Let op! AI Act transparantieverplichtingen zijn nu écht in werking

In mijn vorige blog stipte ik het al aan: de Digitale Omnibus voor AI heeft een hoop verschoven, maar de transparantieverplichtingen van artikel 50 AI Act zijn gewoon per 2 augustus in werking getreden. Sinds afgelopen zondag is dat dus realiteit. Ter voorbereiding daarvan heeft de Europese Commissie op 20 juli ook de definitieve guidelines bij dit artikel gepubliceerd; zeker ruim 50 pagina's aan interpretatie waar we het even mee moeten doen.

Tijd om kort de vier transparantieverplichtingen langs te lopen, met bijzondere aandacht voor de deepfake-verplichting. Want die is breder dan je op het eerste gezicht misschien zou denken.

Vier verschillende ‘verwarringsvoorkomingen’

Artikel 50 bevat vier afzonderlijke transparantieverplichtingen, die er met name voor moeten zorgen dat mensen zich niet meer afvragen of iets van een mens of AI afkomstig is. Ik noem ze zelf dan ook graag liever de ‘verwarringsverplichtingen’. De meeste daarvan liggen bij de aanbieders; een enkele bij de gebruiksverantwoordelijken.

Lid 1: Directe interactie met natuurlijke personen

Aanbieders van AI-systemen die bedoeld zijn om direct met mensen te interageren (denk aan chatbots, voice assistants, AI-agents, maar ook scanpoortjes) moeten die systemen zo ontwerpen dat de gebruiker direct weet dat hij met een AI praat. Deze verplichting vervalt alleen als het écht overduidelijk is, en die uitzondering moet volgens de guidelines strikt worden geïnterpreteerd. Een generiek disclaimertje in de terms of service voldoet niet; de melding moet contextueel en op het moment van eerste interactie plaatsvinden, bijvoorbeeld via een disclaimer of een eerste helder bericht met: “Hallo, ik ben ICTRechtBot; ik ben geen mens!”.

Lid 2: Machineleesbare markering van synthetische content

Aanbieders van generatieve AI-systemen (inclusief GPAI) moeten hun output markeren in een machineleesbaar formaat, en die markering moet ook detecteerbaar zijn. Denk aan watermerken, metadata of cryptografische provenance-methoden. De guidelines maken duidelijk dat beide elementen, markeren én detecteerbaarheid, cumulatief moeten worden geregeld. Alleen een watermerk aanbrengen is niet genoeg als er geen detectietool bij zit.

Lid 3: Emotieherkenning en biometrische categorisering

Gebruiksverantwoordelijken van deze systemen moeten de betrokkenen informeren dát ze aan zo'n systeem worden blootgesteld. Vergeet daarbij overigens niet dat het gebruik van emotieherkenning op de werkvloer of in het onderwijs sowieso verboden is onder artikel 5. Dus de transparantieplicht maakt gebruik niet automatisch rechtmatig.

Lid 4: Deepfakes en tekst over aangelegenheden van algemeen belang

Gebruiksverantwoordelijken moeten bekendmaken wanneer beeld-, audio- of videocontent een deepfake is, én wanneer gepubliceerde tekst over aangelegenheden van algemeen belang door AI is gegenereerd of gemanipuleerd. Voor tekst geldt een belangrijke uitzondering: als de content menselijke redactionele controle heeft ondergaan en er iemand redactionele verantwoordelijkheid draagt, hoeft de disclosure niet plaats te vinden.

Het is verleidelijk om bij "deepfake" te denken aan de klassieke voorbeelden: een politicus die iets zegt wat hij nooit heeft gezegd, of een BN'er die in een compromitterende situatie wordt geplaatst. Maar de definitie in de AI Act is aanzienlijk breder dan dat: het gaat om AI-gegenereerd of -gemanipuleerd beeld-, audio- of videomateriaal dat een gelijkenis vertoont met bestaande personen, voorwerpen, plaatsen, entiteiten of gebeurtenissen en dat ten onrechte voor authentiek of waarheidsgetrouw zou kunnen worden aangezien.

