AI Act-uitstel geldt niet voor artikel 50: transparantieregels starten op 2 augustus

De Europese Raad gaf op 29 juni definitief groen licht voor de aanpassing van de AI Act via de Digital Omnibus. Het Europees Parlement had op 16 juni al ingestemd. Door deze wetswijziging verschuift de toepassing van een belangrijk deel van de regels voor hoogrisicosystemen. Zelfstandige toepassingen uit bijlage III vallen vanaf 2 december 2027 onder de bijbehorende verplichtingen. Voor hoogrisico-AI die is verwerkt in gereguleerde producten geldt 2 augustus 2028 als nieuwe datum.

Onder bijlage III vallen onder meer systemen voor personeelsselectie, beoordeling en monitoring, bepaalde vormen van kredietbeoordeling en AI-toepassingen binnen onderwijs, rechtspraak en essentiële dienstverlening. Bedrijven die zulke systemen ontwikkelen of aanbieden, krijgen daardoor aanzienlijk meer tijd voor onder meer risicobeheer, documentatie, datakwaliteit, menselijke controle en conformiteitsprocedures.

Die verschuiving heeft echter geen betrekking op het grootste deel van artikel 50. De transparantieverplichtingen voor bepaalde AI-systemen en AI-gegenereerde content worden vanaf 2 augustus 2026 van toepassing. Juist deze bepalingen kunnen ondernemingen raken die hun toepassing zelf niet als hoog risico beschouwen.

Chatbots moeten hun AI-identiteit kenbaar maken

Aanbieders van AI-systemen die rechtstreeks met mensen communiceren, moeten ervoor zorgen dat gebruikers weten dat zij met een AI-systeem te maken hebben. Een uitzondering geldt wanneer dit voor een redelijk geïnformeerde en oplettende gebruiker al duidelijk is uit de omstandigheden en de manier waarop het systeem wordt gebruikt.

Voor een supportchatbot op een bedrijfswebsite betekent dit doorgaans dat de AI-identiteit direct bij het begin van het gesprek herkenbaar moet zijn. Een onderneming kan bijvoorbeeld vermelden dat antwoorden door een digitale AI-assistent worden opgesteld. Een verborgen mededeling in algemene voorwaarden ligt minder voor de hand, omdat de informatie tijdig, duidelijk en begrijpelijk moet worden verstrekt.

De verplichting rust formeel op de aanbieder van het AI-systeem. Dat is niet automatisch alleen de ontwikkelaar van het onderliggende taalmodel. Een SaaS-bedrijf dat een extern model in een eigen product integreert en dat systeem onder de eigen naam op de markt brengt, kan zelf als aanbieder of downstreamaanbieder worden aangemerkt. Alleen verwijzen naar OpenAI, Google, Anthropic of een leverancier van een open model is daardoor niet zonder meer voldoende.

Artikel 50 omvat daarnaast transparantieverplichtingen voor organisaties die systemen voor emotieherkenning of biometrische categorisering inzetten. Personen die aan zulke toepassingen worden blootgesteld, moeten daarover worden geïnformeerd.

Generatieve systemen moeten content technisch herkenbaar maken

Aanbieders van systemen die synthetische tekst, audio, afbeeldingen of video kunnen genereren, moeten ervoor zorgen dat de uitvoer machineleesbaar als kunstmatig gegenereerd of gemanipuleerd herkenbaar is. De gebruikte techniek moet, voor zover technisch haalbaar, effectief, interoperabel, robuust en betrouwbaar zijn. De Europese regels schrijven niet één specifieke technologie voor. Metadata, herkomstinformatie en watermerktechnieken kunnen afhankelijk van het product een rol spelen.

Deze technische markering is iets anders dan een zichtbaar label voor de eindgebruiker. Een machineleesbare markering is bedoeld om platforms, detectiesystemen en andere partijen in de keten te helpen de herkomst van content vast te stellen.

De verplichting geldt niet wanneer een AI-systeem alleen een ondersteunende functie bij normale bewerking vervult of de ingevoerde gegevens en hun betekenis niet wezenlijk verandert. Een eenvoudige spellingcorrectie valt daardoor niet automatisch in dezelfde categorie als het volledig genereren van een artikel, afbeelding of video.

Voor SaaS-bedrijven ontstaat hier een concreet technisch aandachtspunt. Zij moeten niet alleen controleren welke markering hun modelleverancier toevoegt, maar ook wat er daarna met die informatie gebeurt. Metadata kan verloren gaan tijdens het verkleinen, converteren, comprimeren, opnieuw opslaan of exporteren van bestanden. Wanneer een SaaS-product zelf het eindresultaat samenstelt, kan de onderneming niet zonder controle aannemen dat de markering van de oorspronkelijke modelleverancier intact blijft.

Overgangsregeling geldt slechts voor één onderdeel

Voor generatieve AI-systemen die al vóór 2 augustus 2026 in de Europese Unie op de markt zijn gebracht of in gebruik zijn genomen, geldt een beperkte overgangsperiode. De aanbieders van die bestaande systemen krijgen tot 2 december 2026 om aan de machineleesbare markering uit artikel 50, tweede lid, te voldoen.

