Artikel 50 van de Europese AI-verordening geldt sinds 2 augustus 2026. Het splitst het werk in tweeën: de aanbieder van het generatieve systeem moet machineleesbaar markeren, en u als gebruiksverantwoordelijke moet een label tonen dat een mens kan zien. De Commissie zegt uitdrukkelijk dat de tweede plicht niet wordt vervuld door de eerste. Die scheiding is het hele technische probleem, want de machineleesbare laag overleeft uw eigen publicatieketen zelden.
Wat eist artikel 50 precies, en van wie?
Lees artikel 50 als twee gestapelde verplichtingen voor twee verschillende partijen. Aanbieders van generatieve systemen moeten ervoor zorgen dat uitvoer machineleesbaar is gemarkeerd en detecteerbaar is als kunstmatig gegenereerd, en moeten mensen laten weten dat zij met een AI-systeem praten. Gebruiksverantwoordelijken moeten deepfakes bekendmaken, mensen informeren die worden blootgesteld aan emotieherkenning of biometrische categorisering, en AI-gegenereerde tekst labelen die wordt gepubliceerd om het publiek te informeren over zaken van algemeen belang.
De data doen er meer toe dan de meeste samenvattingen toegeven. Artikel 50 geldt vanaf 2 augustus 2026. Er is een overgangstermijn, maar die is smal: volgens de eigen FAQ van de Commissie over artikel 50 geldt die alleen voor AI-systemen die vóór 2 augustus 2026 in de handel zijn gebracht, alleen voor de markerings- en detectieplicht in artikel 50(2), en alleen voor aanbieders, die vanaf 2 december 2026 moeten voldoen. Voor gebruiksverantwoordelijken was er geen overgangstermijn. Content die vóór 2 augustus 2026 is gegenereerd hoeft niet met terugwerkende kracht te worden gelabeld, al moedigt de Commissie dat aan waar het kan.
Diezelfde FAQ bevat de zin die uw architectuur zou moeten sturen. Waar de Commissie de bekendmaking van deepfakes bespreekt, stelt zij dat gebruiksverantwoordelijken niet eenvoudigweg mogen vertrouwen op de machineleesbare markering die de aanbieder in de content heeft ingebed om aan hun eigen informatieplicht te voldoen. De bekendmaking moet waarneembaar zijn zonder speciale hulpmiddelen. Een manifest in een JPEG is dat niet.
De handhaving ligt vooral bij nationale markttoezichthouders, en boetes kunnen oplopen tot 15 miljoen euro of 3% van de wereldwijde jaaromzet, waarbij proportionaliteit kan meewegen voor mkb-bedrijven en kleine midcaps. Let op dat bedrag. De categorie van 7,5 miljoen euro en 1% die in sommige artikelen rondgaat is artikel 99(5), de boete voor het verstrekken van onjuiste informatie aan een toezichthouder, niet voor het schenden van artikel 50. Let ook op de andere helft van artikel 99: voor een onderneming geldt het hoogste van de twee bedragen, maar artikel 99(6) maakt het voor een mkb-bedrijf juist het laagste. Voor een bedrijf van dertig mensen is 3% van de omzet dus het getal dat telt, niet 15 miljoen euro.
Waarom overleeft machineleesbare markering uw publicatieketen niet?
De dominante markeringstechniek is C2PA Content Credentials: een ondertekend manifest dat met het bestand meereist en via een cryptografische hash aan de bytes is gebonden. Die harde binding is de kracht en de zwakte. Verander de bytes met een tool die de standaard niet kent en de binding klopt niet meer. Uw CMS dat een hero-afbeelding naar WebP verkleint doet dat. Een pdf-export doet het, een schermafdruk doet het, een afbeelding in een presentatie plakken doet het, en de meeste upload-pipelines van sociale platforms hercoderen het bestand onderweg.
Dit is geen verwijt van een criticus. Het is precies de reden dat het ecosysteem rond de standaard een tweede laag heeft gebouwd. Het Content Authenticity Initiative documenteert Durable Content Credentials juist omdat, in hun eigen woorden, platforms die media hosten C2PA-manifestgegevens kunnen verwijderen. De oplossing zijn zogeheten soft bindings: onzichtbare watermerken die actief in de content worden gezet, en vingerafdrukken die passief uit de content worden berekend. Met beide kunt u een kopie van het manifest terugvinden in een database nadat het bestand zelf het is kwijtgeraakt.
