EU AI Act versus Amerikaans AI-decreet: een tijdlijn voor kopers

IT-inkopers, MSP's en compliance-verantwoordelijken die AI-regelgeving aan beide kanten van de Atlantische Oceaan volgen, hebben te maken met twee systemen die geen kalender, geen reikwijdte en geen basisopzet delen. Ze door elkaar halen kan betekenen dat een project wordt stopgezet dat nog steeds legaal is, of dat een compliance-claim van een leverancier wordt geaccepteerd die geen stand houdt. Deze gids zet op een rij waar de EU AI Act en het Amerikaanse presidentiële decreet over AI per september 2026 echt staan, wat er is veranderd en wat te controleren voordat er wordt getekend.

Wat in de EU al geldt

De transparantieverplichtingen van artikel 50 van de AI Act — meldplicht voor chatbots en labeling van AI-gegenereerde content — gelden sinds 2 augustus 2026, en het AI-bureau van de Europese Commissie heeft al handhavingsbevoegdheden over de verplichtingen voor AI-modellen voor algemene doeleinden, die een jaar eerder ingingen. De verboden praktijken van artikel 5 en de AI-geletterdheidsverplichtingen van artikel 4 gelden al langer, sinds februari 2025. Daar heeft het Digital Omnibus van 2026 niets aan veranderd.

Wat in 2026 is veranderd

Wat wel veranderde, is de tijdlijn voor hoog risico. Het Digital Omnibus over AI van de EU, op 16 juni 2026 goedgekeurd door het Europees Parlement en op 29 juni 2026 door de Raad, heeft de inhoudelijke verplichtingen voor hoogrisicosystemen uitgesteld. Zelfstandige systemen onder bijlage III — met toepassingen zoals werkgelegenheid, onderwijs en biometrie — gelden vanaf 2 december 2027 in plaats van augustus 2026, en productgebonden systemen onder bijlage I schuiven op naar augustus 2028.

De opgegeven reden is dat de geharmoniseerde technische normen die hoogrisicosystemen een vermoeden van conformiteit moeten geven, nog niet klaar waren. De inhoud van de regels is niet veranderd, alleen de datum waarop ze ingaan.

Wat het Amerikaanse presidentiële decreet echt doet

De VS koos een andere aanpak. President Trump ondertekende op 2 juni 2026 Executive Order 14409, “Promoting Advanced Artificial Intelligence Innovation and Security”. Het decreet geldt voor federale instanties en niet rechtstreeks voor private bedrijven, en benadert AI vooral als een kwestie van cybersecurity en innovatie in plaats van een risicogebaseerd compliance-regime.

Het decreet verplicht instanties om binnen 30 dagen na ondertekening prioriteit te geven aan de cyberverdediging van civiele federale systemen, waarbij CISA richtlijnen uitvaardigt om dat werk te versnellen, en het richt een AI-cybersecurity-clearinghouse op — gecoördineerd door het ministerie van Financiën, de NSA en CISA — voor het delen van informatie over kwetsbaarheden en herstelmaatregelen bij AI-systemen. Daarnaast creëert het een vrijwillig kader waarbinnen ontwikkelaars “covered frontier models” met de overheid kunnen delen voor beoordeling vóór publieke release.

Het decreet sluit verplichte vergunningen expliciet uit: sectie 3(c) stelt dat niets erin een verplichte overheidslicentie, voorafgaande toestemming of vergunningsplicht creëert voor het ontwikkelen, publiceren of verspreiden van nieuwe AI-modellen. Dat is een beleidstoezegging in dit decreet, geen permanent wettelijk verbod, want een toekomstig decreet of wetgeving zou dat alsnog kunnen invoeren. Er is ook geen classificatiesysteem zoals bijlage III en geen equivalent van de EU-verplichtingen voor gebruikers van hoogrisicosystemen.

Wat dit betekent voor kopers

De Amerikaanse positie van een leverancier onder EO 14409 zegt niets over diens gereedheid voor de EU AI Act, en omgekeerd geldt hetzelfde: de twee regimes gaan over andere onderwerpen, andere partijen en andere tijdlijnen. Voor Europese IT-verantwoordelijken heeft het decreet geen directe juridische werking, maar het geeft wel aan in welke omgeving Amerikaanse AI-leveranciers opereren — vrijwillige in plaats van verplichte beoordeling vooraf, waarbij cybersecurityverplichtingen bij federale instanties liggen en niet bij de commerciële producten van leveranciers.

Kijk of een leverancier deelneemt aan het vrijwillige kader voor frontier-modellen, in plaats van aan te nemen dat dit gelijkstaat aan een beoordeling die voldoet aan de EU AI Act. Wie al bewijsmateriaal verzamelt voor NIS2 en DORA, kan dezelfde discipline toepassen op de deadlines van de AI Act: Auris Comply biedt ondersteuning voor NIS2/DORA-compliance en audit trails voor dat soort documentatie.

Wat te doen

Voordat een compliance-claim van een leverancier als vaststaand wordt aangenomen, is deze checklist nuttig:

• Vraag welk specifiek artikel of welke bijlage de leverancier zegt na te leven, en controleer vanaf welke datum die bepaling echt van kracht werd — sommige EU-deadlines zijn verschoven, andere niet.
• Behandel het uitstel van bijlage III tot december 2027 als extra tijd, niet als vrijstelling: de transparantieverplichtingen van artikel 50 gelden al, ongeacht wanneer bijlage III ingaat.
• Vraag Amerikaanse leveranciers of ze modellen hebben gedeeld via het vrijwillige kader van EO 14409, in plaats van uit te gaan van een formele overheidsbeoordeling.
• Lees het ontbreken van een vergunningsplicht in het Amerikaanse decreet niet als bewijs van gereedheid voor de EU AI Act: de twee teksten regelen totaal verschillende kwesties.
• Houd de EU- en VS-kalenders apart bij in contracten en auditdossiers, want uitstel aan de ene kant verschuift de deadlines aan de andere kant niet.

Bronnen: artificialintelligenceact.eu, Het Witte Huis, Congressional Research Service.