Wat de digitale omnibus inzake AI verandert voor bedrijven die AI gebruiken (Verordening (EU) 2026/1744)

Verordening (EU) 2026/1744 wijzigt de AI-verordening, Verordening (EU) 2024/1689, in 43 punten. De tabel noemt de wijzigingen die tellen voor een bedrijf dat AI-systemen gebruikt en geen producten met een hoog risico bouwt.

Artikel 5, lid 1, punt b bis), verbiedt “het in de handel brengen, het in gebruik stellen of het gebruiken van een AI-systeem dat realistische beelden, video’s, audio of soortgelijk materiaal genereert of manipuleert van de intieme delen van een identificeerbare natuurlijke persoon, of van een identificeerbare natuurlijke persoon die expliciete seksuele gedragingen verricht, zonder de vrijelijk gegeven, specifieke, geïnformeerde, ondubbelzinnige en uitdrukkelijke toestemming van die persoon voor die generatie of manipulatie”.

Punt b ter) verbiedt “het in de handel brengen, in gebruik stellen of gebruiken van een AI-systeem dat materiaal of een voorstelling genereert of manipuleert in de zin van artikel 2, punten c) en e), van Richtlijn 2011/93/EU, behalve wanneer krachtens het nationale recht een ‘wederrechtelijke’ verdediging van toepassing is”. Richtlijn 2011/93/EU is de EU-richtlijn ter bestrijding van seksueel misbruik en seksuele uitbuiting van kinderen.

Voor een bedrijf dat AI gebruikt, is de regel voor gebruiksverantwoordelijken in artikel 5, lid 1 bis, punt b), bepalend: “het in lid 1, eerste alinea, punten b bis) en b ter, bedoelde gebruik van een AI-systeem dat het materiaal of de voorstelling genereert of manipuleert, alleen verboden wanneer de gebruiksverantwoordelijke het systeem gebruikt voor het genereren of manipuleren van dergelijk materiaal of een dergelijke voorstelling.” Lid 1 ter voegt toe dat manipulatie die de blootstelling aan afgebeelde intieme delen niet vergroot en de aard van afgebeelde seksueel expliciete gedragingen niet wijzigt, voor punt b bis) geen manipulatie is.

De datum staat in het gewijzigde artikel 113, derde alinea, punt a): “de hoofdstukken I en II van toepassing met ingang van 2 februari 2025, met uitzondering van artikel 5, lid 1, eerste alinea, punten b bis) en b ter), en artikel 5, leden 1 bis en lid 1 ter, die van toepassing zijn met ingang van 2 december 2026”. Op schending van een verbod uit artikel 5 staan boeten tot 35 miljoen euro of 7 % van de totale wereldwijde jaaromzet, indien dat hoger is (artikel 99, lid 3, niet gewijzigd). Voor kmo's, en nu ook voor kleine midcapondernemingen, geldt het laagste bedrag.

Een verwante plicht geldt al. Sinds 2 augustus 2026 bepaalt artikel 50, lid 4: “Gebruiksverantwoordelijken van een AI-systeem dat beeld-, audio- of videocontent genereert of bewerkt die een deepfake vormt, maken bekend dat de content kunstmatig is gegenereerd of gemanipuleerd.”

Artikel 4 is vervangen. Aanbieders en gebruiksverantwoordelijken nemen nog steeds maatregelen om de AI-geletterdheid van hun personeel en van anderen die namens hen handelen te ondersteunen, en artikel 4, lid 1, eindigt nu met: “Deze verplichting houdt niet in dat aanbieders of gebruiksverantwoordelijken een bepaald niveau van AI-geletterdheid moeten waarborgen voor personen.” De eerdere formulering, “zoveel als mogelijk, te zorgen voor een toereikend niveau van AI-geletterdheid”, is verdwenen.

Wat de plicht nu vraagt, wat de vragen en antwoorden van de Commissie verwachten en een checklist met trainingsregistratie staan op de pagina over AI-geletterdheid onder artikel 4. De nieuwe verboden horen in die training: wie beelden, video of audio genereert, moet weten wat verboden is.

Artikel 26, de verplichtingen van gebruiksverantwoordelijken van AI-systemen met een hoog risico. Geen enkel punt van Verordening 2026/1744 wijzigt het. Gebruiksverantwoordelijken gebruiken het systeem volgens de gebruiksaanwijzing, dragen het menselijk toezicht op aan personen met de nodige bekwaamheid, opleiding en autoriteit (artikel 26, lid 2), monitoren het systeem, bewaren de logs onder hun controle ten minste zes maanden (artikel 26, lid 6) en informeren werknemers voordat een systeem met een hoog risico op de werkplek wordt gebruikt. Alleen de begindatum verschoof, via artikel 113.

De transparantieverplichtingen in artikel 50. Alleen artikel 50, lid 7, over praktijkcodes, is vervangen. De bekendmaking van deepfakes in lid 4 en de markeringsplicht in lid 2 luiden zoals voorheen.

De oorspronkelijke verboden praktijken in artikel 5, lid 1, punten a) tot en met h), die sinds 2 februari 2025 gelden, de definities van gebruiksverantwoordelijke (artikel 3, punt 4) en AI-geletterdheid (artikel 3, punt 56), de lijst van toepassingen met een hoog risico in bijlage III en het plafond van de boeten voor verboden praktijken in artikel 99, lid 3.

Hoe deze verplichtingen gelden voor een bedrijf dat LLM's gebruikt, staat op de pagina over de verplichtingen onder de AI-verordening.

De nieuwe verboden gelden vanaf 2 december 2026. Deze stappen passen in de documenten die de meeste bedrijven al bijhouden.

Gebruiksregels zijn makkelijker vol te houden als de toegang tot modellen via één plek loopt. Standard Compute is een manier om dat te doen voor model-API's, Claude Code en Claude Desktop: elke persoon en elke app krijgt een eigen sleutel, allemaal onder één bedrijfsaccount. Bepaal welke modellen elke sleutel mag gebruiken, zodat elke app en elk teamlid precies de modellen krijgt die u goedkeurt.

Kies precies welke inferentieaanbieders uw gegevens mogen verwerken, voor het hele bedrijf, een team of één sleutel. Elke wijziging door een beheerder wordt vastgelegd met de waarde ervoor en erna, zodat het overzicht van wie welk model kon gebruiken naast uw beleid ligt.

Deze instellingen bepalen welke modellen en aanbieders gebruikt kunnen worden. Ze beoordelen geen prompts of uitvoer en maken geen enkel gebruik rechtmatig.