De regel geldt. De toezichthouder ontbreekt.

Sinds 2 augustus 2026 handhaaft de Europese Commissie de AI-verordening. Chatbots moeten voortaan melden dat zij geen mens zijn en AI-gegenereerde content moet herkenbaar zijn. De Commissie publiceerde op 20 juli de definitieve richtsnoeren waarmee toezichthouders die naleving beoordelen.

De Europese Commissie maakte op 31 juli 2026 bekend dat zij samen met de nationale autoriteiten vanaf 2 augustus 2026 begint met de handhaving van de AI-verordening. Nieuw per die datum zijn de transparantieregels: interactieve AI-systemen moeten gebruikers melden dat zij met AI te maken hebben, bewerkte of gegenereerde beelden en geluidsopnamen moeten worden gelabeld en AI-content moet machinaal leesbare markeringen dragen. Ongewijzigd blijven het verbod op bepaalde AI-praktijken, dat al sinds februari 2025 geldt en de verplichtingen voor aanbieders van grote AI-modellen, die sinds augustus 2025 gelden. Uitgesteld blijven de zwaarste eisen voor AI bij acceptatie en kredietbeoordeling: die gelden pas vanaf 2 december 2027. Op 20 juli 2026 publiceerde de Commissie de definitieve richtsnoeren bij deze transparantieregels, ter vervanging van de conceptversie van mei.

Deze verplichting raakt uw eigen AI-inzet rechtstreeks, niet alleen die van uw leveranciers. Zet uw organisatie een chatbot in voor klantcontact, of laat u klantcorrespondentie of marketingmateriaal door AI opstellen, dan is uw organisatie de partij die de melding moet doen. De richtsnoeren maken bovendien een keuze expliciet: u ondertekent de Europese gedragscode voor AI-content, of u toont zelf aan dat uw aanpak gelijkwaardig is. Dat tweede spoor legt de bewijslast volledig bij uw organisatie en daarmee bij uw bestuur.

Laat vaststellen welke AI-toepassingen in klantcontact en communicatie onder deze regels vallen en of de melding daadwerkelijk is ingebouwd. Leg vervolgens vast welk van beide sporen uw organisatie volgt en wie dat besluit heeft genomen.

De AI-verordening is sinds 2 augustus handhaafbaar, maar volgens een inventarisatie van 17 juni 2026 hadden toen slechts negen van de 27 lidstaten beide vereiste toezichthouders aangewezen. Nederland hoort niet bij die negen. De verplichtingen gelden intussen gewoon.

Het Future of Life Institute, een onafhankelijk onderzoeksinstituut, houdt bij welke lidstaten de toezichthouders hebben aangewezen die de AI-verordening moeten handhaven. Bij de laatste actualisatie op 17 juni 2026, ruim zes weken voor de start van de handhaving, hadden negen van de 27 lidstaten beide vereiste autoriteiten definitief aangewezen. Twaalf lidstaten hadden alleen conceptwetgeving of een van beide autoriteiten en zes hadden nog niets aangewezen. De oorspronkelijke termijn hiervoor was 2 augustus 2025. Nederland valt in de middengroep. Bij dit cijfer past een kanttekening: de inventarisatie loopt aantoonbaar achter, want Duitsland staat er nog als onvolledig terwijl de Duitse uitvoeringswet op 29 juli 2026 in werking trad. Het werkelijke aantal ligt dus hoger dan negen; het patroon zelf blijft overeind.

Voor uw bestuur is de verleiding groot om te wachten tot Nederland zijn toezichtstructuur heeft vastgelegd. Dat berust op een misvatting: de AI-verordening werkt rechtstreeks. Uw verplichtingen gelden sinds 2 augustus 2026, ook zonder aangewezen Nederlandse toezichthouder. Werkt uw organisatie grensoverschrijdend, dan wordt het beeld bovendien ongelijk. In Duitsland staat toezichthouder Bafin al klaar, in andere lidstaten voorlopig niemand. Dat verschil is een toezichtrisico, geen vrijstelling.

Laat het moment waarop u begint niet afhangen van de Nederlandse wetgeving. Vraag om een overzicht van uw AI-toepassingen per land waarin u actief bent, met per land de toezichthouder die daar al bevoegd is.

