De transparantieregels van de AI-verordening gelden: wat er verandert op je site

Op 2 augustus 2026 werden de transparantieverplichtingen uit artikel 50 van de EU AI-verordening van toepassing. Anders dan de hoogrisicobepalingen, die werden uitgesteld, kwam deze tranche op tijd.

Ze raakt veel meer bedrijven dan de term «AI-regelgeving» suggereert. Je hoeft geen modellen te bouwen. Zet je een chatbot op je supportpagina, genereer je productbeschrijvingen met een taalmodel, of gebruik je een AI-tool om campagnebeelden te maken, dan hoort artikel 50 nu bij je complianceoppervlak.

Dit is wat geldt, wat niet, en hoe het eruitziet als werk.

De herziene tijdlijn, want die is verschoven

In 2026 was er echte verwarring over welke deadlines van de AI-verordening overeind bleven. De Digital Omnibus over AI, voorgesteld op 19 november 2025 en in de loop van 2026 overeengekomen, stelde delen van het regime uit. Het huidige beeld:

• 2 februari 2025: verboden op onaanvaardbare praktijken, waaronder social scoring, subliminale manipulatie en bepaalde biometrische identificatie. Al van kracht, onveranderd.
• 2 augustus 2025: verplichtingen voor aanbieders van AI-modellen voor algemene doeleinden. Van kracht.
• 2 augustus 2026: transparantieverplichtingen uit artikel 50. Nu van kracht.
• 2 december 2026: een verbod op nudify-toepassingen, plus de markerings- en etiketteringseisen voor door AI gegenereerde inhoud, met een overgangsperiode van vier maanden voor generatieve systemen die vóór 2 augustus 2026 al op de markt waren.
• 2 december 2027: nalevingsdeadline voor zelfstandige hoogrisicosystemen uit bijlage III, uitgesteld vanaf 2 augustus 2026.
• 2 augustus 2028: nalevingsdeadline voor hoogrisico-AI ingebed in gereguleerde producten.

Het uitstel geldt voor het hoogrisicoschap. Ging je ervan uit dat de hele verordening opschoof, dan miste je het deel dat gewone productteams het hardst raakt.

Wat artikel 50 vereist

Vier verplichtingen, gericht op verschillende situaties.

1. Vertel mensen dat ze met een machine praten

Is een AI-systeem bedoeld om rechtstreeks met mensen te communiceren, dan moet het zo ontworpen zijn dat die mensen worden geïnformeerd dat ze met AI communiceren, tenzij dat vanzelfsprekend is voor een redelijk geïnformeerde en oplettende persoon.

Dit dekt supportchatbots, spraakassistenten, AI-gedreven telefoonsystemen en conversationele verkoopagenten. De verplichting ligt bij de aanbieder bij het ontwerp, maar zet je er een op je site onder je eigen merk, dan zijn het jouw gebruikers die geïnformeerd moeten worden.

De lat voor «vanzelfsprekend» ligt lager dan mensen aannemen. Een widget met de naam «AI-assistent» en een robotpictogram haalt die waarschijnlijk. Een chatvenster dat opent met «Hoi, ik ben Anna van support, waarmee kan ik helpen?» en verder niets zegt, niet.

2. Markeer synthetische inhoud machineleesbaar

Aanbieders van AI-systemen die synthetische audio, beelden, video of tekst genereren, moeten de uitvoer markeren in een machineleesbaar formaat zodat die detecteerbaar is als kunstmatig gegenereerd of gemanipuleerd. De markering moet doeltreffend, interoperabel, robuust en betrouwbaar zijn voor zover technisch haalbaar.

In de praktijk wijst dit naar content credentials en herkomstmetadata, met C2PA als meest uitgewerkte aanpak, en naar watermerken voor modellen die dat ondersteunen. De gedetailleerde markerings- en etiketteringseisen worden van kracht op 2 december 2026.