De Gedragscode over transparantie van AI-gegenereerde content komt vanuit de regelgeving tot dezelfde conclusie. De code erkent dat bij de huidige stand van de techniek geen enkele markeringstechniek tegelijk voldoet aan de eisen van doeltreffendheid, interoperabiliteit, robuustheid en betrouwbaarheid, en vraagt ondertekenaars daarom om waar nodig minstens twee lagen machineleesbare markering te gebruiken, met combinaties van metadata, watermerken of andere maatregelen.
Er is ook een vertrouwenslaag die stilletjes is verschoven. Het C2PA Conformance Program en de officiële C2PA Trust List zijn medio 2025 gestart, en de Interim Trust List is op 1 januari 2026 bevroren: geen nieuwe vermeldingen, geen updates. Content die is ondertekend toen een interim-certificaat nog geldig was, blijft geldig binnen het oude vertrouwensmodel, maar er komt niets bij. Ondertekent uw beeld- of generatietooling nog met een interim-certificaat uit de 1.x-specificatiereeks, dan zullen verificatietools dat steeds vaker als verouderd tonen in plaats van als actuele herkomst.
De conclusie voor uw architectuur is weinig spannend en heel stellig. Beschouw het ingebedde manifest als iets dat het onderweg misschien haalt. Behandel het nooit als uw administratie van wat er is gebeurd.
Wat verandert de gedragscode voor een gebruiksverantwoordelijke?
De definitieve code is op 10 juni 2026 gepubliceerd, en de Commissie en de AI-board hebben bevestigd dat het een adequaat vrijwillig instrument is om naleving aan te tonen. Eind juli 2026 hadden ongeveer 190 bedrijven en organisaties ondertekend. De code heeft twee delen: één voor aanbieders over markering en detectie, één voor gebruiksverantwoordelijken over het labelen van deepfakes en teksten van algemeen belang.
Ondertekenen is geen naleving. De verplichting staat sowieso in de verordening. Wat ondertekenen oplevert is bewijskracht die over lidstaten heen meereist, zodat u niet bij elke markttoezichthouder apart hoeft te verdedigen dat uw eigen aanpak adequaat is. Bedrijven die via andere wegen voldoen, kunnen simpelweg meer informatieverzoeken verwachten, omdat minder zichtbaar is hoe zij het doen.
Voor een bedrijf van 20 tot 50 medewerkers met een eigen marketing- of communicatiefunctie is het deel voor gebruiksverantwoordelijken het stuk dat u moet lezen. Het is kort, het is geschreven voor mensen die publiceren in plaats van voor mensen die modellen bouwen, en het wijst naar de gepubliceerde EU-iconen voor het labelen van AI-content, wat u een interne discussie over formuleringen bespaart.
Wanneer wordt een mkb-bedrijf per ongeluk aanbieder?
De meeste Nederlandse mkb-bedrijven zijn gebruiksverantwoordelijke en blijven dat. U komt in het gebied van de aanbieder wanneer u een systeem onder uw eigen naam of merk in de handel brengt of in gebruik neemt, of wanneer u er substantieel iets aan wijzigt. In de praktijk zijn er drie veelvoorkomende routes: een chatbot white-labelen voor uw klanten, een AI-assistent meeleveren in uw eigen product, en een model finetunen en het resultaat onder uw merk als dienst aanbieden.
Steekt u die grens over, dan worden artikel 50(1) en 50(2) van u. Uw chatbot moet zich bij het eerste contact bekendmaken, tenzij dat toch al duidelijk is, en uw gegenereerde uitvoer heeft machineleesbare markering nodig. Dit is ook de enige realistische manier waarop 2 december 2026 een deadline voor uw mkb-bedrijf wordt in plaats van een probleem van uw leverancier: die datum geldt voor aanbieders van systemen die vóór 2 augustus 2026 al in de handel waren.
Het is eerlijk om de afweging hardop te maken. Een AI-assistent onder uw eigen merk doorverkopen lijkt een margebeslissing. Het is ook een juridische, en de markeringsplicht kunt u niet met alleen een contract terugleggen bij de modelleverancier.
Hoe bouwt u labeling in de publicatieketen?
Dit is het patroon dat wij zouden bouwen, in de volgorde waarin wij het zouden bouwen. Het gaat uit van een gewone stack: een generatietool, een CMS en een aantal kanalen.
