Wat er verandert, wie het raakt, en wanneer je moet beginnen om op tijd te zijn.

Laatst bijgewerkt: 11 september 2026. We werken deze pagina bij zodra Europa of Nederland nieuwe guidance of wetgeving publiceert.

De vraag die je niet kunt beantwoorden

Op enig moment stelt iemand in de directiekamer de vraag. Meestal na een nieuwsbericht, soms na een incident bij een concurrent.

“Die eh… AI Act. Wat betekent dat concreet voor ons, en … zijn wij op tijd?”

En dan blijkt er geen helder antwoord te zijn.

Niet omdat er niemand over nadenkt. Wel omdat de informatie uit vier richtingen tegelijk komt. Europa publiceert guidance. Den Haag werkt aan de uitvoeringswet. De AVG verandert niet, maar de toezichthouder legt de koppeling met AI steeds nadrukkelijker (en in de praktische, effectieve uitwerking van de AVG kunnen we zelfs een versoepeling aan zien komen).

En de Data Act ligt er ook nog.

Sommige datums liggen vast. Andere zijn nog in beweging. Bijna niemand heeft het geheel op één plek.

Daarom hebben we het hier neergezet.

Maar eerst het belangrijkste

De datums op deze pagina zijn geen startdatums. Het zijn deadlines.

Dat klinkt als een detail. Het is het hele verschil.

Wie op de dag zelf begint met inrichten, is te laat. Niet omdat de handhaving direct keihard is, maar omdat het werk eronder gewoon tijd kost. Inventariseren welke AI er draait. Verantwoordelijkheden beleggen. Processen aanpassen. Mensen meenemen. Dat zijn maanden aan werk, geen weken.

Dus lees deze tijdlijn achterstevoren. Kijk niet naar wanneer iets gaat gelden. Kijk naar wanneer je moet beginnen.

Bij elk moment hieronder staat daarom niet alleen wat er verandert en wie het raakt, maar ook wat het betekent voor je planning.

Voor wie deze pagina is

Voor de CIO, CTO, IT-manager of Compliance Officer die dit moet dragen. Of voor degene die ermee belast is de organisatie te begeleiden in het integraal en maximaal effectief implementeren van AI. En voor de bestuurder die de vraag stelt.

Wat je hier niet vindt: juridische analyses, doemscenario’s of een verkooppraatje. Wat je hier wel vindt: een overzicht waarmee je kunt bepalen waar je organisatie staat, en hoeveel tijd je nog hebt.

De tijdlijn in één oogopslag

* Datum te verifiëren, zie de toelichting bij die entry.

Hieronder per moment de uitwerking. Tip: bookmark deze pagina, dan kun je er altijd op terugvallen.

Geweest: 2 augustus 2026

Groot handhavingsmoment AI Act

Wat is er veranderd? Sinds deze datum zijn de meeste bepalingen van de AI Act toepasbaar en handhaafbaar. Onder meer:

• Transparantieverplichtingen (Artikel 50).

• AI-chatbots moeten zich als AI kenbaar maken.

• Deepfakes moeten worden gelabeld.

• AI-gegenereerde content krijgt transparantie-eisen.

• Innovatiebepalingen zijn actief geworden.

• Nationale toezichthouders zijn formeel gestart met handhaving voor toepasselijke onderdelen.

Bron: AI Act Service Desk.

Wie raakt dit? Vrijwel iedere organisatie die generatieve AI gebruikt, AI inzet in klantcontact, AI-content publiceert of AI-assistenten gebruikt. Met andere woorden: vrijwel elke organisatie in Nederland.

Wat betekent dit voor je planning? Er stond op 3 augustus niemand op de stoep. Dat klopt, en dat is precies de valkuil. Er loopt een grace-periode tot vermoedelijk 2 december 2026. Wat er op 2 augustus veranderde is niet de handhaving, maar de status: AI is geen experiment meer, het is bedrijfsvoering. En de klok voor het inhaalwerk loopt sinds die dag wél.

Zekerheid: Van kracht.

September – December 2026

De grace-periode, en wat je ermee doet

Wat gebeurt er? Veel organisaties hebben inmiddels tientallen AI-tools in gebruik. ChatGPT, Copilot, Claude, Gemini; specifieke tools voor beeld, automatisering; agents. De governance eromheen is vaak versnipperd of helemaal afwezig. De verplichtingen zijn van kracht, de handhaving loopt nog warm.

Wie raakt dit? Directies, CISO’s, CIO’s, privacy officers, legal, compliance, HR en innovatieteams. In de praktijk iedereen, want het gebruik zit al overal.

Wat betekent dit voor je planning? Dit is je inhaalmoment, en het is korter dan het voelt.

Voordat je iets kunt aantonen, moet je weten wat er is.

Drie dingen moeten er liggen: inzicht in welke AI wordt gebruikt, inzicht in welke data daarin terechtkomt, en per toepassing één naam die verantwoordelijk is.

