Kort samengevat
- Sinds 2 augustus 2026 gelden bijlage III hoog-risico, transparantieplichten en het volledige handhavingsapparaat.
- Elke lidstaat moet sindsdien minstens één AI-testomgeving operationeel hebben.
- 2 augustus 2027 geldt voor AI als veiligheidscomponent in producten onder bijlage I, en als einddatum voor GPAI-modellen van vóór augustus 2025.
- Hoog-risico systemen die al vóór 2 augustus 2026 op de markt waren, vallen pas onder de regels bij een substantiële wijziging — behalve bij overheidsgebruik, waar 2 augustus 2030 geldt.
De AI Act is één verordening, maar hij ging niet in één klap gelden. De wetgever koos voor een gefaseerde invoering. Hieronder per datum wat al geldt — en wat dat betekent voor het werk dat je nú moet doen.
Wat al geldt: februari en augustus 2025
Twee tranches zijn inmiddels van kracht. Sinds 2 februari 2025 gelden de verboden praktijken uit artikel 5 en de AI-geletterdheidsplicht uit artikel 4. Die laatste wordt vaak over het hoofd gezien, terwijl hij voor élke organisatie geldt die AI gebruikt — ook als je alleen een standaard chatassistent inzet.
Sinds 2 augustus 2025 gelden de verplichtingen voor aanbieders van general-purpose AI-modellen, is de governancestructuur ingericht (AI Office, AI Board, wetenschappelijk panel) en zijn de sanctiebepalingen van kracht geworden. Ook moesten de lidstaten toen hun nationale bevoegde autoriteiten hebben aangewezen.
2 augustus 2026 — de grote datum
Sinds deze dag is het merendeel van de verordening van toepassing. Concreet:
Hoog-risico systemen uit bijlage III
Alle acht domeinen uit bijlage III vallen onder het volledige eisenpakket: biometrie, kritieke infrastructuur, onderwijs, werk en personeelsbeleid, toegang tot essentiële diensten, rechtshandhaving, migratie en asiel, en rechtsbedeling. Aanbieders moeten beschikken over een risicobeheersysteem, datagovernance, technische documentatie, logging, menselijk toezicht, een conformiteitsbeoordeling met CE-markering en registratie in de EU-databank.
Voor gebruiksverantwoordelijken gelden de plichten uit artikel 26: gebruik volgens de gebruiksaanwijzing, toezicht toewijzen aan bekwame personen, inputdata bewaken, logs bewaren, betrokkenen informeren, en — voor bepaalde organisaties — een FRIA uitvoeren.
Transparantieverplichtingen (artikel 50)
Sinds 2 augustus 2026 moet je gebruikers informeren dat ze met een AI-systeem communiceren, moeten aanbieders van generatieve AI hun output machineleesbaar markeren en moet wie een deepfake publiceert dat kenbaar maken. Ook AI-gegenereerde nieuwsteksten die het publiek informeren over zaken van algemeen belang moeten als zodanig herkenbaar zijn.
Handhaving en sandboxes
De nationale markttoezichthouders hebben hun volledige bevoegdheden en elke lidstaat moet ten minste één AI-testomgeving operationeel hebben. De boetes uit artikel 99 kunnen in volle omvang worden opgelegd — zie de boetepagina.
2 augustus 2027 — AI in producten
Voor AI-systemen die een veiligheidscomponent zijn van producten die al onder EU-productwetgeving vallen (bijlage I: machines, medische hulpmiddelen, speelgoed, liften, radioapparatuur, voertuigen en meer), geldt een jaar extra. Reden: die producten doorlopen al een conformiteitsbeoordeling onder sectorale regels, en de AI Act-eisen moeten daar technisch in worden ingepast. Zie ons artikel over AI in machines en gereguleerde producten.
Op dezelfde datum verloopt de overgangstermijn voor GPAI-modellen die vóór 2 augustus 2025 op de markt waren: ook die moeten dan volledig aan hoofdstuk V voldoen.
2 augustus 2030 en verder
Voor hoog-risico AI-systemen die door overheidsinstanties worden gebruikt en die al vóór 2 augustus 2026 in gebruik waren, geldt een uiterste datum van 2 augustus 2030. Grootschalige IT-systemen op het gebied van vrijheid, veiligheid en recht die in bijlage X worden genoemd, kennen een eigen regime met een uiterste termijn van 31 december 2030.
Wat je per kwartaal kunt doen
- Nu: inventariseer alle AI-toepassingen en leg per toepassing doel, leverancier, datastromen en risiconiveau vast. Zonder inventaris kun je geen enkele deadline halen.
- Nu: regel AI-geletterdheid aantoonbaar — dit is al verplicht en kost weinig.
- Volgend kwartaal: bepaal per systeem je rol en vraag leveranciers om hun conformiteitsdocumentatie, gebruiksinstructies en CE-status. Neem dit op in je inkoopvoorwaarden.
- Daarna: richt het toezichtproces in — wie beoordeelt de output, met welke bevoegdheid, en waar leggen we dat vast?
- Doorlopend: houd de tijdlijn en de publicaties van het AI Office in de gaten voor richtsnoeren en normen.
De overgangsbepalingen staan in artikel 111 en de toepassingsdata in artikel 113 van de verordening.
Veelgestelde vragen
Wat geldt er sinds 2 augustus 2026?
Het grootste deel van de AI Act is van toepassing: de hoog-risico verplichtingen voor systemen uit bijlage III, de transparantieverplichtingen van artikel 50 voor chatbots en AI-content, de bepalingen over markttoezicht en de nationale handhaving. Lidstaten moeten ook hun regulatory sandboxes operationeel hebben.
Geldt de AI Act met terugwerkende kracht voor bestaande systemen?
In beginsel niet. Hoog-risico systemen die vóór 2 augustus 2026 in de handel zijn gebracht, vallen pas onder de eisen wanneer het ontwerp substantieel wordt gewijzigd. Voor systemen die door overheidsinstanties worden gebruikt geldt wel een harde datum: uiterlijk 2 augustus 2030 moeten die conform zijn.
Wat moet nu geregeld zijn?
Een actuele AI-inventarisatie met risicoclassificatie, duidelijkheid over je rol per systeem, aantoonbare AI-geletterdheid, transparantieteksten voor chatbots en AI-content, en — als je hoog-risico systemen aanbiedt of gebruikt — de bijbehorende documentatie, toezichtafspraken en logbewaring.