EU AI Act en synthetische media: verplichtingen 2026

Artikel 50 van de EU AI Act (Verordening (EU) 2024/1689) legt aanbieders en gebruikers van AI-systemen concrete transparantieverplichtingen op voor synthetische media — met ingang van 2 augustus 2026. De verordening is van toepassing op elke organisatie die AI-systemen aanbiedt of inzet ten behoeve van gebruikers in de EU, ongeacht of de aanbieder in de EU gevestigd is. Voor bedrijven die deepfakes, AI-chatbots of geautomatiseerde beeldgeneratie inzetten, is 2026 geen verre horizon meer.

Dit artikel is uitsluitend bedoeld ter informatie en vormt geen juridisch of regelgevend advies. Raadpleeg een gekwalificeerde professional voor begeleiding die is afgestemd op uw specifieke situatie.

Wat de EU AI Act vereist voor synthetische media

De EU AI Act definieert synthetische media als AI-gegenereerde of AI-gemanipuleerde afbeeldingen, audio en video die op een bestaande persoon, object, plaats of gebeurtenis lijken. De verordening treft zowel realistische deepfakes als synthetische tekst en audiofragmenten die door een redelijk persoon ten onrechte als authentiek zouden kunnen worden beschouwd.

Artikel 50 bundelt vier afzonderlijke transparantieverplichtingen. Artikel 50(1) verplicht aanbieders van AI-chatbots en virtuele assistenten om eindgebruikers te informeren dat zij met een AI-systeem communiceren, tenzij dit voor de gemiddelde gebruiker reeds duidelijk is uit de context. Artikel 50(2) verplicht aanbieders van emotieherkennings- en biometrische-categoriseringssystemen tot actieve openbaarmaking aan de betroffen personen. Artikel 50(3) legt de zwaarste last bij deepfake-aanbieders: zij zijn verplicht machine-leesbare markeringen — metadata of watermerken — in de gegenereerde content in te bedden. Artikel 50(4) voorziet in een uitzondering voor legitieme doeleinden, waaronder kunst, satire en parodie.

Op basis van gegevens van ons platform detecteert CheckFile dat 12% van de documentfraude-pogingen synthetische, AI-gegenereerde media betreft — een percentage dat het belang van technische detectie en wettelijke openbaarmaking onderstreept. De volledige wettekst is beschikbaar via EUR-Lex.

Wie moet voldoen aan de verplichtingen

De verordening maakt onderscheid tussen twee hoofdcategorieën van verplichte partijen. Aanbieders zijn organisaties die een AI-systeem op de markt brengen of in gebruik stellen — dit omvat technologieleveranciers, SaaS-platforms en API-aanbieders. Gebruikers (in de verordening aangeduid als "deployers") zijn organisaties die een AI-systeem in een professionele context inzetten voor hun eigen doeleinden — denk aan een bank die een KYC-platform met AI-beeldverwerking gebruikt.

Beide categorieën dragen eigen verplichtingen, maar de primaire verantwoordelijkheid voor technische maatregelen zoals watermerking ligt bij de aanbieder. Gebruikers zijn verantwoordelijk voor de naleving van openbaarmakingsverplichtingen richting hun eindklanten.

Importeurs en distributeurs van buiten de EU dragen dezelfde verplichtingen als Europese aanbieders wanneer zij AI-systemen op de EU-markt brengen. De verordening kent geen drempelvrijstelling op basis van bedrijfsomvang, al is de boetestructuur voor kleine en middelgrote ondernemingen gemaximeerd.

Technische vereisten: watermerking en de C2PA-standaard

Artikel 50(3) schrijft voor dat deepfake-content machine-leesbare markeringen moet bevatten. De verordening schrijft geen specifieke technische standaard voor, maar de C2PA-standaard (Coalition for Content Provenance and Authenticity) is de industriebrede referentie die aansluit bij de vereisten van de wet.

C2PA werkt met zogenoemde "content credentials": cryptografisch ondertekende metadata die aan een afbeelding, audiofragment of video worden gehecht. Deze metadata leggen vast wie de content heeft aangemaakt, welk AI-model is ingezet en wanneer de content is gegenereerd. De credentials blijven aantoonbaar gekoppeld aan het bestand, ook na doorsturen of opslaan in een andere context.

