Het kabinet steunt de aanpassingen in de Omnibus Digitaal en de Omnibus AI die de Europese Commissie wil doorvoeren, zolang de doelen van deze digitale wetgeving overeind blijven. Een deel van de voorstellen gaat echter verder dan versimpeling, verduidelijking en stroomlijning. Hier is het kabinet kritisch op, zeker als een voorstel niet effectief de regeldruk verlaagt.
Dit bleek donderdag tijdens een technische briefing die de Tweede Kamer kreeg van ambtenaren van Economische Zaken en Klimaat (EZK) en Justitie en Veiligheid (JenV). Medio november 2025 presenteerde de Europese Commissie herzieningen van de digitale wetgeving en de AI Act. Over de Omnibus AI bereikte de Europese Raad half maart een compromis.
Uitkleed-apps
Het kabinet is blij dat de registratieplicht behouden blijft voor ai-systemen die in een hoog-risico context worden gebruikt, maar zelf geen hoog-risico ai-systeem zijn. Gebruik van bijzondere persoonsgegevens voor bias-detectie moet beperkt blijven tot strikt noodzakelijke verwerkingen. Toegevoegd aan de lijst met verboden ai zijn de zogenoemde uitkleed-apps, software die seksuele of naaktbeelden kan genereren dan wel kinderpornografisch materiaal.
Verder zijn de uiterste data verschoven wanneer systemen aan de AI Act moeten voldoen. Voor hoog-risico ai-systemen is de deadline bepaald op 2 december 2027. Ai in gereguleerde producten moet vanaf 2 augustus 2028 voldoen aan de eisen.
De Omnibus Digitaal bevat voor Nederland een aantal hete hangijzers. Het kabinet heeft moeite met de aanpassing van de definitie van het begrip persoonsgegevens. De voorgestelde wijziging beperkt de reikwijdte van de AVG (algemene verordening gegevensbescherming) aanzienlijk. Bovendien wordt de rechtsonzekerheid erdoor vergroot.
Het kabinet is ook weinig enthousiast over de verruiming van de grondslag ‘gerechtvaardigd belang’ bij het verwerken van persoonsgegevens voor het trainen en exploiteren van ai. Deze verruiming zou afbreuk doen aan de rechtsbescherming die de AVG biedt. Voorgesteld wordt dat gerechtvaardigd belang grondslag is, tenzij wetgeving uitdrukkelijk toestemming vereist of de belangen (of fundamentele rechten en vrijheden van de betrokkene) zwaarder wegen.
Administratieve last
Met name voor het midden- en kleinbedrijf betekent de DPIA (Data Protection Impact Assessment) een zware administratieve last. De Europese Commissie stelt een lijst op van gegevensverwerkingen waarvoor zo’n DPIA verplicht is. Het kabinet vindt dat de EDBP (European Data Protection Board) dat moet doen in plaats van de Commissie zelf. Als de Commissie dat doet, kan dat leiden tot meer politieke besluitvorming.
Tenslotte is Nederland ook tegen een uitzondering die de Commissie wil maken op het verbod op het verwerken van bijzondere persoonsgegevens voor zogenoemde residuele (bijzondere) persoonsgegevens (bijvoorbeeld ras, seksuele oriëntatie en religie) bij ontwikkeling en exploitatie van ai-systemen en -modellen. Het gaat om gegevens die eigenlijk niet mogen worden verwerkt maar waarvan het verwijderen onevenredig veel moeite kost. Het kabinet vreest dat zeker bij grootschalige verwerkingen te gemakkelijk een beroep op deze uitzonderingsbepaling wordt gedaan. Juist omdat het om gevoelige gegevens kan gaan, wil Nederland deze uitzonderingsbepaling schrappen.