Gebruik je een commerciële modelaanbieder, dan ligt het grootste deel van deze verplichting bij hen. Jouw blootstelling zit in wat je pijplijn daarna met de uitvoer doet. Metadata verwijderen tijdens beeldverwerking, hercoderen of een CDN-transformatie kan precies de markering wissen die de wet wil bewaren. Dat is een reëel risico in een gewone assetpijplijn en het controleren waard.

3. Openbaar maken van deepfakes en AI-tekst van algemeen belang

Gebruiksverantwoordelijken van systemen die beeld-, audio- of video-inhoud genereren of manipuleren die een deepfake vormt, moeten bekendmaken dat de inhoud kunstmatig is gegenereerd of gemanipuleerd. Er is een uitzondering voor kennelijk artistiek, creatief, satirisch of fictioneel werk, waar de vermelding lichter mag zijn en het werk niet mag verstoren.

Los daarvan moeten gebruiksverantwoordelijken die door AI gegenereerde of ondersteunde tekst publiceren over aangelegenheden van algemeen belang dat bekendmaken, tenzij de inhoud menselijke toetsing heeft doorlopen en een natuurlijke persoon of organisatie redactionele verantwoordelijkheid draagt.

Die tweede uitzondering is belangrijk voor marketingteams. Door AI ondersteunde tekst die een menselijke redacteur heeft nagekeken en goedgekeurd hoeft doorgaans geen label. Wat je wel nodig hebt is een vastlegging dat de toetsing plaatsvond. Een workflowstatus, een goedkeuringslog, een benoemde eigenaar.

4. Emotieherkenning en biometrische categorisering

Gebruiksverantwoordelijken van systemen voor emotieherkenning of biometrische categorisering moeten de blootgestelde personen informeren en persoonsgegevens behandelen conform de AVG. Dit is smaller, maar doet je product sentimentanalyse op videogesprekken of leidt het kenmerken af uit beelden, kijk er dan goed naar.

Hoe de informatie gepresenteerd moet worden

Artikel 50 zegt dat de informatie duidelijk en onderscheidbaar moet worden verstrekt uiterlijk bij de eerste interactie of blootstelling, en moet voldoen aan de geldende toegankelijkheidseisen.

Die laatste zinsnede sluit rechtstreeks aan op de Europese Toegankelijkheidsakte. Een melding die alleen verschijnt als tooltip bij hover, of als grijze tekst met laag contrast, of als afbeelding zonder alt-tekst, faalt dubbel.

Praktische gevolgen:

• De melding verschijnt vóór of bij de eerste interactie, niet in de gebruiksvoorwaarden.
• Het is leesbare tekst in de toegankelijke DOM, niet ingebakken in een afbeelding.
• Ze overleeft toetsenbordnavigatie en schermlezertoegang.
• Ze is vertaald. Op een meertalige site is een AI-melding alleen in het Engels niet duidelijk voor een Poolse gebruiker.

Hoe dit eruitziet als tickets

Voor de meeste teams is het echte werk klein, wat een goede reden is om het niet uit te stellen.

Chat en conversationele interfaces. Voeg een permanente, zichtbare vermelding toe in de widgetkop en in het openingsbericht. Zorg dat die aanwezig is in elke taal die je bedient. Draag je over aan een mens, zeg dat dan bij de overdracht, want precies dan verandert de aanname van de gebruiker.

Contentpijplijnen. Controleer waar door AI gegenereerde assets je systeem binnenkomen en wat er met hun metadata gebeurt. Verwijdert je beeldverwerking herkomstdata, bewaar die dan of breng ze opnieuw aan. Houd een herkomstveld bij op het assetrecord.

Redactionele workflow. Publiceer je door AI ondersteunde inhoud over onderwerpen die op algemeen belang lijken, voeg dan een toetsingsstap toe met een benoemde goedkeurder en bewaar de goedkeuring. Dat is je uitzondering, en een uitzondering die je niet kunt aantonen is geen uitzondering.