Voor aanbieders van synthetische mediageneratoren betekent dit concreet dat zij hun systemen moeten uitrusten met automatische C2PA-markering bij elke uitvoer. Voor gebruikers (deployers) die AI-gegenereerde content in klantenprocessen integreren — zoals geautomatiseerde identiteitsdocumentverificatie — is het cruciaal te controleren of de door hen gebruikte AI-leverancier aantoonbaar compliant is met artikel 50(3). Zie ook ons artikel over synthetische identiteitsdocumenten voor de fraudecontext.

De Autoriteit Persoonsgegevens heeft aangegeven dat biometrische data in watermerken onder de AVG bijzondere categorieën kunnen vormen, waardoor een dubbele compliance-analyse vereist is. Technische implementatie vraagt om afstemming tussen het AI-ontwikkelteam, de privacyfunctionaris (FG/DPO) en de compliance-afdeling.

Sancties bij niet-naleving

De sanctiestructuur van de EU AI Act (Artikel 99) kent drie niveaus. Schendingen van verboden AI-praktijken (Artikel 5) worden bestraft met maximaal 35 miljoen euro of 7% van de wereldwijde jaaromzet. Schendingen van de transparantieverplichtingen uit Artikel 50 vallen onder het tweede niveau.

In Nederland zijn de handhavingsbevoegdheden verdeeld. De ACM (Autoriteit Consument & Markt) is aangewezen als markttoezichthouder voor AI, met de Autoriteit Persoonsgegevens als toezichthouder voor AI-gerelateerde gegevensbescherming. In de financiële sector spelen ook de DNB en de AFM een toezichthoudende rol bij AI-toepassingen die in scope van hun sectorale bevoegdheden vallen.

Boetes worden opgelegd per overtreding, niet per geïnfecteerd document of per transactie. Een platform dat geen openbaarmakingsmelding geeft bij een AI-chatbot en tegelijkertijd geen watermerken inbedt in deepfake-output, riskeert afzonderlijke boetes voor elk artikel dat wordt overtreden. Zie ook ons artikel over AI-documentfraude-detectie voor aanvullende risicocontext in het verificatiedomein.

Compliance-tijdlijn: kritieke data

De EU AI Act kent een gefaseerde inwerkingtredingsdatum. Niet alle verplichtingen gelden tegelijk, waardoor een gedetailleerde planning noodzakelijk is.

Voor bedrijven die GPAI-modellen (general-purpose AI, zoals grote taalmodellen) inzetten of aanbieden, gold de verplichting om detectietechnische oplossingen in te voeren al per 2 augustus 2025. Aanbieders die onder Hoofdstuk V van de verordening vallen, moeten kunnen aantonen dat zij hun modellen hebben uitgerust met detectie- en markeringsmogelijkheden. Meer over AML-compliance in samenhang met AI-verplichtingen leest u in onze AMLD6 compliancegids.

Praktische checklist voor bedrijven

Naleving van Artikel 50 vergt een combinatie van juridische analyse, technische implementatie en procesaanpassing. Onderstaande stappen bieden een werkbare aanpak voor de meeste organisaties.

Stap 1: Breng uw AI-systeemportfolio in kaart. Identificeer alle AI-systemen die uw organisatie aanbiedt of inzet. Stel vast welke systemen synthetische media genereren of verwerken, en of uw organisatie kwalificeert als aanbieder of gebruiker per systeem.

Stap 2: Bepaal de toepasselijke verplichtingen per systeem. Voor elk AI-systeem: welk subartikel van Artikel 50 is van toepassing? Een chatbot valt onder Art. 50(1), een deepfake-generator onder Art. 50(3). Documenteer deze mapping voor uw compliance-dossier.

Stap 3: Beoordeel uw leveranciersketens. Wanneer u als deployer gebruikmaakt van een externe AI-aanbieder, controleer dan contractueel of de aanbieder aan zijn verplichtingen onder Art. 50(3) en Art. 50(5) voldoet. Vraag aantoonbaar bewijs — geen eigen verklaring, maar technische documentatie van de C2PA-implementatie.

Stap 4: Implementeer openbaarmakingsnotificaties. Voeg voor AI-chatbots en virtuele assistenten zichtbare openbaarmakingen toe in de gebruikersinterface. Zorg dat de melding plaatsvindt vóór de eerste interactie, niet verborgen in de algemene voorwaarden.