Een organisatie van een paar honderd mensen is daar realistisch een paar maanden mee bezig. Reken zelf terug vanaf december.

Zekerheid: Loopt.

12 september 2026

De Data Act wordt van toepassing

Wat gebeurt er? De Europese Data Act wordt van toepassing. Deze verordening regelt onder meer toegang tot en het delen van data uit verbonden producten en diensten, met gevolgen voor datagovernance, interoperabiliteit en contractuele afspraken.

(Bron: Digital Strategy)

Wie raakt dit? Fabrikanten van connected products, SaaS-bedrijven, industriële organisaties en data-intensieve ondernemingen. Die laatste categorie is groter dan de meeste organisaties van zichzelf denken.

Wat betekent dit voor je planning? Dit lijkt een apart dossier. Dat is het niet. Goede AI begint met goede data, en goede data begint met goede governance. Zonder volwassen data governance bestaat er ook geen volwassen AI-governance.

De praktische kant zit vooral in contracten. Leveranciers-afspraken en klantvoorwaarden die herzien moeten worden. Contract-cycli die traag lopen. Dit is de eerstvolgende harde datum op deze pagina, en voor de meeste organisaties de meest onderschatte.

Zekerheid: Vastgesteld.

Najaar 2026

Nederlandse implementatie en Europese guidance

Wat gebeurt er? Nederland werkt aan de Uitvoeringswet AI-verordening, waarmee nationale bevoegdheden voor toezicht en handhaving worden ingericht. Het kabinet heeft een wetsvoorstel in consultatie gebracht en werkt aan de aanwijzing van bevoegde autoriteiten. Betrokken toezichthouders zijn onder meer de Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur, mogelijk aangevuld met sectorspecifieke toezichthouders.

Tegelijk blijft het Europese AI Office guidance publiceren over GPAI, AI-geletterdheid, transparantie en implementatievragen. Met steeds meer praktijkvoorbeelden en FAQ’s.

Bron: Rijksoverheid

Wie raakt dit? Iedereen, en in het bijzonder organisaties in gereguleerde sectoren die al met een sectortoezichthouder werken.

Wat betekent dit voor je planning? Hier hoef je niet op te wachten. Dit is de fase waarin duidelijk wordt bij wie je straks je verhaal moet kunnen houden, niet welk verhaal dat is. Dat verhaal bouw je nu.

Dit is wel het moment om te bepalen wie in jouw organisatie het aanspreekpunt richting toezicht wordt. Die rol bestaat vaak nog niet.

En de lat verschuift. De vraag wordt niet langer “wat betekent de wet?” maar “kunnen wij laten zien dat we dit onder controle hebben?” Dat is een documentatie-vraagstuk. En documentatie die je achteraf reconstrueert is altijd zwakker dan documentatie die meegroeit.

Zekerheid: Verwacht.

2 december 2026

Einde grace-periode, en nieuwe verboden

Wat gebeurt er? De grace-periode voor handhaving loopt vermoedelijk af. Daarnaast treden nieuwe verboden uit de AI Act in werking, waaronder specifieke verboden rond AI die niet-consensuele seksuele deepfakes en materiaal van seksueel kindermisbruik genereert. Voor bepaalde bestaande AI-systemen loopt ook de overgangstermijn af voor transparantieverplichtingen rond synthetische content.

Bron: Consilium

Wie raakt dit? Iedereen. En in het bijzonder organisaties die synthetische content genereren of platforms aanbieden waarop dat gebeurt.

Wat betekent dit voor je planning? 2 December 2026 is je echte werkdeadline, niet augustus. Reken vanaf hier terug en je ziet hoeveel tijd je nog hebt.

En let op het patroon achter die nieuwe verboden. De AI Act wordt dynamisch uitgebreid. Nieuwe risico’s worden actief bijgereguleerd. Een governance-inrichting die alleen de bekende verplichtingen afdekt, is over achttien maanden achterhaald. Bouw iets dat meebeweegt.

Zekerheid: Vastgesteld.

Doorlopend, 2026–2027

AVG-handhaving rond AI

Wat gebeurt er? De AVG zelf verandert niet. Maar toezichthouders leggen de koppeling tussen AI en bestaande privacyregels steeds nadrukkelijker. Belangrijke thema’s: geautomatiseerde besluitvorming, profiling, DPIA’s, rechtmatigheid van trainingsdata, transparantie en dataminimalisatie. De Autoriteit Persoonsgegevens heeft AI expliciet benoemd als toezichtsthema.

Bron: Rijksoverheid

Wie raakt dit? Vrijwel iedere organisatie die persoonsgegevens verwerkt met AI. In de praktijk bijna iedereen.

Wat betekent dit voor je planning? Dit is de enige categorie zonder deadline. Juist daarom de categorie die het snelst over het hoofd gezien wordt. Er komt geen datum die je waarschuwt. Wat er wel komt, is een vraag van een betrokkene, een klacht of een audit.

