Chatbots en deepfakes moeten zich sinds deze week bekendmaken: Europese transparantieplicht voor AI is ingegaan

Sinds zondag moet software zeggen dat het software is

Sinds 2 augustus 2026 gelden in de hele Europese Unie nieuwe transparantieregels voor kunstmatige intelligentie. Ze staan in artikel 50 van de AI-verordening en draaien om een eenvoudig uitgangspunt: wie met een machine praat, of naar materiaal kijkt dat een machine heeft gemaakt, hoort dat te weten.

De verordening zelf geldt al langer, maar de verplichtingen treden in fasen in werking. De transparantieplicht staat het dichtst bij het dagelijks gebruik, want die raakt chatbots, klantenservicesystemen, stemassistenten en vrijwel alles wat tekst, beeld, geluid of video genereert.

De aanbieder moet het gesprek eerlijk openen

Voor aanbieders geldt dat systemen die rechtstreeks met mensen communiceren zo ontworpen moeten zijn dat de gebruiker doorheeft dat er een AI-systeem aan de andere kant zit. De uitzondering is smal: het hoeft alleen niet als dat voor een redelijk oplettende gebruiker sowieso overduidelijk is.

De Europese Commissie rekent daar chatbots, avatars en zogeheten agenten toe, dus systemen die een echte tweerichtingsuitwisseling voeren. Bij agenten gaat de eis verder dan bij een gewone chatbot. Die moeten niet alleen hun kunstmatige aard melden, maar ook namens wie zij handelen, en dat opnieuw doen bij een volgende interactie.

Een merkteken in het bestand, niet alleen op het scherm

De tweede verplichting gaat over generatieve systemen. Kunstmatig gegenereerde of gemanipuleerde audio, beelden, video en tekst moeten machineleesbaar worden gemarkeerd en als kunstmatig te detecteren zijn. Het gaat dan om watermerken en metadata die een controlerende partij later kan uitlezen.

Die eis kent uitzonderingen. Korte reeksen cijfers, symbolen of letters vallen erbuiten, net als broncode, uitvoer die alleen van machine naar machine gaat, gesloten industriele omgevingen en standaard bewerkingsfuncties die de inhoud niet wezenlijk veranderen. Voor bepaalde toepassingen tussen bedrijven onderling geldt een nauw omschreven uitzondering.

Deepfakes en teksten over zaken van algemeen belang

Voor gebruiksverantwoordelijken, de organisaties die zo een systeem inzetten, ligt het accent elders. Wie een deepfake publiceert, dus materiaal dat echt lijkt maar het niet is, moet dat duidelijk en onderscheidbaar melden bij de eerste blootstelling. Voor artistiek, creatief, satirisch of fictioneel werk volstaat een lichtere vermelding.

Daarnaast moet AI-gegenereerde tekst die het publiek informeert over zaken van algemeen belang een label krijgen. Genoemd worden onderwerpen als politiek, rechtspraak, grondrechten, gezondheid en milieu. Dat label vervalt alleen als een mens de tekst inhoudelijk heeft beoordeeld en iemand er redactionele verantwoordelijkheid voor draagt. Een spellingcontrole telt daarbij nadrukkelijk niet mee.

Richtsnoeren die dertien dagen voor de deadline kwamen

Hoe die regels in de praktijk moeten uitpakken, legde de Europese Commissie pas op 20 juli vast in definitieve richtsnoeren. Organisaties hadden dus minder dan twee weken tussen het eindoordeel en de datum waarop de verplichtingen ingingen.

Dat korte venster is een van de gevoelige punten. Wie een markeringstechniek moet inbouwen in een bestaand product, krijgt dat niet in dertien dagen door de ontwikkelketen geduwd. Voor generatieve systemen die al voor 2 augustus op de markt waren geldt daarom een overgangsregeling: voor hen gaat de markeringsplicht pas op 2 december 2026 in.

Wat er in de laatste ronde nog veranderde

De definitieve richtsnoeren wijken op meerdere punten af van het concept. De eis dat aanbieders minstens twee markeringstechnieken zouden combineren is geschrapt. Een techniek volstaat, zolang die effectief en robuust is.

Verder werd verduidelijkt dat machineleesbaar markeren iets anders is dan een zichtbaar label, want een label moet waarneembaar zijn zonder technische hulpmiddelen. De uitzondering voor particulier gebruik werd juist verruimd: een particulier die een deepfake op sociale media zet valt daaronder, zolang er geen economisch voordeel mee wordt behaald. Tegelijk kwam de lat voor menselijke beoordeling hoger te liggen, want die moet de feitelijke juistheid controleren.

Toezicht, boetes en een praktijkcode

Het toezicht ligt in de eerste plaats bij de nationale markttoezichthouders. Voor AI-systemen voor algemene doeleinden en voor systemen die in zoekmachines en grote platforms zijn ingebouwd speelt het Europese AI-bureau een rol, en voor de Europese instellingen zelf de Europese Toezichthouder voor gegevensbescherming.

Een overtreding kan oplopen tot vijftien miljoen euro of drie procent van de wereldwijde jaaromzet, waarbij voor kleinere bedrijven een proportionaliteitstoets geldt. Wie zekerheid zoekt kan zich aansluiten bij de praktijkcode over transparantie van AI-gegenereerde inhoud, maar naleving langs een eigen route aantonen mag ook.

Wat dit voor Nederland betekent

De Autoriteit Persoonsgegevens adviseert Nederlandse organisaties om die praktijkcode te ondertekenen. Voor een bedrijf met een chatbot, een marketingafdeling die beeld genereert of een klantenservice met een stemassistent is de eerste vraag simpel: valt de organisatie onder de aanbieder of onder de gebruiksverantwoordelijke, en welke plichten horen daarbij.

De grootste onzekerheid zit in de handhaving. Richtsnoeren zijn geen wet, en pas als toezichthouders de eerste zaken behandelen wordt duidelijk hoe streng begrippen als duidelijk en onderscheidbaar worden uitgelegd. Tot die tijd moeten organisaties zelf inschatten hoeveel zichtbaarheid genoeg is.