Stap 5: Zet C2PA-watermerking in voor gegenereerde content. Als aanbieder van synthetische mediageneratoren: integreer C2PA-markering in de uitvoerpijplijn. Controleer via c2pa.org welke open-source bibliotheken beschikbaar zijn voor uw technische stack.

Stap 6: Actualiseer uw privacydocumentatie. Watermerken kunnen persoonsgegevens bevatten. Stem de implementatie af met uw DPO en actualiseer uw verwerkingsregister en privacyverklaring conform de AVG.

Stap 7: Train betrokken medewerkers. Zorg dat marketingteams, productmanagers en juridische medewerkers begrijpen welke content openbaarmakingsverplichtingen triggert. Interne bewustwording is de zwakste schakel in veel compliance-programma's.

Stap 8: Documenteer en monitor. Leg alle compliance-maatregelen vast in een aantoonbaar dossier. Stel intern een reviewcyclus in voor de periode na 2 augustus 2026, zodat u kunt aantonen dat u niet alleen op de deadline, maar ook daarna compliant bent gebleven.

CheckFile biedt documentverificatie-oplossingen die AI-gegenereerde documenten detecteren en markeren. Onze beveiliging voldoet aan de vereisten voor verwerking van gevoelige identiteitsdata. Bekijk onze tarieven voor een overzicht van beschikbare pakketten. Zie ook onze documentcompliance-gids voor een breder kader.

Veelgestelde vragen

Geldt Artikel 50 ook voor bedrijven buiten de EU?

Ja. De EU AI Act heeft een extraterritoriale werking vergelijkbaar met de AVG. Een aanbieder gevestigd buiten de EU die AI-systemen aanbiedt aan gebruikers in de EU, valt onder de verordening. Het is niet relevant of het bedrijf een vestiging in de EU heeft — bepalend is of de output bestemd is voor personen of organisaties in de EU.

Wanneer is de uitzondering voor satire en parodie van toepassing?

Artikel 50(4) voorziet in een uitzondering voor synthetische media die worden gebruikt voor artistieke doeleinden, satire of parodie, mits de betroffen personen of het grote publiek kunnen herkennen dat de content niet authentiek is. De uitzondering is niet automatisch: de aanbieder moet kunnen aantonen dat het gebruik valt binnen de reikwijdte van de uitzondering en dat er geen misleidend oogmerk bestaat. Bij twijfel geldt de openbaarmakingsverplichting.

Moeten kleine bedrijven ook aan Artikel 50 voldoen?

Ja. De EU AI Act kent geen vrijstelling op basis van bedrijfsomvang voor de transparantieverplichtingen van Artikel 50. Wel zijn de maximale boetes voor kleine en middelgrote ondernemingen gemaximeerd — bij het verstrekken van onjuiste informatie aan toezichthouders geldt een plafond van 7,5 miljoen euro of 1% van de jaaromzet. De inhoudelijke verplichting — openbaarmaking en watermerking — geldt ook voor een eenmanszaak die een deepfake-tool aanbiedt.

Wat is het verschil tussen een aanbieder en een gebruiker (deployer) onder de EU AI Act?

Een aanbieder plaatst een AI-systeem op de markt of stelt het voor gebruik ter beschikking — denk aan een softwarebedrijf dat een AI-beeldgenerator verkoopt of als dienst aanbiedt. Een gebruiker (deployer) zet een bestaand AI-systeem in voor zijn eigen bedrijfsdoeleinden, zoals een bank die een extern AI-platform voor identiteitsverificatie gebruikt. De technische verplichtingen (watermerking) rusten primair op de aanbieder; de openbaarmakingsverplichtingen richting eindklanten rusten op de deployer.

Hoe verhoudt de EU AI Act zich tot de AVG bij synthetische media van personen?

De twee regelgevingskaders overlappen bij synthetische media van herkenbare personen. De AVG is van toepassing wanneer de synthetische media persoonsgegevens bevatten of verwerken — wat bij deepfakes van echte personen vrijwel altijd het geval is. De EU AI Act voegt daar specifieke openbaarmakings- en markeringsverplichtingen aan toe. Een deepfake-toepassing moet dus aan beide kaders voldoen: AVG-rechtmatigheid voor de verwerking van persoonsgegevens en Art. 50(3) voor de technische markering van de output. De Autoriteit Persoonsgegevens houdt toezicht op beide aspecten in Nederland.