Overzicht wet- en regelgeving (Q2-2026)

De EU AI Act is de eerste uitgebreide Europese wetgeving die regels stelt aan het ontwikkelen, aanbieden en gebruiken van kunstmatige intelligentie (AI). Het doel van de AI Act is om AI veilig, betrouwbaar en transparant toe te passen, de grondrechten van burgers te beschermen, misbruik van toepassingen te voorkomen en tegelijkertijd innovatie binnen Europa te stimuleren.

De AI Act hanteert een risicogebaseerde aanpak. Hoe groter het risico dat een AI-systeem vormt voor de veiligheid, gezondheid of fundamentele rechten van personen, hoe strenger de verplichtingen.

Voor wie geldt de AI Act?
De AI Act is van toepassing op vrijwel alle partijen binnen de AI-keten, waaronder:

1. Aanbieders (ontwikkelaars en leveranciers) die een AI-modellen en AI-systeem ontwikkelen en op de Europese markt brengen, ongeacht of zij binnen of buiten de EU zijn gevestigd.
2. Gebruikers die AI-systemen inzetten voor professionele doeleinden binnen de EU. Dit omvat met name organisaties die AI inzetten in hoog-risico sectoren, zoals de zorg, financiële sector, onderwijs en HR.
3. Importeurs en distributeurs die AI-systemen van buiten de EU importeren of verhandelen.
4. Fabrikanten die AI integreren in hun producten (bijv. in auto’s, medische apparatuur of machines).

Welke eisen stelt de AI Act?
De belangrijkste eisen per risico niveau:

1. Verboden AI (onacceptabel risico). Toepassingen die de veiligheid of grondrechten ernstig schaden worden verboden zoals: manipulatieve technieken, social scoring door overheden, misbruik van kwetsbare groepen en real-time biometrische identificatie op afstand (met enkele uitzonderingen voor politie).
2. Hoog-risico AI. Dit zijn systemen waarvan de output grote impact kan hebben op mensen, zoals: AI in de gezondheidszorg, onderwijs, kredietwaardigheid, kritieke infrastructuur of HR. Aanbieders hiervan moeten aan de slag met:
   • Risicobeheer: een systeem inrichten om risico’s gedurende de hele levenscyclus te identificeren en beperken.
   • Datakwaliteit: trainen met hoogwaardige datasets om discriminatie en vooroordelen (bias) te voorkomen.
   • Documentatie: technische documentatie bijhouden om naleving aan te tonen.
   • Loggen: activiteiten van het systeem automatisch registreren (logs).
   • Transparantie: gebruikers duidelijke informatie geven over de werking.
   • Menselijk toezicht: zorgen dat het systeem kan worden overgenomen of gestopt door mensen.
   • Conformiteitsbeoordeling: het systeem laten certificeren voordat het op de markt komt.
3. Beperkt risico (transparantie eisen).
   Dit gaat om AI-toepassingen zoals chatbots, generatieve AI (tekst, beeld, audio) en emotieherkenning (waar toegestaan). Gebruikers moeten weten dat ze met AI te maken hebben. Bij generatieve AI moet duidelijk zijn dat de output door AI is gemaakt.
4. Laag of minimaal risico. Hiervoor gelden geen verplichtingen, maar worden vrijwillige gedragscodes aangemoedigd. Denk aan AI in videogames en spamfilters.

Inwerkingtreding
De EU AI Act is een Europese verordening. Dat betekent dat deze automatisch geldt in alle EU‑lidstaten, dus ook in Nederland, zonder dat er eerst nationale wetgeving nodig is.

De wet treedt gefaseerd in werking:

• 2 februari 2025: verboden AI-systemen zijn niet langer toegestaan.
• 2 augustus 2025: verplichtingen voor General Purpose AI (GPAI)-modellen zijn van toepassing geworden.
• 2 augustus 2026: Verschillende bepalingen van de AI Act worden van toepassing, waaronder transparantieverplichtingen en diverse verplichtingen voor aanbieders, importeurs en distributeurs. De verplichtingen voor hoog-risico AI-systemen zijn echter uitgesteld.
• 2 december 2027: De verplichtingen voor zelfstandige hoog-risico AI-systemen (Annex III) worden van toepassing.
• 2 augustus 2028: De verplichtingen voor hoog-risico AI-systemen die onderdeel zijn van gereguleerde producten (Annex I), zoals medische hulpmiddelen, worden van toepassing.

