De Digitale omnibus inzake AI is gepubliceerd in het Publicatieblad van de Europese Unie op 24 juli 2026. De verordening treedt in werking op 27 juli 2026.
Op 19 november 2025 heeft de Europese Commissie een digitaal pakket gepubliceerd met verschillende wetgevingsvoorstellen. Centraal staat het zogenaamde ‘Digital Omnibus’.
Met het Digitaal Omnibus pakket wilt de Commissie de bestaande regels inzake artificiële intelligentie, cyberbeveiliging en gegevens vereenvoudigen.
Meer info omtrent de verplichtingen uit de AI-act vind je hier.
Hieronder een opsomming van hetgeen van belang is voor de werkgever.
AI-Verordening (AI)
AI-geletterdheid
De AI-verordening legde aan de aanbieders en gebruiksverantwoordelijken van AI-systemen de verplichting op om maatregelen nemen om, zoveel als mogelijk, te zorgen voor een toereikend niveau van AI-geletterdheid bij hun personeel en andere personen die namens hen AI-systemen exploiteren en gebruiken. De aanbieders en gebruiksverantwoordelijken moesten daarbij rekening houden met de technische kennis van het personeel, hun ervaring, onderwijs en opleiding en de context waarin de AI-systemen zullen worden gebruikt, evenals met de personen of groepen personen ten aanzien van wie de AI-systemen zullen worden gebruikt.
Deze verplichting is reeds in voege vanaf februari 2025.
In het nieuwe voorstel wordt deze verplichting losgelaten en wordt de focus gelegd op een aanmoedigingsbeleid.
Lidstaten en de Europese Commissie moeten AI-geletterdheid bevorderen via training, informatiebronnen en goede praktijken.
Er komt geen sanctie meer bij niet-naleving, maar wel wordt de focus gelegd op bewustwording en educatie.
Registratieplicht
De registratielast wordt verminderd voor AI-systemen die in gebieden met een hoog risico worden gebruikt voor taken die niet als een hoog risico worden beschouwd.
Aanbieders van AI‑systemen met een hoog risico moeten er namelijk voor zorgen dat hun AI‑systeem met een hoog risico de relevante conformiteitsbeoordelingsprocedure ondergaat voordat het systeem in de handel wordt gebracht of in gebruik wordt gesteld (artikel 43 van de AI Act). Dat vereist met name de registratie van het AI‑systeem in de EU-databank voor AI‑systemen met een hoog risico.
Soms betreft het echter een AI-systeem dat in het betreffende domein enkel voorbereidende taken uitvoert, maar geen hoog risico vormt. Voor deze AI-systemen zal geen registratieplicht meer gelden.
Biasdetectie en -correctie
Aan aanbieders en exploitanten wordt onder strikte voorwaarden toestaan om bijzondere categorieën van persoonsgegevens (zoals o.a. bv. etniciteit, gezondheid, politieke overtuiging) te verwerken om biasdetectie en -correctie te waarborgen.
Er gelden wel strikte waarborgen zoals o.a. het verwijderen van de gegevens wanneer de bias is gecorrigeerd, geen andere maatregelen voorhanden om het doel te bereiken, …
Vereenvoudiging administratielast
Bepaalde aan kleine en middelgrote ondernemingen (kmo’s) toegekende vereenvoudigingen zullen worden uitgebreid tot kleine midcap-ondernemingen (SMC’s).
Deze categorie omvat ondernemingen met meer dan 250 en minder dan 750 werknemers.
Ook met het opleggen van boetes zal rekening gehouden moeten worden met de economische draagkracht van deze SMC’s.
Uitstel
Een van de grootste uitdagingen bij de implementatie van de AI Act is de vertraagde beschikbaarheid van geharmoniseerde normen en richtlijnen. Het Omnibus Package koppelt de inwerkingtreding van de regels voor hoogrisico-AI-systemen aan de beschikbaarheid van deze ondersteunende maatregelen. Initieel had de Commissie een flexibele inwerkingtreding voorgesteld gekoppeld aan de beschikbaarheid van ondersteunende maatregelen. De Raad en het Parlement kiezen echter voor duidelijke deadlines:
- 2 december 2027 voor hoog-risico-AI-systemen onder Bijlage 3.
- 2 augustus 2028 voor hoog-risico-AI-systemen die deel uitmaken van systemen onder bijlage 1.
Algemene Verordening Gegevensbescherming (AVG )
Gerechtvaardigd belang
Op grond van de AVG mag de entiteit die verantwoordelijk is voor de verwerking van persoonsgegevens persoonsgegevens rechtmatig verwerken voor “gerechtvaardigd belang”. In het voorstel van 19 november wordt verduidelijkt hoe dit van toepassing is op AI-systemen.
