet-consensuele intieme beelden genereert. Dit verbod geldt vanaf 2 december 2026, dus nog vóór de verlengde deadlines voor AI-systemen met hoog risico. Organisaties met contentgeneratieplatforms, consumentgerichte AI-applicaties of beeldverwerkende systemen die op deze manier misbruikt kunnen worden, moeten hun risico nu beoordelen, niet later.
GDPR-compliance teams die de EU AI-wet volgen, zullen de overlap herkennen: veel van de persoonsgegevensbescherming die onder de GDPR geldt, is ook van toepassing op de persoonsgegevens die door AI-systemen met hoog risico onder Bijlage III worden verwerkt. De wijzigingen veranderen niets aan die overlap – ze verlengen alleen de tijdlijn voor organisaties die de infrastructuur hiervoor nog niet hebben gebouwd. Dataminimalisatie en doelbindingsverplichtingen die de GDPR al oplegt aan de verwerking van persoonsgegevens, gelden evenzeer voor de trainings- en operationele data die door AI-systemen onder Bijlage III worden gebruikt, waardoor GDPR-dataverwerkingspraktijken het logische startpunt vormen voor gegevensbeheer onder de EU AI-wet.
Waarom de verlenging niet betekent wat veel organisaties denken
Het instinct bij een verschoven deadline is om het uitstel te zien als impliciete toestemming om het werk minder prioriteit te geven. De analyse van Morgan Lewis benoemt dit expliciet: toezichthouders hebben aangegeven vanaf het moment dat de nieuwe deadlines ingaan te zullen handhaven, en vroege handhavingssignalen zijn zichtbaar in aanpalende regelgeving. NIS2-naleving in EU-lidstaten, DORA-vereisten voor de financiële sector en GDPR-handhavingsacties in de afgelopen 18 maanden wijzen allemaal op een Europese toezichtomgeving die snel handhaaft en organisaties bestraft die deadlines als planningshorizon behandelen in plaats van als harde einddatum.
Er is ook een praktische reden om nu te beginnen. De AI-governance-infrastructuur die de EU AI-wet vereist – risicobeheersystemen, data quality frameworks, mechanismen voor menselijke controle, audittrails en transparantiedocumentatie – kost tijd om correct op te bouwen. Organisaties die pas 12 maanden voor een deadline beginnen met implementeren, merken vaak dat de eerste zes maanden onverwachte complexiteit aan het licht brengen: legacy AI-systemen die nooit geïnventariseerd zijn, datastromen zonder governance-instrumentatie, AI-componenten van leveranciers die niet voldoen aan de transparantievereisten van de wet. Een formele risicobeoordeling die nu wordt uitgevoerd – waarbij elk AI-systeem wordt gemapt op de Bijlage III-categorieën – geeft compliance-teams de prioriteitenlijst die ze nodig hebben om het implementatiewerk over de beschikbare 16 maanden te verdelen.
De EU-datawet en aanverwante Europese dataverordeningen maken het nog complexer: governanceverplichtingen staan niet op zichzelf. Een organisatie die AI-governance bouwt voor naleving van de EU AI-wet, moet er ook voor zorgen dat haar AI-datastromen voldoen aan datasoevereiniteit-vereisten, grensoverschrijdende overdrachtsbeperkingen onder de GDPR en sectorspecifieke data-eisen die per lidstaat verschillen. Governance-infrastructuur bouwen die aan al deze eisen tegelijk voldoet, is een inhoudelijk technische en organisatorische opgave. Zestien maanden voor de deadline beginnen is veel beter dan vier maanden ervoor.
Wat vereist naleving van de EU AI-wet daadwerkelijk?
De vereisten van de EU AI-wet voor AI-systemen met hoog risico onder Bijlage III zijn gedetailleerd en documentatie-intensief. De kernverplichtingen beslaan diverse onderling verbonden gebieden.
Conformiteitsbeoordeling vereist dat organisaties systematisch evalueren of hun AI-systeem voldoet aan de eisen van de wet op het gebied van transparantie, nauwkeurigheid, robuustheid en cyberbeveiliging. Voor de meeste systemen met hoog risico omvat dit zowel interne beoordeling als de mogelijkheid van een externe audit. Risicobeheersystemen moeten worden opgezet, onderhouden en gedurende de hele levenscyclus van het systeem worden bijgewerkt – dit is geen eenmalige beoordeling, maar een doorlopend governanceproces dat risico’s volgt naarmate het AI-systeem zich ontwikkelt en het dreigingslandschap verandert.