Hoewel de volledige implementatie van de AI Act gefaseerd plaatsvindt, doen organisaties er verstandig aan nu al inzicht te krijgen in het gebruik van AI binnen de organisatie. Denk daarbij aan het opstellen van AI-beleid, het uitvoeren van risicoanalyses en het inrichten van passend toezicht.

De Data Act is onderdeel van de Europese datastrategie en heeft als doel data eerlijker  beschikbaar te maken voor gebruikers, bedrijven en overheden(zonder de bescherming van persoonsgegevens te verzwakken). De verordening richt zich met name op data afkomstig uit verbonden producten (IoT), slimme apparaten en cloudomgevingen.

De Data Act vult de AVG aan, maar vervangt deze niet. Waar de AVG ziet op persoonsgegevens, regelt de Data Act vooral de toegang tot en het gebruik van data.

Voor wie geldt de Data Act?
De Data Act is een EU‑verordening, dus zij geldt automatisch in alle EU‑lidstaten, inclusief Nederland. De wet richt zich op een brede groep organisaties die data genereren, verwerken of opslaan.

• Fabrikanten van verbonden producten (IoT). Deze fabrikanten moeten gebruikers toegang geven tot de data die hun apparaten genereren. Bijvoorbeeld: slimme auto’s, smartwatches, industriële machines en slimme huishoudelijke apparaten.
• Aanbieders van digitale diensten. Zij moeten overstappen tussen providers makkelijker maken en interoperabiliteit ondersteunen. Bijvoorbeeld: cloudproviders (IaaS, PaaS, SaaS), edge-computingdiensten en data-verwerkingsplatformen.
• Bedrijven die data verwerken of delen. Denk aan bedrijven die IoT-data gebruiken voor onderhoud, analyse of optimalisatie, organisaties die data delen met partners of klanten én bedrijven die data beschikbaar stellen aan derden.
• Overheidsinstanties. Zij mogen in bepaalde situaties data opvragen bij bedrijven, bijvoorbeeld bij noodsituaties of publieke taken.
• Consumenten en zakelijke gebruikers. Zij krijgen meer rechten op toegang tot data die door hun apparaten wordt gegenereerd.

Inwerkingtreding
Hoewel de Data Act al vanaf 12 september 2025 grotendeels van toepassing is, worden belangrijke verplichtingen in 2026 pas voelbaar door de overgangsperiode die van toepassing is.

Hieronder de privacy-relevante onderdelen die aankomend jaar spelen.

Verplichtingen voor cloud-providers. 
Vanaf 2026 moeten zij voldoen aan verplichte data-portabiliteit, makkelijke overstap tussen cloudprovides, verbod op lock-in praktijken en interoperabiliteitseisen. De privacy impact:

• Persoonsgegevens moeten veilig en correct worden overgedragen tussen providers.
• Organisaties moeten aantonen dat datadoorgifte voldoet aan de AVG (o.a. beveiliging, dataminimalisatie).
• Meer risico’s in de keten → strengere contracten en beveiligingsmaatregelen nodig.

IoT-apparaten.
Deze apparaten moeten gebruikers toegang geven tot de data die zij genereren, die data veilig kunnen delen met derden en duidelijk informatie geven over welke data wordt verzameld. De privacy impact:

• IoT-data bevat vaak indirect persoongegevens (locatie, gebruikspatronen, gedrag).
• Fabrikanten moeten transparanter worden over dataverwerking.
• Delen van data met derden met AVG-proof zijn.

