Handhaving EU AI Act is begonnen: wat er op 2 augustus 2026 veranderde voor organisaties die Claude gebruiken

De datum die we bij onze Opus 5-berichtgeving al markeerden, is aangebroken: op 2 augustus 2026 kreeg de Europese Commissie, via haar AI Office, formeel de bevoegdheid om haar onderzoeks- en handhavingsinstrumenten in te zetten tegen aanbieders van general-purpose AI-modellen (GPAI), en rond de verboden AI-praktijken uit de AI Act. De inhoudelijke GPAI-verplichtingen golden technisch al sinds 2 augustus 2025, maar het AI Office miste tot nu de bevoegdheden om ze af te dwingen.

Wat het AI Office nu kan: technische documentatie opvragen bij modelaanbieders, modellen zelf evalueren, corrigerende maatregelen eisen en boetes opleggen. Sancties voor GPAI-overtredingen lopen op tot €15 miljoen of 3% van de wereldwijde jaaromzet, wat hoger uitvalt. Aanbieders van modellen die vóór 2 augustus 2025 op de markt kwamen, hebben doorgaans tot 2 augustus 2027 om te voldoen.

Transparantieregels gelden nu ook voor gebruikers-organisaties. Artikel 50 van de AI Act werd dezelfde dag van toepassing. In de praktijk betekent dat: mensen moeten weten wanneer ze met een AI-systeem praten (chatbot-disclosure), AI-gegenereerde content moet machine-leesbaar gemarkeerd worden, en deepfakes en AI-gegenereerde teksten die het publiek informeren moeten gelabeld zijn. Die plichten liggen bij de organisaties die AI inzetten, niet alleen bij Anthropic en co.

Wat dit betekent als je Claude of Cowork zakelijk gebruikt. De zware verplichtingen, modeldocumentatie, systeemrisico-beoordeling, incidentrapportage, liggen bij Anthropic als modelaanbieder. Anthropic ondertekende de GPAI Code of Practice, het compliance-instrument van de Commissie voor precies deze plichten. De blootstelling van jouw organisatie is smaller maar reëel: klantgerichte chatbots op Claude hebben duidelijke AI-disclosure nodig, misleidbare AI-content moet gelabeld, en verboden praktijken (emotieherkenning op de werkvloer, social scoring, manipulatieve systemen) zijn uit den boze, ongeacht welke tool ze draait.

De onveranderde EU-datavraag. Dat de handhaving nu live is, verandert niets aan het dataresidentie-plaatje van de Opus 5-lancering: claude.ai en de eerste-partij API draaien op Amerikaanse infrastructuur onder Standard Contractual Clauses; échte EU-dataresidentie vereist AWS Bedrock EU-regio's of Google Vertex AI EU, en Claude Cowork heeft geen EU-routeringsoptie. De AI Act en de AVG zijn gescheiden sporen; voldoen aan de één dekt de ander niet.

Een nuchtere kanttekening. Aan het dagelijkse gebruik van Claude of Cowork veranderde er op 2 augustus niets. Er ging geen model uit en er verscheen geen nieuwe cookiebanner. Wat veranderde is dat de regels nu tanden hebben, en dat maakt dit het juiste moment om je zaken op orde te brengen, geen reden voor paniek.