OpenAI, Microsoft, Amazon en drie andere partijen brachten op 6 augustus een gezamenlijke standaard uit voor het koppelen van zelfstandig handelende AI aan bedrijfssystemen. De standaard regelt bewust niet wie toestemming verleent, hoe herkomst wordt vastgesteld en hoe distributie wordt beveiligd.

Op 6 augustus 2026 brachten OpenAI, Microsoft, Amazon Web Services, Vercel en Cursor gezamenlijk Agent Plugins 1.0 uit. Dit is een standaard voor het verpakken van vaardigheden van zelfstandig handelende AI, zodat die vaardigheden zonder aanpassing van het ene naar het andere AI-systeem kunnen worden verplaatst. De standaard wordt inmiddels ondersteund in veelgebruikte ontwikkel- en kantooromgevingen. Ook Google wordt in de verslaggeving als deelnemende partij genoemd. De opstellers sluiten drie zaken uitdrukkelijk uit: hoe zulke vaardigheden worden gedistribueerd, hoe wordt vastgesteld waar zij vandaan komen en welke rechten zij binnen een systeem krijgen. Die drie punten laten zij over aan de afzonderlijke leveranciers. De huidige versie is bovendien nog een werkversie.

Het gevolg voor uw organisatie is dat AI-vaardigheden binnenkort net zo eenvoudig te verspreiden zijn als een documentsjabloon, terwijl er geen gedeelde afspraak bestaat over wie welke bevoegdheid verleent. Precies dat is wat een toezichthouder van u wil kunnen zien: welke AI-toepassing had welke rechten, wie heeft die verleend en is dat achteraf aantoonbaar. Zonder eigen beleid ontstaat dit ongemerkt binnen de organisatie, buiten het zicht van het bestuur.

Laat toetsen of uw AI-beleid deze categorie überhaupt kent. Is dat niet zo, beleg dan wie de goedkeuringsroute inricht voor het koppelen van zelfstandig handelende AI aan interne systemen.

De SEC, de Amerikaanse toezichthouder op de effectenmarkten, vraagt financiële ondernemingen om informatie over hun AI-gebruik. Het toetsobject is niet een nieuwe regel, maar het bestaan en de kwaliteit van het eigen AI-beleid.

In de eerste week van augustus 2026 berichtten meerdere vakmedia dat de toezichtafdeling van de SEC, de Amerikaanse toezichthouder op de effectenmarkten, informatie opvraagt bij financiële ondernemingen over hun AI-gebruik. De verzoeken richten zich op AI bij vermogensbeheer, op geautomatiseerde handelsmodellen en op uitspraken die ondernemingen in hun marketing over hun eigen AI doen. Onder de toezichtprioriteiten voor 2026 beoordeelt de SEC of ondernemingen beleid en procedures hebben om AI-gebruik te monitoren, onder meer bij fraudepreventie, backofficewerk en witwascontrole. Volgens een vakpublicatie van 5 augustus 2026 heeft slechts vijftien procent van de Amerikaanse geregistreerde beleggingsadviseurs een vastgesteld AI-beleid. Dat percentage komt uitsluitend uit die vakpublicatie en is niet terug te vinden in een publicatie van de SEC zelf.

Dit is een Amerikaanse casus en de SEC houdt geen toezicht op Nederlandse verzekeraars. De overdraagbare les zit in de vorm die het toezicht aanneemt: geen nieuwe regel, maar een verzoek waarin uw eigen AI-beleid het toetsobject is. AFM en DNB beschikken over dezelfde bevoegdheid. Een tweede punt raakt u wel rechtstreeks, ongeacht rechtsgebied: het toetsen van uw eigen uitspraken over AI. Heeft uw organisatie in klantcommunicatie of jaarverslaggeving claims over AI opgenomen, dan moeten die tegen de eigen documentatie standhouden.

Laat uw AI-beleid beoordelen op de vraag of het een informatieverzoek van een toezichthouder zou doorstaan en controleer of publieke uitspraken over uw AI-gebruik door interne documentatie worden gedekt.