Gegevensbeheerpraktijken moeten betrekking hebben op de trainings-, validatie- en testdata die worden gebruikt om het AI-systeem te ontwikkelen. Organisaties onder Bijlage III moeten documenteren dat hun trainingsdata relevant, representatief en vrij van fouten is die tot discriminerende uitkomsten kunnen leiden. Dataclassificatie toegepast op trainingsdatasets – waarbij content wordt gelabeld naar gevoeligheidsniveau en beoogd doel – vormt de bewijsgrondslag die auditors zullen onderzoeken bij het verifiëren of gegevensbeheerpraktijken voldoen aan de kwaliteitscriteria van de wet. Mechanismen voor menselijke controle moeten ervoor zorgen dat mensen kunnen ingrijpen, overrulen of de output van het AI-systeem kunnen stoppen – voor autonome AI-systemen betekent dit een directe architecturale eis, omdat het systeem zo ontworpen moet zijn dat menselijke controle technisch mogelijk is, niet alleen theoretisch.
Technische documentatie en logging vereisen dat organisaties uitgebreide gegevens bijhouden over het ontwerp, de ontwikkeling, het testen, de prestaties en de operationele geschiedenis van het systeem. Deze gegevens moeten worden bewaard en op verzoek beschikbaar worden gesteld aan toezichthouders.
AI data governance-frameworks die aan deze eisen voldoen, delen een gemeenschappelijke basis: ze behandelen alle data die in of uit een AI-systeem stroomt als onderhevig aan governancecontroles. Kiteworks Compliant AI biedt de beleidslaag die deze vereisten uitvoerbaar maakt – content governance die filtert, logs en controleert welke data een AI-workflow binnenkomt, met een manipulatiebestendige audittrail die voldoet aan de documentatievereisten van de wet. Het CISO-dashboard biedt realtime inzicht in alle door AI gemedieerde data-accessevenementen, zodat compliance-teams de bewijslast hebben die nodig is voor doorlopende toezicht in plaats van alleen auditvoorbereiding op een specifiek moment.
Vereisten voor gegevensprivacy onder Bijlage III raken specifiek aan persoonsgegevens: elk AI-systeem dat persoonsgegevens verwerkt voor kredietbeoordeling, personeelsbeslissingen of wetshandhavingsfuncties, moet aantonen dat de dataverwerkingspraktijken voldoen aan de GDPR naast de verplichtingen van de EU AI-wet. GDPR-naleving en AI-wet-naleving zijn geen parallelle trajecten – het zijn overlappende vereisten die dezelfde governance-infrastructuur delen. Organisaties die deze apart bouwen, doen dubbel werk.
De datasoevereiniteitsdimensie
Voor Europese ondernemingen en multinationals met activiteiten in de EU valt naleving van de EU AI-wet binnen een breder datasoevereiniteit-nalevingskader. AI-systemen met hoog risico die persoonsgegevens van EU-ingezetenen verwerken, zijn onderworpen aan beperkingen op waar die data mag worden opgeslagen, hoe deze naar derde landen mag worden overgedragen en wie er toegang toe heeft. Deze beperkingen bestaan in de GDPR, nationale privacywetten en sectorspecifieke regelgeving – maar ze beperken de architectuur van elk compliant AI-systeem.
Organisaties die voor AI-verwerking gebruikmaken van Amerikaanse cloudproviders, worstelen al jaren met deze spanning. De EU AI-wet voegt daar een laag aan toe: zelfs als een dataoverdracht GDPR-compliant is, moet het AI-systeem zelf voldoen aan de Bijlage III-vereisten, waaronder technische documentatie en logging die toegankelijk is voor EU-toezichthouders. Als de technische documentatie van het systeem bij een cloudprovider staat onder voorwaarden die EU-toegang beperken, is de conformiteit van het systeem twijfelachtig. Door de klant beheerde encryptiesleutels zijn het architecturale controlemiddel dat toegang van de cloudprovider tot gereguleerde data voorkomt – zodat geen enkele verplichte openbaarmaking aan een cloudprovider de onderliggende inhoud van trainings- of operationele data van een EU AI-systeem kan blootleggen.
Dataresidentie-vereisten maken cloud-AI-implementaties nog ingewikkelder. Sommige lidstaten hebben nationale vereisten die gevoelige persoonsgegevens verplichten op servers in eigen land op te slaan, ongeacht EU-brede overdrachtskaders. AI-systemen die data in deze categorieën verwerken, hebben architecturen nodig die aan residentievereisten voldoen zonder de governance-inzichten te verliezen die de EU AI-wet vereist.
Het Kiteworks Private Data Network speelt hier direct op in en biedt een gereguleerde omgeving die dataresidentie- en datasoevereiniteitconfiguraties ondersteunt naast het contentbeheer dat vereist is voor naleving van de EU AI-wet. Audit logs die door het platform worden gegenereerd, voldoen zowel aan de verantwoordingsvereisten van de GDPR als aan de loggingverplichtingen van de EU AI-wet – en creëren zo een eenduidig governanceverslag dat toezicht over beide kaders tegelijk ondersteunt.