Ons advies? Zorg dat je DPIA-proces AI-toepassingen aankan voordat die vraag komt. Dat is een stuk minder werk dan het achteraf rechtzetten.

Zekerheid: Van kracht.

Eerste helft 2027

Meer toezicht

Wat gebeurt er? Verwacht worden de eerste nationale onderzoeken, de eerste waarschuwingen, meer guidance vanuit de overheid en de eerste zichtbare handhavingsacties. Niet meteen hoge boetes, wel duidelijke signalen richting de markt. Vergelijkbaar met de eerste jaren onder de AVG.

Wie raakt dit? Iedereen. De eerste zaken landen doorgaans bij organisaties die zichtbaar zijn, óf waar iets is misgegaan.

Wat betekent dit voor je planning? Dit is het moment waarop het abstracte concreet wordt, en waarop je directie er ineens weer belangstelling voor krijgt. Wie tot dan wacht, begint dan pas. En begint dan onder druk. Dat is de duurste variant.

Zekerheid: Verwacht.

2 augustus 2027

AI Regulatory Sandboxes

Wat gebeurt er? Iedere lidstaat moet minimaal één AI regulatory sandbox operationeel hebben, gefaciliteerd vanuit de overheid. Gecontroleerde testomgevingen waarin organisaties AI-innovaties kunnen ontwikkelen en valideren onder toezicht.

Bron: AI Act Service Desk

Wie raakt dit? Organisaties die zelf AI ontwikkelen of substantieel aanpassen.

Wat betekent dit voor je planning? Dit is de enige entry op deze pagina die geen verplichting is maar een kans. Het laat zien dat governance niet alleen over naleving gaat, maar ook over het mogelijk maken van veilige innovatie.

Staan er ontwikkelplannen bij jou in de wacht omdat de juridische kaders onduidelijk zijn? Dit is de route waarlangs die alsnog kunnen.

Zekerheid: Vastgesteld.

2 december 2027

High-Risk AI (Annex III)

Wat gebeurt er? Vanaf deze datum gelden de verplichtingen voor de meeste zelfstandige high-risk AI-systemen uit Annex III. Organisaties moeten onder meer beschikken over risicomanagement, technische documentatie, logging, menselijke controle, kwaliteitsmanagement en conformiteitsbeoordelingen.

Bron: AI Act Service Desk

Wie raakt dit? HR en recruitment van elke organisatie, en als sectoren: onderwijs, financiële dienstverlening, kritieke infrastructuur, de publieke sector, zorg en justitie.

Wat betekent dit voor je planning? Hier begint voor veel organisaties de zwaarste fase. En hier komt het achterstevoren lezen het hardst aan. Conformiteitsbeoordelingen, technische documentatie en een werkend kwaliteitsmanagementsysteem bouw je niet in een kwartaal.

Wie nu investeert in governance, bouwt daarop voort. Wie wacht, begint in 2027 aan een traject van meer dan een jaar. Dat verschil wordt alleen maar groter.

Zekerheid: Vastgesteld.

Andere relevante wetgeving die parallel loopt

Waar sta jij?

Je hebt de tijdlijn nu gezien. Oké, en wat nu?

De vraag is niet of je alles kent. De vraag is of je drie dingen kunt beantwoorden zonder eerst te moeten uitzoeken.

1. Weet je welke AI er op dit moment in je organisatie wordt gebruikt? Niet welke tools zijn goedgekeurd. Welke er daadwerkelijk draaien, inclusief wat mensen zelf hebben aangezet.

2. Weet je welke data daarin terechtkomt, en of dat mag?

3. Is er per AI-toepassing één naam die verantwoordelijk is?

Drie keer ja betekent dat de basis staat en je kunt gaan bouwen. Eén keer nee betekent dat je daar begint, en dat je meer tijd nodig hebt dan de datums hierboven suggereren.

Er is geen vierde vraag over of je compliant bent. Die kun je pas stellen als deze drie beantwoord zijn.

Deze pagina blijft in ontwikkeling

AI-governance verandert snel. Nieuwe inzichten en guidance vanuit het Europese AI Office, Nederlandse toezichthouders en aanvullende wetgeving kunnen de planning verder aanscherpen. Daarom actualiseren we deze tijdlijn regelmatig, zodat je altijd één actuele plek hebt waar je kunt zien wat eraan komt.

Wil je weten waarom wij denken dat deze achttien maanden je juist sneller kunnen laten bewegen in plaats van langzamer?

Dat lees je hier:

De grootste uitdaging is niet de AI Act →

Kom je er bij één van de drie vragen hierboven niet uit? Dan is dat precies het gesprek dat we graag voeren.

Vraag hier direct een vrijblijvend verkennend gesprek aan

Sen · Responsible AI as Innovation Infrastructure