Dat is het korte antwoord, en het verklaart waarom twee mensen allebei gelijk kunnen hebben als de een zegt dat er een toezichthouder is en de ander zegt van niet. Er lopen namelijk twee sporen naast elkaar, en ze worden voortdurend door elkaar gehaald.
De verordening verplicht elke lidstaat om vast te stellen welke bestaande instanties toezien op grondrechten bij AI met een hoog risico, en die lijst openbaar te maken. Die verplichting had een harde datum: uiterlijk 2 november 2024.
Nederland heeft dat gedaan. Op 19 november 2024 is de Lijst met vastgestelde autoriteiten ter bescherming van de grondrechten op grond van artikel 77 AI-verordening gepubliceerd. Daar staan er zes op:
Dat laatste rijtje wordt zelden genoemd: ook binnen de rechtspraak is aangewezen wie toeziet op grondrechten bij AI in de eigen taken. De lijst moet worden bijgehouden, dus hij kan veranderen.
Wat deze instanties mogen, staat in artikel 77. Zij kunnen informatie en documentatie opvragen en inzien bij de markttoezichtautoriteit. Is die documentatie ontoereikend om vast te stellen of grondrechten zijn geschonden, dan kunnen zij een met redenen omkleed verzoek doen om het systeem met technische middelen te laten testen.
De omnibus heeft dit versterkt, niet verzwakt. In juli 2026 zijn er twee leden bijgekomen. De markttoezichtautoriteit moet die toegang nu verlenen, zo nodig door de informatie onverwijld op te vragen bij de aanbieder of de gebruiksverantwoordelijke. En beide soorten toezichthouders moeten nauw samenwerken en elkaar bijstaan.
Dit is het spoor waar de boetes zitten, en daar is Nederland nog niet.
De Uitvoeringswet AI-verordening moet aanwijzen wie markttoezichthouder wordt en welke bevoegdheden die krijgt. Die wet is er nog niet. De internetconsultatie liep van 20 april tot 1 juni 2026, en het wetsvoorstel is sindsdien nog niet bij de Tweede Kamer ingediend. De planning wijst naar 2027.
Volgens dat voorstel komt er een gedecentraliseerd model: ongeveer tien bestaande toezichthouders verdelen het werk over hun eigen sectoren. De Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur krijgen daarbij een coördinerende rol, waarbij de RDI het centrale contactpunt van Nederland wordt. Voor hoog-risico-AI zonder eigen sectortoezichthouder is de AP het vangnet.
Zolang die wet niet is aangenomen, ontbreekt de wettelijke grondslag om de boetes uit artikel 99 daadwerkelijk op te leggen.
De grondrechtenautoriteit krijgt zijn informatie via de markttoezichtautoriteit. Dat is geen omweg maar de route die de verordening zelf voorschrijft. Zolang er in Nederland nog geen markttoezichthouder is aangewezen, mist die route zijn tussenstation.
Daar komt het geld bij. Het College voor de Rechten van de Mens liet begin november 2026 weten dat het op korte termijn € 400.000 tekortkomt, en vanaf 2028 € 1,25 miljoen per jaar — meer dan een halvering van de capaciteit die het zelf nodig acht.
Nee, en dat is geen preek maar een nuchtere vaststelling.
De verplichtingen gelden al. Dat er nog geen boete kan volgen, verandert niets aan wat de wet van u vraagt. Artikel 4 over AI-geletterdheid geldt sinds februari 2025, de verboden praktijken ook, en de transparantieregels sinds augustus 2026.
Er zijn al toezichthouders die wél iets kunnen. De Autoriteit Persoonsgegevens handhaaft de AVG al ruim acht jaar, en vrijwel elke AI die over mensen gaat verwerkt persoonsgegevens.
En het is niet de toezichthouder die u het eerst zal vragen. Dat is een klant, een verzekeraar, een accountant of een opdrachtgever in een aanbesteding. Die wachten niet op een uitvoeringswet.
Wat u vandaag niet vastlegt, kunt u later niet laten zien. Dat is het hele punt.
Doe de gratis AI Act-zelftest — een paar minuten, en u ziet welke verplichtingen voor u gelden.
Is AI-geletterdheid verplicht voor mijn organisatie?
Is de AI-verordening versoepeld?
Moet de AI-verordening in mijn aanbesteding?
Wat als een medewerker iets verkeerds uit AI overneemt?
Kan mijn bedrijf zomaar AI gaan gebruiken?
Voor de meeste verplichtingen niet. Nederland heeft de markttoezichthouders nog niet aangewezen en de Uitvoeringswet is er nog niet. De verplichtingen zelf gelden wel: alleen het beboeten wacht.
Nee. Artikel 4 over AI-geletterdheid geldt sinds februari 2025, de verboden praktijken sinds diezelfde datum en de transparantieregels sinds augustus 2026. Wat u vandaag niet vastlegt, kunt u later niet laten zien.
Vrijwel nooit een toezichthouder. Het is een klant, een verzekeraar of een opdrachtgever die het in een aanbesteding uitvraagt. Die wachten niet op een uitvoeringswet.
Zij zijn sinds 19 november 2024 aangewezen en houden toezicht op grondrechten bij AI met een hoog risico. Op grond van artikel 77 kunnen zij informatie en documentatie opvragen, maar zij doen dat bij de markttoezichtautoriteit en niet rechtstreeks bij u.