Delen van de AI-wet worden uitgesteld
Op 20 november 2025 heeft de Europese Commissie een langverwacht pakket maatregelen bekendgemaakt dat tot doel heeft de digitale regelgeving te vereenvoudigen, beter bekend als de Digital Omnibus. Het doel ervan is om de groeiende hoeveelheid EU-regels op het gebied van digitalisering en data te stroomlijnen, dubbel werk te verminderen en het concurrentievermogen van Europa te versterken. Voor IT-beslissers, CTO's, CISO's en beveiligingsleiders is dit verre van een theoretische exercitie van Brussel; het betekent een tastbare verschuiving in het regelgevingsklimaat die directe gevolgen zal hebben voor roadmaps, budgetten en complianceprocessen.
In essentie raakt het pakket tegelijkertijd aan verschillende belangrijke regelgevingskaders: de EU-wet inzake kunstmatige intelligentie, de AVG, de NIS2-richtlijn en DORA. Het omvat ook aanpassingen van de cookieregels en een consolidatie van gegevensgerelateerde regelingen die verband houden met de gegevenswet. Tegelijkertijd lanceert de Commissie een strategie voor een gegevensunie en verdere initiatieven om de toegang tot hoogwaardige gegevens voor kunstmatige intelligentie te verbeteren.
Dit roept belangrijke vragen op: wat is de drijvende kracht achter deze veranderingen, wat gaat er in de praktijk daadwerkelijk veranderen en hoe moeten bedrijven hierop reageren?
Waarom de Commissie nu vereenvoudigt
Het digitale regelgevingslandschap van de EU is de afgelopen jaren snel uitgebreid. Nieuwe wetten en voorschriften hebben tot doel innovatie veiliger te maken, de grondrechten te beschermen en de cyberweerbaarheid te versterken. Tegelijkertijd worden bedrijven geconfronteerd met overlappende eisen, inconsistente definities en parallelle rapportageverplichtingen. De Commissie reageert op een veelgehoorde bezorgdheid dat complexe en deels overtollige regelgeving investeringen belemmert en de concurrentiepositie van Europa verzwakt. Dit standpunt kwam duidelijk naar voren in het Draghi-verslag over het concurrentievermogen van de EU en is een belangrijke drijfveer achter de vereenvoudigingsagenda.
De Digital Omnibus is een van de verschillende initiatieven die verschillende regelgevingsgebieden beoordelen op mogelijke stroomlijning. In de digitale sfeer is het debat bijzonder gevoelig omdat de spanning tussen bescherming en innovatie hier sterker aanwezig is dan in veel andere sectoren.
In de praktijk maakt de EU de digitale regels niet minder streng, maar zorgt ze ervoor dat ze beter op elkaar aansluiten, consistenter zijn en in sommige gevallen realistischer qua tijdschema's. Dit zal de druk op veel organisaties verlichten, maar het vraagt ook om aanpassingen in de interne governance en compliance-structuren.
Wat de Digital Omnibus bevat
De Commissie benadrukt een aantal ingrijpende veranderingen, waaronder:
- Een vertraging in de bepalingen inzake risicovolle AI in de AI-wet
- Een uniform meldingskanaal voor cyberbeveiligingsincidenten
- Een hervorming van de AVG om een innovatievriendelijker kader te creëren
- Gemoderniseerde cookieregels
- Consolidatie van meerdere gegevensregelingen onder de Data Act
Deze maatregelen zijn onderling verbonden en hebben invloed op de hele keten, van gegevensverwerking en beveiligingsbeheer tot AI-ontwikkeling en operationele workflows.
AI-wet: uitstel van risicovolle bepalingen en gevolgen voor AI-programma's
De meest zichtbare stap is het geplande uitstel van de strenge systeemvereisten van de AI-wet met maximaal 16 maanden. De Commissie stelt dat de geharmoniseerde normen, richtsnoeren en ondersteunende instrumenten die nodig zijn voor de tenuitvoerlegging nog niet in voldoende mate beschikbaar zijn.