Regels voor overheidsverzoeken om data (B2G-data-sharing)
Vanaf 2026 mogen overheden in bepaalde situaties data opvragen bij bedrijven, zoals in noodsituaties, voor de uitvoering van publieke taken, statistiek of onderzoek. De privacy impact:

• Overheden moeten aantonen dat zij alleen noodzakelijke persoonsgegevens opvragen.
• Bedrijven moeten beoordelen of het verzoek verenigbaar is met de AVG.
• Extra waarborgen nodig voor gevoelige data.
• Verboden contractuele voorwaarden (vooral relevant voor privacy in de keten)

Verbod op contractvoorwaarden.
Daarnaast verbiedt de Data Act vanaf 2026 contractvoorwaarden die onredelijk zijn voor kleine bedrijven, datadeling onnodig beperken en gebruikersrechten ondermijnen. De privacy impact:

• Verwerkersovereenkomsten moeten worden herzien.
• Privacy‑ en security‑verplichtingen moeten expliciet worden opgenomen.
• Meer transparantie over datastromen in de keten.

De cyberbeveiligingswet is de Nederlandse implementatie van de Europese NIS2-richtlijn. Het doel van deze wet is het verhogen van de digitale weerbaarheid van organisaties die een belangrijke maatschappelijke of economische rol vervullen.

De wet stelt eisen aan organisaties om cyberrisico’s beter te beheersen, de continuïteit van essentiële dienstverlening te waarborgen en de impact van cyberincidenten te beperken.

Op wie van toepassing?
De Cyberbeveiligingswet geldt voor organisaties die actief zijn in specifieke essentiële en belangrijke sectoren. Of een organisatie daadwerkelijk onder de wet valt, hangt af van de omvang van de organisatie. De wet onderscheidt twee categorieën:

• Hoog kritieke sectoren: energie, transport, bankwezen, infrastructuur financiële markt, gezondheidszorg, drinkwater, digitale infrastructuur, beheerders van ICT-diensten, afvalwater, overheidsdiensten en ruimtevaart.
• Andere kritieke sectoren: digitale aanbieders, post- en koeriersdiensten, afvalstoffenbeheer, levensmiddelen, chemische stoffen, onderzoek en vervaardiging/manufacturing.

Ook organisaties die niet rechtstreeks onder de Cyberbeveiligingswet vallen, kunnen indirect met de wet te maken krijgen. Organisaties die wel onder de wet vallen zijn namelijk verplicht om risico’s in hun toeleveringsketen te beheersen. Hierdoor zullen leveranciers en andere ketenpartners steeds vaker gevraagd worden aan te tonen dat zij hun informatiebeveiliging op orde hebben.

Welke eisen worden gesteld?
Organisaties die onder de Cyberbeveiligingswet vallen krijgen verschillende wettelijke verplichtingen.

• Zorgplicht: Het uitvoeren van een risicobeoordeling en op basis van de resultaten passende technische, operationele en organisatorische maatregelen treffen.
• Meldplicht: Incidenten die aanzienlijke gevolgen (kunnen) hebben voor de verlening van de dienst moeten binnen 24 uur worden gemeld bij de toezichthouder.
• Registratieplicht: Organisaties die onder de Cyberbeveiligingswet vallen moeten zich registreren in het landelijke entiteitenregister.
• Verantwoordelijkheid bestuurders: Een belangrijk nieuw onderdeel van de Cyberbeveiligingswet is de bestuurlijke verantwoordelijkheid.Bestuurders worden verantwoordelijk voor het goedkeuren van de cyberbeveiligingsmaatregelen binnen de organisatie en moeten erop toezien dat de organisatie voldoet aan de wettelijke verplichtingen. Daarnaast moeten zij beschikken over voldoende kennis om cyberrisico’s te kunnen beoordelen en passende besluiten te nemen.

Inwerkingtreding
De NIS2-richtlijn trad in werking op 16 januari 2023. Inmiddels is ook de Nederlandse vertaling in de vorm van de Cyberbeveiligingswet aangenomen. Deze treedt op 15 augustus 2026 in werking. Vanaf dat moment moeten organisaties die onder de wet vallen voldoen aan onder meer de zorgplicht, meldplicht en registratieplicht en staan zij onder toezicht van de bevoegde autoriteiten.

De Wet weerbaarheid kritieke entiteiten (Wwke) is de Nederlandse implementatie van de Europese Critical Entities Resilience Directive (CER-richtlijn).

Waar de Cyberbeveiligingswet zich richt op cybersecurity, richt de Wwke zich op de bredere weerbaarheid en continuïteit van vitale organisaties. De wet ziet op verstoringen zoals: cyberaanvallen, fysieke sabotage, stroomuitval, geopolitieke dreigingen en natuurrampen.

