Vanaf August 2, 2026 Elke organisatie die generatieve AI-systemen bouwt of inzet die mensen in de EU bereiken, heeft een nieuwe wettelijke verplichting: zij moet openbaar maken dat de inhoud door AI is gegenereerd. Deze verplichting vloeit voort uit artikel 50 van de EU-AI-wet en is een van de meest verreikende bepalingen van de verordening.
In tegenstelling tot de AI-regels voor risicovolle toepassingen in de wet, die alleen gelden voor specifieke gebruikssituaties zoals werving of kredietbeoordeling, is artikel 50 van toepassing op vrijwel elk AI-systeem dat interactie heeft met mensen, namens mensen schrijft of mensen synthetische media presenteert.
Voor wereldwijd opererende organisaties wordt inzicht in de transparantievereisten van de EU AI-wetgeving een essentieel onderdeel van elke AI-governance-strategie. Gelukkig bieden technologieën zoals C2PA-inhoudsreferentiesVertrouwde tijdstempels en CAWG-identiteitsverklaringen bieden een praktisch raamwerk voor het aantonen van authenticatie van AI-content en de herkomst van AI.
Ontdek de C2PA-oplossingen van SSL.Wat is artikel 50 van de EU-wetgeving inzake kunstmatige intelligentie?
Artikel 50 van de EU AI-wet (Verordening (EU) 2024/1689) Deze wet legt transparantieverplichtingen vast voor aanbieders en gebruikers van bepaalde AI-systemen. Simpel gezegd vereist de wet dat mensen worden geïnformeerd wanneer ze met AI in contact komen, en dat door AI gegenereerde of gemanipuleerde content herkenbaar is als kunstmatig. Het doel, zoals de overwegingen van de wet aangeven, is het risico op misleiding, identiteitsfraude en desinformatie te verminderen en het vertrouwen in de informatie die mensen online zien en waarmee ze online interageren te behouden.
Wat artikel 50 onderscheidt van de meeste andere bepalingen van de AI-wet, is de reikwijdte. De belangrijkste regels van de wet, die betrekking hebben op conformiteitsbeoordelingen, technische documentatie en CE-markering, zijn alleen van toepassing op AI-systemen die als "hoog risico" zijn geclassificeerd.
Artikel 50 werkt echter niet zo. Het is van toepassing op elk AI-systeem dat in een van de vier specifieke situaties wordt gebruikt, ongeacht de risicoclassificatie. Een bedrijf zonder AI-systemen met een hoog risico kan nog steeds aanzienlijke verplichtingen onder artikel 50 hebben, simpelweg omdat het een chatbot voor klantenservice gebruikt, door AI opgestelde artikelen publiceert of een tool gebruikt die synthetische afbeeldingen produceert.
Vanaf 2 augustus 2026 moeten alle AI-systemen die onder artikel 50 vallen en die in de EU op de markt worden gebracht of in gebruik worden genomen, aan deze verplichtingen voldoen, ongeacht wanneer het systeem voor het eerst is uitgebracht.
Hoe artikel 50 van de EU-wetgeving inzake kunstmatige intelligentie bedrijven beïnvloedt die AI gebruiken
Veel organisaties gaan ervan uit dat artikel 50 van de EU-AI-wetgeving alleen van invloed is op AI-ontwikkelaars of grote technologiebedrijven. In werkelijkheid reikt de regelgeving veel verder.
Als uw organisatie generatieve AI gebruikt om content te creëren of te wijzigen die wordt bekeken door publiek in de Europese Unie, bent u mogelijk onderworpen aan transparantieverplichtingen met betrekking tot AI.
Voorbeelden hiervan zijn:
- Marketingteams die AI-ondersteunde advertentiecampagnes ontwikkelen
- Bedrijven die door AI gegenereerde blogberichten of productbeschrijvingen publiceren.
- Nieuwsorganisaties gebruiken AI om artikelen samen te vatten.
- Financiële instellingen die klantcommunicatie produceren
- Zorgverleners die educatieve content ontwikkelen
- Advocatenkantoren die met behulp van AI documentatie opstellen
- Winkeliers die synthetische productafbeeldingen produceren
- Mediaorganisaties die door AI gegenereerde audio of video publiceren
De regelgeving maakt onderscheid tussen providers en uitzenders.
Providers Generatieve AI-systemen zijn verantwoordelijk voor het waarborgen dat synthetische outputs machineleesbare AI-contentlabels bevatten.
InzetDit betekent dat organisaties die professioneel gebruikmaken van AI-systemen, verantwoordelijk zijn voor het openbaar maken van door AI gegenereerde of gemanipuleerde content die aan het publiek wordt gepresenteerd. Dit omvat deepfakes en bepaalde door AI gegenereerde content die betrekking heeft op zaken van publiek belang.
Beide systemen brengen verplichtingen met zich mee, maar welke van toepassing zijn, hangt af van het type systeem en hoe het wordt gebruikt. Belangrijk is dat de verplichtingen ook gelden voor open-source AI-systemen. Er is geen algemene vrijstelling voor open modellen.
