Digitale vereenvoudiging EU: “Stappen in de goede richting, maar we hadden meer verwacht”
Wat is de Digital Omnibus?
Als reactie op de verschillende rapporten die vaststellen dat de competitiviteit van de Europese industrie kreunt onder enorme hoeveelheid regelgeving, onderneemt de Europese Commissie actie om regels te vereenvoudigen. Agoria vroeg om voldoende ambitie om een écht verschil te kunnen maken. Concreet is er deze week een heel pakket aan voorstellen gepubliceerd rond de simplificatie van de AI Act, Data Act, GDPR en Cybersecurity.
De volledige teksten kan u hier raadplegen.
Hieronder de belangrijkste beslissingen en wat Agoria ervan vindt.
1. Artificiële Intelligentie: uitstel geeft bedrijven broodnodige tijd om zich voor te bereiden
- Belangrijkste beslissing: Uitstel van verplichtingen voor hoogrisicosystemen van 15 maanden (met ingang op 2/12/2027) en uitbreiding van bepaalde vereenvoudigingen voor kmo’s.
Het oordeel van Agoria:
We zijn zeer tevreden met het voorgestelde uitstel van 15 maanden voor hoog-risico AI toepassingen om te voldoen aan de AI Act. Het is duidelijk dat de Europese Commissie erkent dat de implementatie van de AI Act voor kmo’s bijzonder complex is. Voor kleinere bedrijven zien we ook een versoepeling van de vereisten rond technische documentatie, evenals een lichtere verplichting voor het opzetten van een kwaliteitsmanagementsysteem. Over het algemeen is er goed gehoor gegeven aan de opmerkingen vanuit de industrie, zodat de AI Act geen barrière vormt voor AI-innovatie.
2. Data: 4 wetgevingen samengooien in 1 wetgeving is geen simplificatie
- Belangrijkste beslissing: Invoeging van de bepalingen van de Data Governance Act, de Open Data Directive en de Free Flow of Non-Personal Data Directive in de Data Act
Het oordeel van Agoria:
Het huidige voorstel rond data vormt in essentie een samenvoeging van drie bestaande regelgevingen: de Data Governance Act, de Free Flow of Non-Personal Data Directive en de Open Data Directive, die worden geïntegreerd in de Data Act. Hoewel deze drie wetgevingen formeel worden ‘geschrapt’, rijst de vraag of we werkelijk kunnen spreken van een vereenvoudiging wanneer ze simpelweg worden opgenomen in een andere wetgeving. Daarnaast bevat het voorstel enkele kleinere, wél positieve elementen. Zo wordt er meer bescherming geboden aan bedrijven die verplicht zijn data te delen onder de Data Act, en worden situaties en procedures waarin bedrijven bij uitzonderlijke nood data aan de overheid moeten overdragen, duidelijker afgebakend. Ondanks deze verbeteringen blijft het gevoel voor Agoria dat er meer ambitie mogelijk was. Het voorstel had op bepaalde vlakken zeker verder kunnen gaan om meer vrijwillige data-uitwisseling te stimuleren in plaats van deze te verplichten.
3. Cybersecurity: “Amper simplificatie voor maakbedrijven”
- Belangrijkste beslissing: één enkel meldpunt voor alle cyberbeveiligingsincidenten en datalekken
Het oordeel van Agoria:
Het pakket richt zich uitsluitend op het vereenvoudigen van cyberbeveiligingsincidenten met het introduceren van een single-entry point waar bedrijven aan alle rapportageverplichtingen (NIS2, CRA, AVG, DORA) kunnen voldoen. Significante (NIS2) en ernstige (CRA) incidenten komen in de meeste bedrijven maar heel zelden voor, dus als het iets is dat de administratie eens in de vijf à tien jaar wat verlicht, helpt dat niet veel. Er zijn dus nog veel vereenvoudigingen nodig voor CRA en NIS2. Vanuit Agoria vroegen we om een uitstel van de CRA tot de geharmoniseerde normen er zijn (zoals bij de AI Act), maar hier is de Commissie niet op ingegaan. Ook de uitsluiting van producten met een laag risico is een vereenvoudiging die niet is overgenomen. En ook rond de harmonisatie van de verschillende nationale NIS2-wetgevingen, of een systeem van wederzijdse erkenning is niets gedaan. We blijven hier dus grotendeels op onze honger zitten.
4. GDPR: “Mogelijks positief, maar ook risico op rechtsonzekerheid en lange discussies”
- Belangrijkste beslissing: Voorgestelde vereenvoudiging van de GDPR, met focus op het gebruik van persoonsgegevens voor de ontwikkeling van AI
Het oordeel van Agoria:
De Europese Commissie probeert enkele definities te versoepelen en beter af te stemmen op uitspraken van het Hof van Justitie van de EU. Zo wordt bijvoorbeeld verduidelijkt wanneer gegevens als niet-persoonsgegevens kunnen worden beschouwd, zoals bij organisaties die gepseudonimiseerde data ontvangen. Daarnaast wordt de kwalificatie van “bijzondere categorieën van persoonsgegevens”, zoals gezondheidsgegevens, aangepast. Verder introduceert de Commissie nieuwe bepalingen voor het gebruik van persoonsgegevens in AI, wat meer zekerheid biedt voor AI-ontwikkelaars. Opvallend is dat er geen vereenvoudiging van de GDPR voor kmo’s wordt voorzien, wat een gemiste kans is. Hoewel een versoepeling van de GDPR in principe positief is, zien we ook mogelijke rechtsonzekerheid en voer voor complexe juridische discussies. Dit komt door het heropenen van delen van de GDPR die oorspronkelijk niet ter discussie stonden en door het invoeren van nieuwe, soms vage terminologie. We verwachten helaas nog heel wat discussie.
Meer weten? Op 1 december (10-11 uur) organiseren we voor Agoria-leden een webinar waarin we meer in detail gaan over de verschillende voorstellen, alsook een reflectie maken over wat dit concreet betekent voor de technologische industrie. Schrijf u hier in!