Op wie van toepassing?
De wet geldt voor kritieke entiteiten in de volgende sectoren: energie, vervoer, bankwezen, infrastructuur voor de financiële markt, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, overheid, ruimtevaart en de productie en verwerking en distributie van levensmiddelen.

Elk verantwoordelijk ministerie wijst voor hun sector(en) op basis van de hieronder genoemde wettelijke criteria de kritieke entiteiten aan.

• De organisatie verleent één of meer essentiële diensten, die van cruciaal belang zijn voor het in stand houden van vitale functies.
• De organisatie is actief in Nederland en haar kritieke infrastructuur bevindt zich in Nederland.
• Een incident binnen deze entiteit zou aanzienlijke verstorende effecten hebben op de verlening van de essentiële dienst(en) of via cascade-effecten op andere essentiële diensten.

Welke eisen worden gesteld?
Organisaties die onder de Wwke vallen moeten in ieder geval voldaan aan onderstaande verplichtingen:

• Risicoanalyse: periodieke beoordeling van alle relevante risico’s die de essentiële dienstverlening kunnen verstoren.
• Weerbaarheidsmaatregelen: op basis van de risicoanalyse moeten passende maatregelen worden genomen om incidenten te voorkomen, impact te beperken en herstel te versnellen.
• Meldplicht: significante verstoringen moeten binnen 24 uur worden gemeld bij de bevoegde autoriteit.

Inwerkingtreding
De Wet weerbaarheid kritieke entiteiten treedt gelijktijdig met de Cyberbeveiligingswet op 15 augustus 2026 in werking.

De Cyber Resilience Act (CRA) is Europese wetgeving die eisen stelt aan de beveiliging van producten met digitale elementen die in de EU op de markt worden gebracht. Het doel is het verhogen van het algemene cybersecurityniveau van digitale producten.

Voor wie van toepassing?
De CRA is van toepassing op de fabrikanten, importeurs en distributeurs van producten die in verbinding staan met andere apparaten of een netwerk (digitale producten). Dit geldt zowel voor software, hardware als componenten, die direct of indirect op een apparaat of netwerk zijn aangesloten. Met uitzondering van specifieke uitsluitingen, zoals opensourcesoftware of diensten die reeds onder de bestaande regels vallen (bijvoorbeeld medische hulpmiddelen en auto’s).

Welke eisen worden gesteld?
De CRA stelt eisen aan de digitale producten voordat deze op markt gebracht worden. Daarbij worden de meeste eisen gesteld aan de fabrikanten. Zij moeten aan diverse cyberbeveiligingseisen voldoen, zoals:

• Het verstrekken van gratis veiligheidsupdates zodra er kwetsbaarheden worden ontdekt, gedurende de hele te verwachten gebruiksperiode.
• Het ervoor zorgen dat producten voldoen aan de cybersecurityeisen, voordat een product op de markt wordt gebracht.
• In veel gevallen moeten veiligheidsupdates automatisch worden geïnstalleerd, opgeslagen persoonlijke- en financiële gegevens worden beschermd en krijgt de gebruiker de mogelijk geboden om deze data permanent te verwijderen.
• Incidenten en kwetsbaarheden, die worden misbruikt door kwaadwillende, binnen 24 uur melden aan de nationale Computer Security Incident Response Teams (CSIRT) van de overheid.

Importeurs moeten er onder andere op toezien dat fabrikanten hun verplichtingen zijn nagekomen, bijvoorbeeld dat zij de conformiteitsbeoordeling hebben uitgevoerd. Distributeurs zijn verplicht ervoor te zorgen dat het product is voorzien van een CE-markering. Ook controleren zij of de fabrikant aan bepaalde verplichtingen heeft voldaan, zoals het product voorzien van een element om het te kunnen identificeren.

Inwerkingtreding
De CRA is op 10 december 2024 in werking getreden. De verplichtingen worden gefaseerd van toepassing:

• 11 september 2026: meldplicht voor actief misbruikte kwetsbaarheden en ernstige incidenten.
• 11 december 2027: de CRA is volledig van toepassing en moeten producten met digitale elementen voldoen aan de gestelde cyberbeveiligingseisen.