De afgelopen maanden zie ik bij vrijwel iedere organisatie hetzelfde gebeuren: AI duikt overal op. In de klantenservice, in rapportages, in analyses, in documenten die medewerkers "even snel" laten schrijven. Vaak zonder dat iemand centraal overzicht heeft over wat er nu eigenlijk allemaal draait.

Tot voor kort was dat vooral een governance-vraagstuk. Een kwestie van grip en overzicht.

Maar dat verandert nu. Op 2 augustus 2026 gaat de transparantieplicht van de EU AI Act (Artikel 50) in. Vanaf dat moment is het niet langer alleen verstandig om te weten welke AI er binnen je organisatie draait. Het is een wettelijke verplichting om daar transparant over te zijn.

En precies daar zie ik veel organisaties de mist in gaan.

Wat ik momenteel vaak hoor in gesprekken met ondernemers en directies:

"De AI Act? Die is toch uitgesteld?"

Dat klopt. Maar maar half.

Eind juni 2026 is in Brussel de zogenoemde Digital Omnibus aangenomen. Daarmee schuiven de zwaarste verplichtingen, die voor hoog-risicosystemen, inderdaad door naar 2 december 2027. Voor AI die verwerkt zit in producten die al onder Europese productwetgeving vallen zelfs naar augustus 2028.

Alleen betekent dat niet dat je als organisatie achterover kunt leunen.

Want twee verplichtingen staan gewoon overeind:

• De transparantieplicht gaat per 2 augustus 2026 in voor nieuwe AI-systemen. Alleen voor systemen die vóór die datum al op de markt waren, geldt een half jaar respijt tot februari 2027.

• De plicht rond AI-geletterdheid geldt al sinds februari 2025. Medewerkers die met AI werken, moeten daarvoor aantoonbaar voldoende zijn toegerust.

Met andere woorden: het uitstel geldt voor de zware gevallen. Niet voor de basis.

En juist die basis ontbreekt in veel organisaties nog volledig.

Hier komt het probleem samen met iets waar ik al langer over schrijf: shadow AI.

Vrijwel iedere medewerker gebruikt inmiddels wel ergens AI-tools. Soms voor content, soms voor analyses, soms voor notulen of klantcommunicatie. Vaak buiten het zicht van management of de ICT-afdeling om.

Daardoor weet niemand meer exact welke tools er gebruikt worden, waar data terechtkomt en welke processen ondertussen stilletjes veranderd zijn. Dat was al een risico voor security en databeheer. Maar nu komt daar iets bij: je kunt onmogelijk voldoen aan een transparantieplicht over AI-systemen waarvan je niet eens weet dat ze draaien.

Compliance begint dus niet bij juristen of bij documenten. Compliance begint bij overzicht.

Drie dingen die ik mijn klanten nu adviseer

Als ICT-regisseur krijg ik deze vraag inmiddels wekelijks op tafel. Mijn advies is telkens hetzelfde, en het is bewust geen groot project.

1. Breng in kaart welke AI er draait. Je kunt pas sturen op wat je ziet. Een eenvoudige inventarisatie van de AI-tools die binnen de organisatie gebruikt worden, is de basis onder alles wat daarna komt. En eerlijk: bij vrijwel iedere inventarisatie blijkt er meer te draaien dan de directie dacht.

2. Regel de AI-geletterdheid. Deze plicht geldt al sinds februari 2025 en is tegelijk de eenvoudigste om aantoonbaar in orde te maken. Zorg dat medewerkers die met AI werken weten wat de tools kunnen, wat ze niet kunnen en waar de risico's zitten. En leg vast dát je dat geregeld hebt.

3. Leg beleid en verantwoordelijkheid vast. Wie beoordeelt nieuwe AI-tools? Wat is wel en niet toegestaan? Wie houdt het overzicht bij als er iets bijkomt? Een kort, helder AI-beleid van een paar pagina's voorkomt eindeloos gedoe achteraf. Niet omdat de wet een dik document vraagt, maar omdat een organisatie zonder afspraken vanzelf terugvalt in wildgroei.

Ik denk eerlijk gezegd dat de AI Act voor veel organisaties precies het duwtje is dat al langer nodig was.

Want de vragen die de wet stelt, welke AI draait er, wie is verantwoordelijk, zijn medewerkers toegerust, zijn exact de vragen die je als organisatie sowieso beantwoord wilt hebben. Wet of geen wet.

Organisaties die dit nu rustig en gestructureerd oppakken, zijn straks niet alleen compliant. Ze hebben ook iets veel waardevollers: grip op hoe AI daadwerkelijk verweven raakt met hun dagelijkse operatie.

Voor de compliance-kant van de AI Act werk ik samen met AIComplianceHub, een Nederlands platform waarmee organisaties hun AI-systemen registreren, classificeren en de benodigde documenten opstellen. Wil je snel weten waar jouw organisatie staat? Doe dan de gratis AI-risicoscan. Binnen vijf minuten heb je een overzicht van je risicocategorie en je verplichtingen.

De AI Act gaat de komende jaren gefaseerd steeds meer vragen van organisaties. Maar de eerste stappen zijn geen raketwetenschap: weten wat er draait, medewerkers toerusten en afspraken vastleggen.

Dat is geen compliance-exercitie. Dat is gewoon goed ICT-management.

En organisaties die dat op orde hebben, kunnen AI de komende jaren inzetten waarvoor het bedoeld is: als versneller. Verantwoord, en met vertrouwen.
​