Voor veel organisaties biedt dit op korte termijn verlichting, met name op gebieden als identiteitsprocessen, fraudedetectie, HR-screening, OT-monitoring of medische en financiële toepassingen. De extra tijd helpt bedrijven om modellen grondiger te evalueren, datapijplijnen te stabiliseren, documentatie op te bouwen en toeleveringsketens te controleren op AI-compliance.
Dit is echter geen uitnodiging om te pauzeren. Bedrijven die AI opschalen, moeten de bufferperiode gebruiken om zich voor te bereiden op risicovolle verplichtingen, waaronder:
- Duidelijke systeemclassificatie
- Risico- en effectbeoordelingen
- Training gegevensbeheer
- Registratie en bewaking
- Menselijke controleprocessen
Degenen die deze fundamenten nu leggen, zullen aanzienlijk minder wrijving ondervinden zodra de verplichtingen volledig van kracht worden.
Strategisch gezien toont de vertraging ook aan dat de EU ambitieus maar pragmatisch is. Ze is bereid om tijdschema's aan te passen als het ecosysteem en de normen nog niet klaar zijn. Dit maakt de regelgeving flexibeler, maar vergroot ook de noodzaak van scenario-gebaseerde planning in plaats van rigide, deadline-gedreven benaderingen.
GDPR, NIS2 en DORA: minder wrijving bij gegevensbescherming en rapportage
GDPR-hervorming voor meer flexibiliteit op het gebied van innovatie
De Commissie is van plan om de AVG aan te passen om een innovatievriendelijker klimaat voor gegevensbescherming te creëren. Dit omvat het aanpassen van drempels en termijnen in de meldingsregeling voor datalekken, het verduidelijken van definities zoals "persoonsgegevens" en het invoeren van nieuwe uitzonderingen en verduidelijkingen ter ondersteuning van de ontwikkeling en werking van AI-systemen.
Voor privacy- en beveiligingsteams biedt dit meer operationele flexibiliteit. Rapportageverplichtingen zouden minder mechanisch en meer risicogebaseerd worden, waardoor middelen kunnen worden gericht op incidenten met echte impact. Bedrijven zullen echter zorgvuldig de criteria voor inbreuken en interne beslissingen moeten documenteren om transparantie en verantwoordingsplicht te waarborgen.
Voor AI-projecten zouden duidelijkere definities van rechtmatige AI-gerelateerde gegevensverwerking de nodige rechtszekerheid bieden om te voorkomen dat gebruiksscenario's vastlopen of in de proeffase blijven steken vanwege onduidelijke interpretaties.
Uniforme incidentrapportage
Er is ook een centraal meldpunt voor cyberveiligheidsincidenten gepland. In plaats van afzonderlijke meldingen in te dienen onder NIS2, GDPR en DORA, zullen organisaties gebruikmaken van een uniform mechanisme, dat mogelijk wordt gebouwd op het platform dat is ontwikkeld voor de Cyber Resilience Act.
Dit zou de efficiëntie aanzienlijk kunnen verhogen. Iedereen die wel eens onder tijdsdruk incidenten heeft gemeld, weet hoe lastig het is om meerdere deadlines en formats te beheren. Eén enkel meldingskanaal vermindert de complexiteit en kan de gegevenskwaliteit verbeteren door gestandaardiseerde velden en taxonomieën.
Dit vereist echter dat organisaties hun rapportageprocessen herzien. Veel organisaties hebben NIS2, GDPR en DORA onderverdeeld in afzonderlijke complianceprocessen. De Omnibus vereist een geïntegreerd model met gecentraliseerde registers, geharmoniseerde ernstcriteria en gecoördineerde communicatieprocessen.
Gegevenswetgeving, cookies en de strategie van de Data Union
Consolidatie onder de Datawet
De EU is van plan om verschillende gegevensregelingen samen te voegen in de gegevenswet, waaronder de verordening inzake het vrije verkeer van gegevens, de wet inzake gegevensbeheer en de richtlijn inzake open gegevens. Eenmaal samengevoegd zullen deze regels beter op elkaar worden afgestemd en gestroomlijnd.
