Op 2 augustus 2026 zou de AI Act voor een groot deel van kracht worden voor MKB’ers die AI gebruiken — van een simpele WhatsApp-bot tot een AI-receptionist. Als je de afgelopen maanden compliance-checklists hebt gelezen, ben je vast de term “audit-trail verplicht per 2 augustus” tegengekomen.
Dat klopt niet meer. In mei 2026 sloot de EU een akkoord (het zogeheten “Digital Omnibus”) dat een flink deel van die verplichtingen heeft uitgesteld. Veel content over dit onderwerp is daardoor inmiddels achterhaald.
Dus: wat moet je als n8n-gebruiker nu écht regelen, en wat kun je rustig aan laten? En waarom bouw ik de audit-trail hieronder toch, ook al is die (nog) niet verplicht?
Wat er is veranderd
Het Europees Parlement en de Raad hebben het Digital Omnibus-pakket geformaliseerd (Parlement 16 juni 2026, Raad 29 juni 2026). De belangrijkste wijziging voor bouwers: de verplichtingen voor hoogrisico AI-systemen (waaronder de logging- en bewaarplicht uit artikel 12 en 19) zijn verschoven:
- Hoogrisico-systemen onder Annex III (denk aan: sollicitatie-/HR-selectie, kredietbeoordeling, biometrische identificatie) — van 2 augustus 2026 naar 2 december 2027.
- Hoogrisico-systemen die onderdeel zijn van gereguleerde producten (medische apparatuur, machines) — naar 2 augustus 2028.
Belangrijke nuance die de meeste checklists er niet bij zetten: de meeste n8n-workflows die MKB’ers en freelancers bouwen — leadopvolging, klantenservice-automatisering, contentgeneratie — vallen sowieso niet onder “hoogrisico”. Die categorie is vrij smal en juridisch specifiek. Dus zelfs zonder het uitstel gold de zware audit-trail-verplichting voor de meeste lezers van dit artikel waarschijnlijk al niet.
Wat wél gewoon nu al geldt
Twee dingen zijn niet uitgesteld en zijn relevant voor zo goed als iedereen die AI inzet richting klanten:
Artikel 50 — transparantie. Dit staat nog steeds op de kalender van 2 augustus 2026 (dus: is nu al van kracht). Kort samengevat: als iemand met een AI-systeem communiceert (chatbot) of AI-gegenereerde content ontvangt die verward zou kunnen worden met een mens, moet je dat duidelijk maken. Voor de meeste n8n-bouwers komt dit neer op één regel: zet een korte, eerlijke disclosure in je AI-gegenereerde e-mails of chatbot-flows. Alleen de technische watermerk-plicht voor content die al vóór 2 augustus 2026 live stond, heeft een overgangsperiode tot 2 december 2026.
Artikel 4 — AI-geletterdheid. Van kracht sinds februari 2025, met het Digital Omnibus iets afgezwakt (van een harde garantie naar “de ontwikkeling van AI-geletterdheid ondersteunen”), maar nog steeds een reële verplichting: jij en je team moeten voldoende begrijpen hoe de AI-tools werken die je inzet, inclusief de risico’s.
Kort gezegd: geen paniek over audit-trails, wel een disclosure-zinnetje toevoegen en zorgen dat je zelf snapt wat je bouwt.
Waarom ik de audit-trail toch laat zien
Ook al is het (nog) niet verplicht voor de meeste n8n-workflows: een audit-trail is gewoon goede bouwpraktijk. Het scheelt je uren debuggen als een workflow misgaat, het is bewijs richting een klant als er ooit een vraag komt over een AI-gegenereerde e-mail, en als je wél ooit richting een hoogrisico-toepassing groeit, sta je er al klaar voor.
n8n genereert automatisch gestructureerde records (workflow-ID, run-ID, node-niveau in-/output, timestamps) — daar hoef je in principe niets extra’s voor te doen. Voor een workflow die je zelf onder controle wilt houden, zijn dit de bouwstenen:
- Execution Data node — legt de zakelijke identifiers van een run vast (wie, wanneer, welke workflow).
- Code node — voor custom logging: wat ging er precies in en uit bij de AI-stap?
- Error Trigger — vangt en logt fouten, zodat je niet blind bent als een run vastloopt.
- Bewaartermijn — een richtlijn van 6 maanden (zoals artikel 19 straks voor hoogrisico-systemen eist) is een prima vuistregel, ook als het voor jou nog niet verplicht is.
- Self-hosted: exporteer logs via OpenTelemetry als je alles binnen je eigen infrastructuur wilt houden.
- n8n Cloud (enterprise): log streaming en execution-data redaction (gevoelige data automatisch maskeren) zijn ingebouwd, geen gedoe met eigen server-beheer.
De transparantie-regel praktisch toepassen
Voor de meeste van jullie is dit de enige actie die nu echt nodig is. Twee voorbeelden:
- AI-gegenereerde e-mail (zoals in de leadopvolging-workflow): voeg een korte, nette zin toe onderaan de e-mail, bijvoorbeeld “Deze e-mail is (mede) opgesteld met AI, op basis van jouw ingevulde formulier.” Dat kost je één extra tekstregel in je AI-prompt of e-mail-template.
- AI-chatbot voor klantenservice: laat de bot bij de start van een gesprek melden dat de bezoeker met een AI-assistent chat, niet met een medewerker.
Self-hosten vs. n8n Cloud
Dezelfde afweging als bij de leadopvolging-workflow: self-hosted n8n houdt je data (en dus ook je logs) volledig binnen je eigen server — fijn als AVG-soevereiniteit voor jou zwaar weegt. Wil je niet zelf een server beheren, dan is n8n Cloud (EU-hosting) de praktische route, met logging en redaction al ingebouwd.
Dit is geen juridisch advies
Dit artikel is bedoeld om je op weg te helpen als bouwer, niet als vervanging van een jurist. De AI Act is complex en verandert nog steeds (dit artikel is geschreven na de Digital Omnibus van mei/juni 2026 — check bij twijfel altijd de laatste stand). Twijfel je of jouw specifieke AI-toepassing onder “hoogrisico” valt, of wil je zeker weten dat je aan artikel 50 voldoet? Raadpleeg een jurist die gespecialiseerd is in AI-regelgeving.
Hulp nodig bij je eigen automatisering?
Wil je een n8n-workflow laten bouwen die vanaf dag één een nette transparantie-melding en een basis-audit-trail heeft? Neem contact op of bekijk eerst de gratis workflow uit het leadopvolging-artikel.
Bronnen: artificialintelligenceact.eu — Artikel 12, Artikel 19, Gibson Dunn — EU AI Act Omnibus Agreement, Freshfields — The final Digital Omnibus on AI
Leave a Reply