De verlenging verstandig benutten
De 16 maanden die nu beschikbaar zijn voor de deadline van Bijlage III, zijn voldoende om een verdedigbaar AI-governanceprogramma op te bouwen, mits het werk nu start. Dit is de volgorde die werkt: begin met een inventarisatie van AI-systemen, waarbij elk systeem dat onder Bijlage III valt wordt geïdentificeerd; ga door met risicoclassificatie, waarbij elk systeem wordt getoetst aan de risicocriteria van de wet; voer DPIA-analyses uit voor systemen die persoonsgegevens verwerken; bouw technische governance-infrastructuur voor datakwaliteit, auditlogging en menselijke controle; en rond de conformiteitsbeoordeling af vóór de deadline in plaats van erop. Organisaties die ook onder HIPAA– of CMMC 2.0-nalevingsverplichtingen vallen, moeten hun EU AI-wet-governance-infrastructuur vanaf het begin uitbreidbaar ontwerpen voor deze kaders – auditlogging, toegangscontrole en dataclassificatievereisten overlappen immers grotendeels.
Compliant AI-frameworks van Kiteworks bieden de infrastructuurlaag voor dit werk. Kiteworks Compliant AI handhaaft contentbeleid op de data-naar-AI-grens, zodat AI-systemen werken binnen geverifieerde, beleidsconforme datacontexten. En het Kiteworks Private Data Network biedt de uitgebreide logging- en toegangscontrole-infrastructuur die de EU AI-wet vereist.
Het Kiteworks 2026 Data Security and Compliance Risk: Annual Forecast Report laat zien dat organisaties die vroeg investeren in AI-governance-infrastructuur – in plaats van naleving als een deadline-gedreven sprint te behandelen – meer vertrouwen rapporteren in hun AI-inzet en minder blootstelling aan regelgeving. Zie deze verlenging voor wat het is: tijd om te bouwen. Organisaties die deze tijd goed benutten, zijn in december 2027 klaar voor audit. Wie het als pauze ziet, zal zich precies op de plek bevinden waar hij niet wilde zijn.
Meer weten over het bouwen van EU AI-wet-nalevingsinfrastructuur vóór de deadline van december 2027? Plan vandaag nog een demo op maat.
Veelgestelde vragen
De deadline van 2 december 2027 geldt voor zelfstandige AI-systemen met hoog risico in de acht categorieën die in Bijlage III van de EU AI-wet zijn genoemd: biometrische identificatie, beheer van kritieke infrastructuur, onderwijs en beroepsopleiding, werkgelegenheid en personeelsbeheer, toegang tot essentiële diensten (inclusief kredietbeoordeling), wetshandhaving, migratie en asiel, en rechtspraak. “Zelfstandig” onderscheidt systemen die onafhankelijk worden ingezet van AI die als veiligheidscomponent is ingebouwd in producten die onder EU-harmonisatiewetgeving vallen – die systemen vallen onder een aparte deadline van 2 augustus 2028. Als uw organisatie AI-systemen inzet in een van deze categorieën voor EU-markten of EU-ingezetenen, valt u binnen de scope. AI data governance is een vereiste voor de conformiteitsbeoordeling die de wet vereist. GDPR-nalevingsverplichtingen kunnen ook tegelijkertijd gelden wanneer het om persoonsgegevens gaat. Organisaties met AI-systemen die gevoelige gezondheidsinformatie of gevoelige persoonsgegevens verwerken, moeten hun Bijlage III-risico naast hun GDPR- en sectorspecifieke privacyverplichtingen vanaf het begin in kaart brengen.
Nee. De wijzigingen passen de tijdlijnen voor naleving aan, maar veranderen niets aan de inhoudelijke vereisten waaraan organisaties onder Bijlage III moeten voldoen. Risicobeheersystemen, gegevensbeheerpraktijken, mechanismen voor menselijke controle, technische documentatie en loggingvereisten blijven allemaal van kracht zoals oorspronkelijk gespecificeerd. Morgan Lewis is duidelijk dat toezichthouders hebben aangegeven vanaf het moment dat de nieuwe deadlines ingaan te zullen handhaven – organisaties moeten 2 december 2027 als harde einddatum zien, niet als planningshorizon. Bekijk het Kiteworks 2026 Data Security and Compliance Risk: Annual Forecast Report voor een analyse van hoe Europese tijdlijnen voor regelgeving de investeringsbeslissingen rond AI-governance bij ondernemingen beïnvloeden. Datasoevereiniteit-naleving is een parallelle verplichting voor persoonsgegevens van EU-ingezetenen die geldt ongeacht welke deadline voor uw AI-systemen geldt. Organisaties moeten ook beoordelen of hun AI-leveringsketen – leveranciers en externe modelproviders – voldoet aan dezelfde governance-standaarden als vereist voor de uitrollende organisatie, aangezien risicobeheer van de toeleveringsketen onder de wet doorloopt tot in de relatie met AI-leveranciers.
