De ontbrekende geharmoniseerde normen: hoe de vertraging bij CEN-CENELEC de AI Act-tijdlijn verschoof

Het grootste deel van de hoogrisicoverplichtingen van de AI Act is geschreven op het niveau van uitkomsten — risicobeheer, datakwaliteit, menselijk toezicht, robuustheid — niet van methoden. De methoden staan ergens anders: in geharmoniseerde Europese normen. Begrijpen waarom die normen te laat zijn, en wat daar in 2026 aan gedaan is, verklaart een tijdlijnverschuiving die anders willekeurig lijkt.

Wat een geharmoniseerde norm oplevert

Onder artikel 40 van de AI-verordening geniet een hoogrisicosysteem dat voldoet aan een geharmoniseerde norm waarvan de referentie in het Publicatieblad van de EU is gepubliceerd, een vermoeden van conformiteit met de bijbehorende eisen. Het is hetzelfde juridische mechanisme dat de CE-markering in het hele EU-productrecht draagt: de verordening stelt de essentiële eisen; de norm levert de toetsbare specificatie; en een aanbieder die de norm volgt, wordt vermoed aan de wet te voldoen, wat de bewijslast verschuift. Zonder de norm moet een aanbieder nog steeds aan de eis voldoen — maar dat vanaf de grond aantonen, met veel meer rechtsonzekerheid. Voor de conformiteitsbeoordeling die hoogrisicoaanbieders treft, zijn de geharmoniseerde normen geen franje; ze zijn de praktische route naar naleving.

Wie ze schrijft, en waarom ze te laat zijn

De Europese Commissie gaf CEN en CENELEC — de private normalisatie-instituten van de EU — via normalisatieverzoek M/593 (later gewijzigd bij M/613) de opdracht de geharmoniseerde normen van de AI Act te leveren. Het opstellen loopt via hun gezamenlijke technische comité, CEN-CLC/JTC 21 "Artificial Intelligence," actief sinds 2021. De oorspronkelijke leverdeadline was 30 april 2025. Die werd gemist: toetsbare specificaties schrijven voor begrippen zo omstreden als "robuustheid" of "bias" bij algemene technologie bleek veel lastiger dan voor cement of drukvaten, en de consensus tussen industrie, academie, mkb en maatschappelijke organisaties kwam traag tot stand.

De noodmaatregelen van oktober 2025

Op de gezamenlijke vergadering van de Technische Besturen van 14–16 oktober 2025 namen CEN en CENELEC een uitzonderlijk pakket aan om de levering te versnellen, met als doel beschikbaarheid in Q4 2026. Twee maatregelen springen eruit. Ten eerste: waar een Enquiry-stemming positief is, staan de besturen directe publicatie van het ontwerp toe zonder aparte Formal Vote — twee stemrondes samengevoegd tot één. Ten tweede is een kleine redactiegroep van bestaande experts ingesteld om zes vertraagde ontwerpen af te ronden vóór bredere werkgroepbehandeling. Een van de sleutelproducten is prEN 18286, een norm voor AI-kwaliteitsmanagementsystemen die het conformiteitsbeoordelingskader ondersteunt.

De link met de Digital Omnibus

Het normengat bleef niet binnen de normalisatiewereld. Toen de Commissie op 19 november 2025 het vereenvoudigingspakket Digital Omnibus voorstelde, was de late komst van de geharmoniseerde normen een genoemde reden om de hoogrisico-startdata uit te stellen. Zoals beschreven in ons Digital Omnibus-dossier verschoof de toepassingsdatum voor hoogrisicosystemen van bijlage III van 2 augustus 2026 naar 2 december 2027. De causale keten is het waard helder uit te spreken: geen normen, geen vermoeden van conformiteit; geen vermoeden van conformiteit, geen realistische manier voor duizenden aanbieders om op het oorspronkelijke schema te certificeren; dus schoof het schema.

Normen die je nu al kunt gebruiken

De geharmoniseerde normen zijn niet de enige in het spel. De internationale norm EN ISO/IEC 42001:2026 — de Europese overname van de ISO/IEC 42001-norm voor AI-managementsystemen — is nu beschikbaar en certificeerbaar, en wie er een AI-managementsysteem op bouwt, legt veel van het fundament dat een toekomstige geharmoniseerde QMS-norm zal eisen. Een 42001-certificaat geeft op zichzelf niet het vermoeden van conformiteit uit artikel 40 — dat doen alleen de in het Publicatieblad vermelde geharmoniseerde normen — maar de overlap is aanzienlijk. Het praktische advies voor een hoogrisicoaanbieder verandert dus niet door de vertraging: bouw het managementsysteem nu, en behandel de geharmoniseerde normen, wanneer ze in 2026–2027 landen, als de formele specificatie om al verricht werk op te leggen. Zie ook ons overzicht van hoogrisicoverplichtingen.