Deze uitzondering moet nauwkeurig worden gelezen. Het is geen algemeen uitstel van artikel 50. De overgangsregeling betreft specifiek de technische markering van generatieve uitvoer door aanbieders van reeds bestaande systemen. De verplichting om gebruikers over een chatbot te informeren en de regels voor het zichtbaar bekendmaken van deepfakes en bepaalde publieke teksten blijven vanaf 2 augustus gelden. De Europese Commissie benadrukt bovendien dat content die al vóór die datum is gegenereerd en gepubliceerd, niet met terugwerkende kracht hoeft te worden gelabeld.

Nieuwe generatieve systemen die vanaf 2 augustus op de markt worden gebracht, kunnen niet op deze overgangsregeling terugvallen.

Deepfakes en teksten over publieke onderwerpen vragen een zichtbaar label

Organisaties die AI gebruiken om beeld, geluid of video te genereren of te manipuleren en daarmee een deepfake creëren, moeten duidelijk bekendmaken dat het materiaal kunstmatig is gemaakt of aangepast. Voor creatieve, satirische, artistieke en fictieve werken geldt een aangepaste benadering. De bekendmaking mag het normale gebruik of de beleving van het werk niet onnodig hinderen.

Ook AI-gegenereerde of gemanipuleerde teksten die worden gepubliceerd om het publiek te informeren over aangelegenheden van openbaar belang vallen onder een openbaarmakingsplicht. Daarop bestaat een belangrijke uitzondering wanneer de tekst een proces van menselijke beoordeling of redactionele controle heeft doorlopen en een natuurlijke persoon of organisatie redactionele verantwoordelijkheid voor de publicatie draagt.

Niet ieder commercieel blogbericht of iedere productomschrijving is automatisch een publicatie over een aangelegenheid van openbaar belang. Artikelen over politiek, maatschappelijke ontwikkelingen, gezondheid, regelgeving of andere publieke kwesties kunnen daar eerder onder vallen. Bedrijven die op de redactionele uitzondering willen vertrouwen, doen er verstandig aan vast te leggen wie de inhoud heeft gecontroleerd, welke wijzigingen zijn aangebracht en wie uiteindelijk verantwoordelijk is voor publicatie.

Wat Nederlandse en Belgische ondernemers nu moeten regelen

Voor bedrijven met een chatbot begint compliance bij de gebruikersinterface. Controleer of bij het eerste betekenisvolle contact duidelijk is dat de gebruiker met AI communiceert. Kijk daarbij niet alleen naar de website, maar ook naar WhatsApp, klantportalen, spraakassistenten en ingebouwde supportfuncties.

Aanbieders van generatieve producten moeten hun volledige technische keten onderzoeken. Daarbij gaat het om het gebruikte model, de eigen applicatielaag, opslag, bestandsexport, API-koppelingen en eventuele bewerkingen door derden. Leg vast welke machineleesbare informatie wordt toegevoegd, waar deze behouden blijft en op welk moment zij mogelijk verdwijnt.

Marketingteams en uitgevers moeten onderscheid maken tussen normale commerciële content, deepfakes en teksten over publieke onderwerpen. Menselijke eindcontrole is niet alleen een kwaliteitsmaatregel, maar kan bij bepaalde teksten juridisch relevant zijn. Een snelle klik op publiceren zonder aantoonbare redactionele verantwoordelijkheid is iets anders dan een vastgelegd redactieproces.

De Europese Code of Practice voor transparantie rond AI-content biedt een vrijwillig raamwerk voor aanbieders en professionele gebruikers. Niet ondertekenen is op zichzelf geen overtreding. Organisaties die een andere aanpak kiezen, moeten echter zelf kunnen aantonen dat hun maatregelen aan artikel 50 voldoen.

Duiding: het uitstel verandert de prioriteiten, niet de noodzaak tot handelen

Voor founders van HR-technologie, kredietsoftware en andere toekomstige hoogrisicosystemen biedt de nieuwe planning waardevolle extra tijd. Die tijd kan worden gebruikt voor een goede inventarisatie van systemen, leveranciers, databronnen, verantwoordelijkheden en besluitvormingsprocessen. Het uitstel maakt voorbereiding goedkoper en beter planbaar, maar neemt de toekomstige verplichtingen niet weg.

Voor veel reguliere SaaS-bedrijven ligt de eerste deadline juist veel dichterbij. De kans is dat transparantie een productkenmerk wordt waarmee betrouwbare aanbieders zich kunnen onderscheiden. Het risico is dat ondernemingen de verantwoordelijkheid volledig bij hun modelleverancier leggen en pas na 2 augustus ontdekken dat hun eigen interface, exportfunctie of publicatieproces niet voldoet. Artikel 50 maakt AI-compliance daarmee niet alleen een juridisch dossier, maar ook een verantwoordelijkheid voor productontwikkeling, content, marketing en techniek.

Meer informatie

Bron en meer informatie: Raad van de Europese Unie over de definitieve Digital Omnibus
Aanvullende bron: Europese Commissie over de transparantieregels en Code of Practice
Aanvullende bron: Officiële tekst van de Europese AI Act
Aanvullende bron: Gibson Dunn over het akkoord rond de AI Omnibus