Voor AI-systemen die persoonsgegevens verwerken – wat geldt voor de meeste systemen onder Bijlage III, aangezien kredietbeoordeling, personeelsbeslissingen, wetshandhaving en vergelijkbare functies per definitie persoonsgegevens omvatten – zijn naleving van de EU AI-wet en GDPR overlappende in plaats van parallelle verplichtingen. De gegevensbeheervereisten van de wet (kwaliteit van trainingsdata, representativiteit, foutcorrectie) gelden voor data die de GDPR als persoonsgegevens definieert, wat betekent dat dezelfde dataverwerkingspraktijken aan beide kaders tegelijk moeten voldoen. Dataminimalisatie, doelbinding en rechten van betrokkenen onder de GDPR beperken ook hoe AI-trainings- en operationele data gebruikt mogen worden. Een uniforme governance-architectuur die beide kaders adresseert, is efficiënter te bouwen en eenvoudiger te auditen dan twee aparte nalevingsprogramma’s. Kiteworks Compliant AI ondersteunt deze uniforme aanpak door beleidsafdwinging en logging toe te passen op de data-naar-AI-grens.
De meest impactvolle activiteit in de eerste 90 dagen is het inventariseren van AI-systemen: elk AI-systeem binnen uw organisatie dat onder de Bijlage III-categorieën valt identificeren, de data die het verwerkt documenteren en beoordelen of het als zelfstandig of als veiligheidscomponent kwalificeert. Veel organisaties ontdekken tijdens dit proces dat ze meer AI-systemen binnen de scope hebben dan verwacht, omdat AI-capaciteiten zijn ingebouwd in inkoop-, wervings- en klantenservicetools zonder formele classificatie. Zodra de inventarisatie compleet is, bepaalt risicoclassificatie de diepgang van het nalevingswerk per systeem. Organisaties moeten ook hun huidige logging- en audittrail-mogelijkheden beoordelen ten opzichte van wat de EU AI-wet vereist, omdat hiaten hier vaak het grootste technische implementatiewerk blootleggen. DPIA-vereisten kunnen ook gelden voor nieuwe AI-implementaties die tijdens de verlengingsperiode gepland zijn. Door AI-systeemlogs vanaf het begin te integreren met een SIEM-platform – in plaats van logging te behandelen als een nalevingsartefact dat alleen bij audits wordt bekeken – krijgen compliance-teams de continue zichtbaarheid die de doorlopende monitoringvereisten van de wet vragen.
Gedeeltelijk. GDPR-nalevingsinfrastructuur – datamapping, data privacy-beleid, mechanismen voor rechten van betrokkenen en procedures voor meldingen van datalekken – vormt een basis waarop naleving van de EU AI-wet voortbouwt. Maar de wet introduceert vereisten zonder direct GDPR-equivalent: conformiteitsbeoordeling voor AI-specifieke technische eigenschappen, risicobeheersystemen ontworpen voor governance van de AI-levenscyclus en mechanismen voor menselijke controle die architecturaal zijn in plaats van beleidsmatig. Compliant AI-infrastructuur vult het gat tussen wat GDPR-naleving al biedt en wat de EU AI-wet aanvullend vereist. De praktische aanbeveling: gebruik GDPR-datamapping als startpunt voor uw EU AI-wet-systeeminventarisatie, maar plan voor substantiële extra investeringen in infrastructuur om AI-specifieke verplichtingen af te dekken. Bestaande GDPR-naleving als voldoende beschouwen voor de EU AI-wet is de compliance-aanname die het meest waarschijnlijk tot een auditbevinding leidt. Gegevensbeheerfunctionaliteit die de GDPR slechts impliciet vereist – zoals gedetailleerde auditlogging van AI-data-acces, classificatie van trainingsdata naar gevoeligheid, beleidsgestuurde toegangscontrole op modelniveau – zijn expliciete vereisten onder de EU AI-wet en moeten als aparte infrastructuur worden ingericht.
Aanvullende bronnen
- Blog Post
Zero‑Trust-strategieën voor betaalbare AI-privacybescherming - Blog Post
Hoe 77% van de organisaties faalt op het gebied van AI-gegevensbeveiliging - eBook
AI Governance Gap: Waarom 91% van de kleine bedrijven Russisch roulette speelt met gegevensbeveiliging in 2025 - Blog Post
Er is geen “–dangerously-skip-permissions” voor uw data - Blog Post
Toezichthouders zijn klaar met vragen of u een AI-beleid heeft. Ze willen bewijs dat het werkt.