1. Leg herkomst vast in uw systeem, niet in het bestand
Schrijf op het moment van genereren de feiten weg bij het contentrecord: welk model en welke versie het maakte, of een mens de inhoud heeft beoordeeld, wie dat was en wanneer. Vier feiten, drie velden bij een CMS-item zodra de beoordelaar en de datum er samen in passen. Het bestand raakt zijn manifest ergens tussen uw beeldpipeline en de browser van een lezer kwijt. Uw database niet.
2. Maak het label een beslissing van de template
Staat er in het record gegenereerd en niet beoordeeld, dan rendert de template de bekendmaking. Laat het niet aan een redacteur over om het op vrijdagmiddag te onthouden. Een regel die in een template zit, overleeft personeelsverloop. Een regel die in een gewoonte zit, niet.
3. Bepaal de toets van algemeen belang één keer, op papier
De richtsnoeren van de Commissie noemen de domeinen: politiek en democratische processen, openbaar bestuur en publieke diensten, rechtspraak en rechtshandhaving, grondrechten, openbare veiligheid, volksgezondheid, milieubescherming, consumentenveiligheid, en economische, financiële, politieke, wetenschappelijke of culturele ontwikkelingen die onderwerp van publiek debat kunnen zijn. Uw productpagina valt daar niet onder. Uw uitleg over nieuwe subsidieregels of over een gezondheidsclaim waarschijnlijk wel. Leg de grens één keer vast en pas hem toe, in plaats van hem per artikel opnieuw te bespreken.
4. Schrijf op wat als menselijke beoordeling telt
De uitzondering voor beoordeelde tekst is echt en is voor de meeste gepubliceerde copy de eenvoudigste route. Maar de lat ligt inhoudelijk. Een spellingcontrole is geen beoordeling. De richtsnoeren beschrijven een bewuste inhoudelijke toetsing door iemand met relevante kennis en professioneel oordeelsvermogen, met een aanwijsbaar persoon die redactionele verantwoordelijkheid draagt. Noem die persoon in uw procesbeschrijving.
5. Stop met standaard metadata weggooien
De meeste beeldpipelines gooien metadata weg om bestanden kleiner te maken. Verander die standaard, zodat manifesten meereizen waar de tooling dat aankan, en accepteer het verlies waar dat niet zo is. Controleer het daarna zoals een lezer het zou doen: download uw eigen gepubliceerde afbeelding van de live pagina en kijk of de credential er nog aan hangt. De export controleren die u hebt geüpload bewijst niets.
Wie houdt hier in Nederland toezicht op?
Het nationale toezicht wordt nog ingericht. In het conceptwetsvoorstel worden de Rijksinspectie Digitale Infrastructuur en de Autoriteit Persoonsgegevens aangewezen als coördinerende toezichthouders, naast sectorale toezichthouders zoals de Inspectie Leefomgeving en Transport, de Inspectie Gezondheidszorg en Jeugd, de NVWA en de Nederlandse Arbeidsinspectie. In datzelfde voorstel wordt de RDI het aanspreekpunt voor het bedrijfsleven en faciliteert zij de regulatory sandboxes, die vooral op het mkb zijn gericht.
De Nederlandse uitvoeringswet ging op 20 april 2026 in internetconsultatie. Die timing veroorzaakt vaak verwarring: de AI-verordening is een verordening en werkt dus rechtstreeks, ongeacht wanneer de nationale uitvoeringswet er is. Het ontbreken van een Nederlandse wet is geen wachtkamer.
Een realistische verwachting voor een bedrijf van dertig mensen in de regio Utrecht: niemand controleert dit kwartaal uw LinkedIn-feed. De eerste handhaving landt bij grotere systemen en bij platforms, en die zaken bepalen wat duidelijk en onderscheidbaar in de praktijk betekent. Wat u tegen die tijd wilt hebben is geen perfecte herkomstketen. Het is een verdedigbare administratie van welke content is gegenereerd, wat is beoordeeld en door wie, plus een template die een label toont wanneer het record daarom vraagt.
Wilt u eerst het bredere beeld, dan behandelt onze AI Act-begeleiding voor het mkb de overige verplichtingen, en is de AI Act-checklist een snellere start dan de verordening zelf. Schrijft AI al een serieus deel van uw gepubliceerde copy, dan horen diezelfde drie velden ook thuis in uw AI-marketing-workflow, en de privacyvragen die daar meestal bij komen staan in ons artikel over AI en de AVG. De regels die u hier opschrijft horen in hetzelfde document als uw AI-beleid.
