Uitvoeringswet AI-verordening — wie in Nederland toezicht houdt en mag beboeten

De AI-verordening werkt rechtstreeks, maar laat aan de lidstaten over wie erop toeziet, welke bevoegdheden die toezichthouders krijgen en hoe de boetes worden opgelegd. Dat moet de Uitvoeringswet AI-verordening regelen. Het concept ging op 20 april 2026 in internetconsultatie; per 11 september 2026 ligt er geen wetsvoorstel bij de Tweede Kamer. Zolang de wet er niet is gelden de Europese verplichtingen onverkort, maar ontbreekt in Nederland de grondslag om ze bestuursrechtelijk te handhaven.

Waarvoor is dit bedoeld

De verordening schrijft voor dat elke lidstaat ten minste één aanmeldende autoriteit en ten minste één markttoezichtautoriteit aanwijst, één daarvan als centraal contactpunt, en dat er een nationale sanctieregeling komt binnen de Europese maxima. De uitvoeringswet legt die keuzes vast: welke toezichthouder waarover gaat, welke bevoegdheden zij krijgt en hoe de samenwerking tussen toezichthouders verloopt.

Voor wie

Direct: de toezichthouders zelf. Indirect: elk bedrijf dat AI ontwikkelt of beroepsmatig gebruikt, ongeacht omvang. De wet bepaalt bij welk loket een klacht binnenkomt, wie een bedrijf mag controleren en wie uiteindelijk een boete oplegt. Voor een bedrijf van tien tot vijftig man verandert de wet niets aan wát moet — dat staat in de verordening — maar wel aan wie erop let.

Wat er niet onder valt

De uitvoeringswet herhaalt de verordening niet en schept geen nieuwe materiële verplichtingen. Het toezicht op AI-modellen voor algemene doeleinden blijft exclusief bij de Europese Commissie en haar AI-bureau; daar gaat de Nederlandse wet niet over. En de verboden praktijken, de AI-geletterdheid en de transparantieplichten van artikel 50 gelden ook zonder uitvoeringswet: het ontbreken ervan is geen uitstel van de normen zelf.

Wat je moet doen

Op dit moment niets dat uit deze wet volgt. Wie nu al wil weten bij welke toezichthouder hij thuishoort, kan afgaan op de beoogde verdeling hieronder; die is in de consultatieversie en in de toets van de RDI beschreven, maar nog niet wettelijk vastgelegd en kan in de parlementaire behandeling nog verschuiven.

Stand van zaken

Het conceptwetsvoorstel ging op 20 april 2026 in internetconsultatie. De Rijksinspectie Digitale Infrastructuur bracht op 23 juni 2026 haar uitvoerbaarheids- en handhaafbaarheidstoets uit aan het ministerie van Economische Zaken; die brief is op 3 september 2026 openbaar gemaakt. Per 11 september 2026 is er geen wetsvoorstel aanhangig bij de Tweede Kamer.

Beoogde rolverdeling

De RDI en de Autoriteit Persoonsgegevens worden samen coördinerend toezichthouder en richten een gezamenlijk AI-coördinatiecentrum in; de RDI wordt het centrale contactpunt richting de Europese Commissie en de AI Board. De RDI krijgt daarnaast het markttoezicht op AI in radioapparatuur, samen met de ILT het toezicht op AI in kritieke infrastructuur (bijlage III, punt 2), de rol van aanmeldende autoriteit voor biometrische toepassingen, en het beheer van de nationale testomgeving en een AI Safety and Security Lab. Het NCSC beheert het registratiesysteem voor kritieke infrastructuur. IGJ, NVWA, AFM, DNB en de Nederlandse Arbeidsinspectie zijn betrokken bij de testomgeving; grondrechtentoezichthouders worden geconsulteerd bij systemen met grondrechtenrisico’s.

Wat de RDI signaleert

De RDI acht het voorstel uitvoerbaar, handhaafbaar en fraudebestendig, mits een aantal aandachtspunten wordt meegenomen. Het belangrijkste knelpunt is definitorisch: het begrip veiligheidscomponent kan zeer breed of juist beperkt worden uitgelegd, wat de omvang van de toezichtstaak drastisch verandert, en het is onduidelijk wanneer een AI-systeem bij radioapparatuur zélf als product moet worden gezien. Verder wijst de RDI op capaciteit en kennisopbouw, op onduidelijkheid over wie het registratiesysteem voor kritieke infrastructuur uitvoert — dat moet vóór 2 december 2027 werken — en op de behoefte aan specialistische faciliteiten voor het veilig verwerken van toezichtmateriaal.

Achterstand op de Europese termijn

De verordening verplichtte lidstaten hun markttoezichtautoriteiten en centrale contactpunt uiterlijk 2 augustus 2025 aan te wijzen en publiek te maken. Nederland heeft die termijn ruim overschreden. Dat de Digital Omnibus de hoog-risico-eisen naar 2 december 2027 en 2 augustus 2028 heeft verschoven, verlicht de druk op de inhoudelijke voorbereiding, maar niet op de aanwijzing zelf.

Gevolg zolang de wet er niet is

De verboden praktijken, de AI-geletterdheid en sinds 2 augustus 2026 de transparantieplichten gelden, maar er is geen Nederlandse autoriteit die daarvoor formeel is aangewezen en geen nationale bepaling die de Europese boetemaxima toepasselijk maakt. Bestuursrechtelijke handhaving van de AI-verordening is in Nederland daarmee feitelijk nog niet operationeel. Wat wel doorloopt: toezicht op grond van andere wetten waar AI-gebruik dat raakt, zoals de AVG.

Toezicht NL

Autoriteit Persoonsgegevens en Rijksinspectie Digitale Infrastructuur als coördinerend duo, met sectorale toezichthouders op hun eigen domein. De AP vervult sinds enkele jaren al de rol van coördinerend algoritmetoezichthouder vanuit haar Directie Coördinatie Algoritmes; die rol berust tot nu toe op kabinetsbeleid, niet op deze wet.

Boete

De boetemaxima staan in de verordening zelf — 35 miljoen euro of 7 procent van de wereldwijde jaaromzet voor verboden praktijken, 15 miljoen euro of 3 procent voor de meeste andere verplichtingen, 7,5 miljoen euro of 1 procent voor onjuiste informatie aan toezichthouders, met voor mkb en start-ups telkens het laagste van bedrag en percentage. Wat de uitvoeringswet daarover regelt en bij welke toezichthouder de boetebevoegdheid komt te liggen, is uit openbare bronnen niet te verifiëren.