In november 2025 stelde de Europese Commissie een 'Digital Omnibus' voor: een pakket dat meerdere digitale wetten tegelijk wijzigt in naam van vereenvoudiging. Het is de belangrijkste voorgestelde wijziging van de AVG sinds 2016 en het verzet de doelpalen van de AI-verordening midden in de implementatie. Sindsdien wordt erover onderhandeld tussen het Parlement en de Raad. Deze notitie legt uit wat is voorgesteld, waar de onderhandeling in grote lijnen staat en, het belangrijkste, wat u kunt doen dat juist is hoe het ook uitpakt. Beschouw de details hieronder als voorstel, niet als wet: posities veranderen tot de definitieve tekst is gepubliceerd.
Wat het voorstel doet met de AI-verordening
De kop is timing. Hoog-risicoverplichtingen zouden gelden vanaf 2 augustus 2026 voor de systemen in bijlage III (werk, krediet, onderwijs, essentiële diensten enzovoort) en vanaf augustus 2027 voor AI in gereguleerde producten. Het voorstel koppelt die data aan de beschikbaarheid van geharmoniseerde normen en ondersteunende instrumenten, met uiterste data later in 2027 en 2028. Het verruimt ook de vereenvoudigingen voor kleine en middelgrote bedrijven, centraliseert een deel van het toezicht op systemen gebouwd op modellen voor algemene doeleinden bij het AI-bureau en past transparantie- en registratieplichten aan. Parallel liepen aparte 'stop-the-clock'-discussies. De AI-geletterdheidsplicht en de verboden, die al gelden, worden niet geraakt.
Wat het doet met de AVG
Vier wijzigingen doen er voor technologiebedrijven het meest toe. Eén: een smallere, relatievere definitie van persoonsgegevens, in lijn met het Hof van Justitie: informatie is voor u persoonsgegeven alleen als u de persoon redelijkerwijs kunt identificeren. Twee: een uitdrukkelijke route om gerechtvaardigd belang te gebruiken voor het trainen en draaien van AI-modellen, met waarborgen. Drie: de cookie- en apparaatopslagregels verhuizen van de ePrivacyrichtlijn naar de AVG, met erkenning van toestemmingssignalen op browserniveau en een kleinere set gevallen die überhaupt toestemming vereisen. Vier: datalekmeldingen worden vereenvoudigd: één Europees loket, een langere termijn dan de huidige 72 uur en een hogere drempel voor wat gemeld moet worden. Er zijn ook voorstellen om de lijsten van verwerkingen die een DPIA vereisen te harmoniseren en misbruik van inzageverzoeken te beperken.
Wat het doet met de rest van het regelboek
De Data Act, de Data Governance Act en de verordening vrij verkeer van gegevens zouden worden samengevoegd tot één data-instrument. Incidentmelding onder NIS2, DORA, de CRA en de AVG krijgt één loket. De Omnibus schrapt ook enkele rapportageplichten die elkaar over wetten heen dubbelen.
Wat u nu doet: de no-regret-lijst
Stop uw classificatie onder de AI-verordening niet. Termijnen kunnen schuiven; de categorieën niet. Een inventaris met vastgelegde rol- en risicoredenering is onder elke versie van de tekst vereist en is wat klanten en investeerders vandaag vragen. Bouw door aan uw DPIA en verwerkingsregister; beide overleven in elk ontwerp. Ontwerp cookietoestemming voor de strengste lezing en maak het eenvoudig om later te versoepelen; omgekeerd is duur. Bereid u voor op browsersignalen zoals Global Privacy Control; die zijn in meerdere Amerikaanse staten al wet. Bouw één incidentproces dat elke toezichthouder kan voeden, in plaats van één per wet. Documenteer nu uw gerechtvaardigd-belangafweging voor AI-training; wordt de Omnibus aangenomen, dan wordt dat de norm, en zo niet, dan blijft het uw beste argument.
Wij volgen de onderhandeling en informeren cliënten zodra een positie definitief is. Wilt u op één pagina zien wat de huidige tekst voor uw bedrijf zou veranderen, stuur ons dan een korte beschrijving van wat u bouwt.