De genoemde guidelines werken die definitie fors uit. Een paar punten die eruit springen:

• Het hoeft niet om personen te gaan: ook AI-gegenereerde afbeeldingen van bestaande gebouwen, producten, plaatsen of gebeurtenissen kunnen deepfakes zijn. Een productfoto in een advertentie die het product niet accuraat weergeeft, valt er dus in principe ook onder.

• Fictieve, maar realistische scènes tellen ook mee: het onderwerp hoeft niet écht te bestaan; het is voldoende dat het plausibel bestaand zou kunnen zijn. Een AI-gegenereerde afbeelding van een niet-bestaand persoon die er wel realistisch uitziet, kan een deepfake zijn. Alleen duidelijk fantastische content (draken, olifanten die auto's besturen) valt buiten scope.

• De intentie om te misleiden is niet vereist. Het gaat om een objectieve beoordeling of de content authentiek of waarheidsgetrouw zou kunnen overkomen op het te verwachten publiek. Wie zijn publiek onderschat, is dus alsnog verplicht om te labelen. Ga daarbij ook zeker niet je publiek overschatten.

• Reclame en corporate content vallen er ook onder. De guidelines noemen expliciet AI-gegenereerde advertenties met synthetische influencers, CEO-videoboodschappen met AI-avatars en AI-gemanipuleerde productbeelden als voorbeelden van deepfakes. Dat is voor veel marketingafdelingen relevanter dan zij zich waarschijnlijk realiseren.

Voor kennelijk artistieke, creatieve, satirische of fictieve werken geldt een verlicht regime: de disclosure moet er wel zijn, maar mag het genot van het werk niet in de weg zitten. Een subtiele vermelding in de aftiteling kan dan volstaan. Maar let op: de guidelines interpreteren "kennelijk" strikt. Een reclamespot met een fictieve setting valt bijvoorbeeld niet zomaar onder deze uitzondering als het commerciële karakter overheerst.

Praktische aandachtspunten

Er zijn twee dingen die ik nog kort wil meegeven.

Ten eerste: de informatie moet duidelijk en onderscheidend worden verstrekt, uiterlijk bij de eerste interactie of blootstelling. Verstoppen in de algemene voorwaarden of onder een reeks menu-opties is uitdrukkelijk onvoldoende. En bij kwetsbare doelgroepen zoals kinderen, ouderen, mensen met een beperking moet de communicatie daarop worden aangepast.

Ten tweede: voor aanbieders van generatieve AI-systemen die vóór 2 augustus 2026 al op de markt waren, geldt dankzij de Omnibus nog een transitieperiode tot 2 december 2026 voor de markerings- en detectieverplichting van lid 2. De andere verplichtingen zoals de deepfake-labelling en de disclosure bij directe interactie gelden echter wel per direct.

Tot slot

Waar de hoogrisico-verplichtingen nog een paar jaar uitstel hebben gekregen, is artikel 50 nu dus daadwerkelijk van kracht. Voor veel organisaties betekent dat concreet: chatbots voorzien van een disclaimer, generatieve output machineleesbaar markeren, en (vaak onderschat) marketing- en communicatie-uitingen die AI-gegenereerd beeld bevatten, voorzien van een deepfake-label. Wie de definitie strikt leest en de guidelines erbij pakt, komt er al snel achter dat de reikwijdte breder is dan het intuïtief aanvoelt.

Reden genoeg om even een rondje langs de eigen organisatie te lopen en te inventariseren waar AI-content wordt gegenereerd, gedeeld of gepubliceerd. Want de verplichtingen zijn er, en de boetes, tot 15 miljoen euro of 3% van de wereldwijde jaaromzet, zijn dat ook.

Wil je op de hoogte blijven van de laatste AI-ontwikkelingen? Schrijf je dan in voor onze AI-nieuwsbrief.