Voor bedrijven heeft dit vooral gevolgen voor het bestuur. Momenteel moeten verschillende juridische bronnen worden geraadpleegd, afhankelijk van het type gegevens, de sector en het doel. Consolidatie vereenvoudigt de ontwikkeling van gegevensstrategieën, met name voor organisaties die grensoverschrijdende gegevens gebruiken voor AI, analyses of platformmodellen.
Gemoderniseerde cookieregels
De Commissie is ook van plan om het aantal cookiebanners te verminderen en het beheer van voorkeuren sterker naar het browserniveau te verschuiven.
Dit is een praktische stap voor digitale teams: minder banners verbeteren de gebruikerservaring, verhogen de conversiepercentages en verminderen de operationele lasten van toestemmingsbeheer. De verantwoordelijkheid voor correcte tracking en doelbinding blijft echter ongewijzigd.
Data Union Strategy: Meer hoogwaardige data voor AI
Naast vereenvoudiging lanceert de Commissie een strategie voor een data-unie om meer hoogwaardige gegevens beschikbaar te maken voor AI. Deze strategie omvat een juridische helpdesk voor de gegevenswet en maatregelen om de Europese gegevenssoevereiniteit te versterken, bijvoorbeeld door gevoelige niet-persoonsgebonden gegevens te beschermen en regels voor redelijk gebruik van EU-gegevens in het buitenland vast te stellen.
Dit duidt op een duidelijke toewijding aan het opbouwen van een sterk Europees AI-ecosysteem. Niet alleen moet de regelgeving veilig zijn, maar ook moeten gegevens gemakkelijk bruikbaar zijn. Voor de industrie, kritieke infrastructuur en kmo's kan een betere toegang tot gegevensruimten doorslaggevend zijn om AI-projecten van proefprojecten naar productie te brengen.
Wat bedrijven nu moeten doen
Hoewel het pakket nog moet worden besproken en goedgekeurd door het Parlement en de Raad, is het raadzaam om alvast te beginnen met de voorbereidingen.
- Voer een analyse uit van de verschillen tussen regelgevingen.
Bekijk de AI Act, GDPR, NIS2 en DORA samen, niet afzonderlijk. Identificeer inconsistenties in definities, dubbele bewijsvereisten en processen die later kunnen samenkomen. - Integreer incidentrapportage.
Als er één enkel toegangspunt ontstaat, is integratie essentieel. Bouw een centraal incidentregister op, harmoniseer ernstschalen en definieer verantwoordelijkheden voor geconsolideerde rapportage. - Versnel AI-governance.
De vertraging van de AI-wet creëert tijd, maar is geen opschorting. Ontwikkel nu modelinventarissen, classificatiemethoden, monitoringkaders en documentatiepraktijken. - Pas uw datastrategie aan.
Naarmate dataregimes convergeren, moet u datastromen, datatypes en toegangsrechten opnieuw in kaart brengen. Dit kan de nalevingskosten op lange termijn verlagen, met name in hybride multi-cloud- en edge-omgevingen. - Bereid marketing- en productteams voor op nieuwe cookieregels.
Controleer uw toestemmingshulpmiddelen, beoordeel de gereedheid voor browsergebaseerde voorkeursmodellen en zorg voor conforme trackingpraktijken.
Conclusie
Het Digital Omnibus-pakket en de uitgestelde bepalingen van de AI-wet markeren een duidelijke beleidswijziging: minder parallelle regels, meer consistentie en realistischere implementatietermijnen. Dit betekent niet dat er geen vereisten meer zijn, maar dat ze dichter bij elkaar worden gebracht en meer op risico's worden gebaseerd. Dat creëert ruimte voor innovatie, met name op het gebied van AI en datagestuurde toepassingen, terwijl tegelijkertijd aanpassingen nodig zijn op het gebied van governance, geïntegreerde rapportage, AI-risicobeheer en datastrategie.
Damovo kan organisaties bij deze transitie ondersteunen: van het beoordelen van de betreffende regelgeving tot het integreren van bestaande complianceprogramma's, het opzetten van uniforme incidentrapportageprocessen en het implementeren van AI-governance en maatregelen voor gegevensbescherming. Dit helpt bedrijven om rechtszekerheid te verkrijgen en hun digitale en AI-initiatieven te versnellen, zonder onnodige bureaucratie, maar met solide compliance.