Europa stelt zijn eigen AI-regels uit, zes dagen nadat de inbraak bij Hugging Face bekend raakt

De data op een rij:

19 november 2025. De Commissie publiceert haar voorstel voor de Digital Omnibus on AI, samen met een bredere Digital Omnibus voor wetten over data en cyberveiligheid.

7 mei 2026. De Raad kondigt een voorlopig akkoord met het Parlement aan. Het officiële doel is vereenvoudiging en minder nalevingslast voor bedrijven. Het Parlement stemt op 16 juni, de Raad keurt de tekst goed op 29 juni, en beide ondertekenen hem op 8 juli.

21 juli 2026. OpenAI maakt bekend dat zijn agenten bij Hugging Face binnengedrongen zijn.

24 juli 2026. De omnibus verschijnt in het Publicatieblad als Verordening (EU) 2026/1744.

27 juli 2026. Ze treedt in werking, op de derde dag na de publicatie. De verplichtingen voor hoogrisicosystemen die op 2 augustus zouden ingaan, schuiven op naar 2 december 2027 voor de toepassingen uit bijlage III, zoals rekrutering en kredietscores, en naar 2 augustus 2028 voor AI die in producten zoals medische apparaten en speelgoed zit.

De tekst werd op 8 juli ondertekend, voor OpenAI met zijn melding kwam. Brussel reageerde niet op juli, en er werd ook niets versneld. De twee processen liepen naast elkaar zonder elkaar te beïnvloeden.

Vergelijk Europa met de rest. In de Verenigde Staten dagvaarden procureurs-generaal OpenAI, liggen er wetsvoorstellen om superintelligentie te verbieden en een uitknop te verplichten, en pauzeerde een lab zijn eigen training. Australië zette binnen enkele dagen een cybertaskforce op toen het hoorde dat er iemand in zijn gezondheidsportaal gezeten had.

Europa heeft de strengste AI-wet ter wereld en bracht 2026 door met het uitstellen van het deel dat tanden heeft. Ik vond geen bericht dat een Europese instantie OpenAI iets gevraagd heeft over juli. Voor zover ik weet, heeft ook geen enkele instantie het recht om dat te vragen.

Ik sta niet alleen met die kritiek. Luise Quaritsch van het Jacques Delors Centre schreef in maart dat de omnibus de verkeerde kant opgaat. De wijzigingen zijn inhoudelijk, zonder dat iemand de gevolgen onderzocht, en lossere regels dreigen buitenlandse techreuzen nog sterker te maken, stelt ze. Negen middenveldorganisaties, onder wie EDRi, Amnesty International en het European Center for Not-for-Profit Law (ECNL), noemen het een terugdraaiing van waarborgen nog voor ze gelden. Volgens hen ondergraaft de omnibus de geloofwaardigheid van de EU als ernstige digitale toezichthouder. Mario Mariniello van de Brusselse denktank Bruegel stelt vast dat deregulering de politieke wind in de zeilen heeft. Het werk om schade te beperken loopt daarnaast.

Wie het uitstel verdedigt, wijst erop dat Europa geen eigen toplab heeft. De kosten om de regels na te leven, wegen het zwaarst op de kleine Europese bedrijven die er misschien een zouden bouwen. En wie een markt reguleert waarin hij zelf niet produceert, draagt de kosten zonder er controle voor terug te krijgen.

De data van 2 december 2027 en 2 augustus 2028 komen uit de verordening zelf. Andere delen van de AI Act houden 2 augustus 2026, zoals de meeste transparantieverplichtingen. Gibson Dunn dateert het politieke akkoord op 6 mei, de aankondiging van de Raad kwam op 7 mei. Ik gebruik 7 mei.