Hiermee wordt bevestigd dat niet alle AI-ontwikkeling afhankelijk hoeft te zijn van toestemming of contractuele noodzaak. Dit betekent meer ruimte om gegevens te gebruiken om modellen te verbeteren of nieuwe marketing-algoritmes te ontwikkelen, mits de verwerking noodzakelijk is en volledig aan de AVG-waarborgen voldoet.
Het voorstel voorziet in strenge waarborgen voor deze verwerking en waarborgt dat betrokkenen het onvoorwaardelijke recht hebben om bezwaar te maken tegen de verwerking van hun persoonsgegevens.
De inzet van gerechtvaardigd belang betekent niet dat alle beperkingen verdwijnen. Organisaties moeten nog steeds aantonen dat hun belang zwaarder weegt dan de privacy-impact voor betrokkenen. Dit betekent dus dat het volgende vereist is:
- Transparantie over het gebruik van persoonsgegevens bij AI-training
- Dataminimalisatie en het gebruik van privacy-verhogende technieken
- Recht van bezwaar voor betrokkenen
- Beperking van de dataset tot wat noodzakelijk is, zonder grootschalige monitoring
- Extra waarborgen wanneer AI-training dient om bias te verminderen of veiligheid te vergroten.
Verduidelijking definitie van persoonsgegevens
Onder de GDPR wordt persoonsgegevens gedefinieerd als “alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon”. Dit betekent dat de GDPR van toepassing is als de informatie ofwel direct over iemand gaat, ofwel naar deze persoon te herleiden is.
In het nieuwe voorstel wordt het begrip aangepast in die zin dat er niet sprake is over een persoonsgegeven als een derde partij die de gegevens ontvangt niet de mogelijkheid heeft om de persoon opnieuw te identificeren.
Voor de verwerkingsverantwoordelijken die de gegevensset heeft gepseudonimiseerd, blijven alle verplichtingen uit hoofde van de GDPR aan de orde.
De Europese Commissie zal uitvoeringshandelingen kunnen vaststellen waarin de middelen en criteria gespecificeerd staan om te bepalen wanneer gepseudonimiseerde gegevens geen persoonsgegevens meer zijn voor bepaalde entiteiten.. Dit moet bedrijven meer rechtszekerheid bieden en zorgen voor actuele, robuuste bescherming van de rechten van burgers.
Vereenvoudigen cookieregels
De Europese Commissie wil de logica omdraaien. In plaats van voor elke website steeds een voorkeur te moeten aangeven, zal de burger binnenkort de cookievoorkeuren kunnen instellen in de browser van diens telefoon of computer. Als er daar aangegeven wordt geen trackingscookies te willen, dan moet elke website dat automatisch respecteren.
Websites moeten de keuzes van burgers ten minste zes maanden respecteren.
Het GDPR-kader zal van toepassing zijn op cookieregels, waardoor geharmoniseerde handhaving en zinvolle sancties tegen schendingen worden gewaarborgd.
Datalek
De Europese Commissie geeft aan dat in de toekomst een melding van een datalek enkel nog nodig is als het lek waarschijnlijk een ‘hoog risico’ inhoudt.
Daarnaast krijgen ondernemingen nu 96 uur in plaats van 72 uur de tijd na kennisname van het lek om dit te melden.
Single entry point
Er zal een enkel centraal toegangspunt geïntroduceerd worden zodat kennisgevingen via één interface ingediend kunnen worden, en op deze manier voldoen aan meldingsplichten onder verschillende wetgevingen.
Inwerkingtreding
De onderhandelingen zijn lopende.
De finale teksten kunnen dus nog wijzigen. Voormeld package treedt pas in werking na publicatie in het Publicatieblad van de EU.
Bron: Bericht Europese Commissie van 19 november 2025, “Eenvoudigere Europese digitale regels en nieuwe digitale portemonnees om bedrijven miljarden te besparen en innovatie te stimuleren”, https://ec.europa.eu/commission/presscorner/detail/nl/ip_25_2718; Verordening (EU) van 8 juli 2026 tot wijziging van de Verordeningen (EU) 2024/1689, (EU) 2018/1139 en (EU) 2023/1230 wat betreft vereenvoudiging van de uitvoering van geharmoniseerde regels betreffende artificiële intelligentie (Digitale omnibus inzake AI), nr. 2026/1744, PB 24 juli 2026.
