De deadline voor hoog-risico AI is in mei 2026 verschoven naar eind 2027. Goed nieuws? Alleen als je het slim gebruikt. Want uitstel is geen afstel, en de organisaties die nu doorpakken, staan straks niet in de stress. Dit is wat er speelt, wat stilzitten kost, wat het oplevert, en wat je vandaag al regelt.
Twee bestuurders, dezelfde wet, een tegengestelde reactie. De een ademt op: "de deadline is verschoven, dit kan op de lange baan." De ander ziet juist een geschenk: tijd om het rustig en goed te doen. Een jaar later staat de eerste in de stress en heeft de tweede een streepje voor bij klanten en toezichthouders. Het verschil is niet de wet. Het is wat je er nu mee doet.
Op 7 mei 2026 bereikten de Raad en het Europees Parlement een akkoord om de AI Act op onderdelen te vereenvoudigen, als deel van de zogeheten Digital Omnibus. De belangrijkste wijziging voor bestuurders: de verplichtingen voor hoog-risico AI schuiven op. Voor zelfstandige hoog-risicosystemen (Annex III) naar 2 december 2027, voor AI die is ingebouwd in gereguleerde producten (Annex I) naar 2 augustus 2028. Tegelijk komen er lichtere eisen voor mkb en kleinere mid-caps.
Maar let op wat niet is uitgesteld. De verboden AI-praktijken gelden al sinds februari 2025. De regels voor general-purpose AI (de grote algemene modellen) sinds augustus 2025. En de transparantieverplichtingen, zoals duidelijk maken dat content door AI is gemaakt, komen gefaseerd in werking. De wet is dus geen toekomstmuziek, hij is er al, gedeeltelijk handhaafbaar, en de rest staat vast op de kalender.
Wie het uitstel leest als "we hebben tijd zat", maakt drie denkfouten. Eén: de richting ligt vast. De wet wordt niet teruggedraaid, hij wordt aangescherpt en verfijnd. Twee: het werk kost tijd. Je AI in kaart brengen, classificeren, eigenaarschap beleggen en bewijs opbouwen doe je niet in een maand, reken eerder op een jaar of meer voor een hoog-risicotoepassing. Drie, en dat is de belangrijkste: de risico's bestaan nu al, los van welke deadline dan ook.
Uitstel is geen afstel. De richting ligt vast, alleen de klok staat even stil.
De boetes halen de krant, maar zijn zelden het grootste risico. Voor een bestuurder telt de optelsom:
Compliance klinkt als een kostenpost, maar wie het goed aanpakt, krijgt er meer voor terug dan een schone lei bij de toezichthouder.
Je hoeft niet alles tegelijk te doen, maar je moet wel beginnen. Vijf stappen op bestuursniveau:
Dit is geen IT-project dat je delegeert en vergeet. Het is een bestuursbesluit: bepaal dat AI-governance erbij hoort, wijs een eigenaar aan, en begin klein maar nu. De organisatie die in 2027 klaar wil zijn, start in 2026.
Vigil zet deze vijf stappen om in dagelijkse praktijk: één register met automatische risicoclassificatie en rolbepaling, granulair beleid per toepassing, en bewijs (impact- en risicoanalyse, FRIA, audit trail) dat al werkend ontstaat, in je eigen EU- of NL-omgeving. De deadline wordt dan een formaliteit in plaats van een sprint.
In een strategiegesprek laten we zien hoe je snel overzicht en aantoonbare compliance krijgt: register, classificatie, FRIA en bewijs, soeverein in je eigen omgeving.