Componentwerk. Bouw een klein meldingcomponent en gebruik dat consistent in plaats van het label ad hoc op vijf plekken te schrijven. Het betekent ook één plek om te wijzigen als de richtsnoeren evolueren.

Inventaris. Houd een lijst bij van elk AI-systeem in het product: wat het is, wie het levert, wat het genereert, wie aanbieder en wie gebruiksverantwoordelijke is, en welke verplichtingen uit artikel 50 eraan hangen. Vraagt een toezichthouder of klant ernaar, dan is dat het antwoord.

Wie aanbieder is en wie gebruiksverantwoordelijke

De verordening verdeelt verplichtingen tussen aanbieders, die een systeem ontwikkelen en op de markt brengen, en gebruiksverantwoordelijken, die het onder eigen gezag gebruiken.

De meeste bedrijven zijn gebruiksverantwoordelijke. Dat is de lichtere rol, maar er zit een valkuil in: wijzig je een systeem substantieel, zet je er je eigen naam of merk op, of verander je het beoogde doel, dan kun je aanbieder worden en de zwaardere verplichtingen erven.

Een commercieel model in je eigen product verpakken, het een persoonlijkheid geven en het onder je merk uitleveren is een casus die je juristen zouden moeten bekijken, want het antwoord hangt af van details die alleen je team kent.

Wat niet in scope is

Dit is het waard om helder te zeggen, want scope creep in interne complianceprojecten kost echte tijd.

Artikel 50 vereist niet dat je elk gebruik van machine learning labelt. Een aanbevelingsmotor die producten rangschikt genereert geen synthetische inhoud en handelt niet als conversationele agent. Spamfiltering, fraudescoring, zoekrangschikking en vraagvoorspelling vallen buiten deze specifieke transparantieregels, al kunnen ze AVG-vragen oproepen over geautomatiseerde besluitvorming.

Je wordt ook geen hoogrisicosysteem alleen omdat je AI gebruikt. Hoogrisicoclassificatie komt uit bijlage I en bijlage III, gekoppeld aan specifieke toepassingen zoals werk, krediet, onderwijs, essentiële diensten en veiligheidscomponenten. Val je daaronder, dan is je deadline 2 december 2027 of 2 augustus 2028, en dat is een veel groter programma.

De handhavingsrealiteit

De sancties onder de AI-verordening zijn fors, tot 15 miljoen euro of 3 procent van de wereldwijde jaaromzet voor veel inbreuken. Nationale markttoezichthouders bouwen nog capaciteit op, en het eerste handhavingsjaar zal waarschijnlijk niet agressief zijn tegen kleine, te goeder trouw handelende gebruiksverantwoordelijken.

Toch zijn transparantieverplichtingen het makkelijkst van buitenaf te controleren van de hele verordening. Een toezichthouder, journalist of concurrent kan je site openen en zien of de chatbot het vermeldt. Er is geen onderzoeksprocedure voor nodig.

Goedkoop om na te leven, triviaal zichtbaar als je het niet hebt gedaan. Dat is de verkeerde combinatie om op te gokken.

Waar dit past

De AI-verordening is één draad in een veel bredere opbouw van EU digitale regels. Breng je het hele oppervlak in kaart, dan dekt onze gids EU digitale compliance 2026 wat wanneer geldt, en de technische AVG-gids dekt de gegevensbeschermingslaag waarop AI-systemen rusten.

Wij bouwen AI-functionaliteit in producten voor bedrijven die in Europa opereren, wat betekent dat we vermeldingen, herkomst en audittrail behandelen als onderdeel van normale oplevering in plaats van als aparte complianceoefening. Wil je een overzicht van waar AI in je product opduikt en wat artikel 50 daarvan vraagt, mail dan naar office@c9group.dev.

Wij zijn ingenieurs, geen juristen. Kwalificatievragen, met name de grens tussen aanbieder en gebruiksverantwoordelijke, horen bij je juristen. Wij zorgen dat het systeem bij het antwoord past.