Zelfs wanneer mensen door AI gegenereerde content beoordelen, moeten organisaties zorgvuldig evalueren of de transparantieverplichtingen nog steeds van toepassing zijn.
De vier verplichtingen onder artikel 50
Artikel 50 behandelt vier verschillende categorieën AI-systemen. Je kunt ze het beste zien als vier afzonderlijke regels die toevallig in hetzelfde artikel staan:
1. Mensen informeren wanneer ze rechtstreeks met een AI-systeem interageren (Artikel 50(1))
Stel dat een AI-systeem is ontworpen om direct met een persoon te communiceren, zoals een chatbot, virtuele assistent, geautomatiseerd telefoonsysteem of AI-agent. De aanbieder moet het systeem zo ontwerpen dat de persoon weet dat hij of zij met een machine praat en niet met een mens. Er is een kleine uitzondering: als het voor een "redelijk goed geïnformeerd, oplettend en voorzichtig" persoon al duidelijk is dat hij of zij met AI te maken heeft, is openbaarmaking niet vereist. Regelgeving heeft ook bevestigd dat autonome AI-agenten onder deze regel vallen en dat, wanneer een aanbieder niet betrouwbaar kan voorspellen of een agent met een mens zal communiceren, het veiliger is om het systeem zo te ontwerpen dat het zijn aard onthult wanneer dat aannemelijk is.
Er is een aparte uitzondering voor AI-systemen die wettelijk zijn gemachtigd om strafbare feiten op te sporen, te voorkomen, te onderzoeken of te vervolgen, tenzij het systeem door het publiek kan worden gebruikt om een misdaad te melden.
2. Zorg ervoor dat door AI gegenereerde media en tekst machineleesbare markeringen bevatten die aangeven dat ze kunstmatig zijn (artikel 50(2)).
Aanbieders van generatieve AI-systemen, inclusief algemene AI-systemen, die synthetische audio, afbeeldingen, video's of tekst produceren, moeten ervoor zorgen dat hun output is gemarkeerd in een machineleesbaar formaat en herkenbaar is als kunstmatig gegenereerd of gemanipuleerd. Dit is de regel "voorzie je output van een watermerk" en is het meest nauw verbonden met standaarden zoals C2PA Content Credentials.
Cruciaal is dat de markering daadwerkelijk moet werken. De wet vereist dat de gebruikte technische oplossingen effectief, interoperabel, robuust en betrouwbaar zijn, rekening houdend met de stand van de techniek en de implementatiekosten. Een label dat verdwijnt zodra een afbeelding opnieuw wordt gecodeerd of er een screenshot van wordt gemaakt, voldoet niet aan de eisen.
3. Personen informeren wanneer systemen voor emotieherkenning of biometrische categorisatie worden gebruikt (artikel 50(3))
Aanbieders van emotieherkennings- of biometrische categorisatiesystemen moeten de mensen die eraan worden blootgesteld informeren over de werking van het systeem en hoe het omgaat met persoonsgegevens, in overeenstemming met de geldende wetgeving. AVG en aanverwante EU-wetgeving inzake gegevensbeschermingNet als bij de andere regels geldt er een uitzondering voor systemen die wettelijk zijn toegestaan om strafbare feiten op te sporen, te voorkomen of te onderzoeken.
4. Maak duidelijk openbaar welke inhoud door AI is gegenereerd of gemanipuleerd, inclusief deepfakes en bepaalde publiekelijk toegankelijke, door AI gegenereerde tekst (Artikel 50(4)).
Aanbieders die AI gebruiken om beeld-, audio- of videocontent te genereren of te manipuleren die als deepfake kan worden aangemerkt, moeten vermelden dat de content kunstmatig is. Daarnaast moeten aanbieders die AI-gegenereerde of AI-gemanipuleerde tekst publiceren, specifiek om het publiek te informeren over zaken van publiek belang, ook vermelden dat de tekst AI-gegenereerd is.
Er is hier een belangrijke uitzondering: de verplichting tot openbaarmaking van tekstuele informatie is niet van toepassing als de inhoud door mensen is beoordeeld en een natuurlijke of rechtspersoon de redactionele verantwoordelijkheid ervoor draagt. In de praktijk betekent dit dat een volledig door AI opgesteld artikel dat door een menselijke redacteur wordt beoordeeld en waarvoor hij of zij de verantwoordelijkheid draagt, mogelijk buiten deze specifieke openbaarmakingsplicht valt, hoewel andere verplichtingen nog steeds van toepassing kunnen zijn. "Zaken van publiek belang" wordt breed genoeg geïnterpreteerd om communicatie over werkgelegenheid, gezondheid, financiën en recht te omvatten, niet alleen nieuws.
Sancties voor niet-naleving
Overtredingen van artikel 50 worden streng bestraft. Niet-naleving kan leiden tot boetes van maximaal €15 miljoen of 3% van de totale wereldwijde jaaromzet voor het voorgaande boekjaar, afhankelijk van welk bedrag hoger is, voor de overtredende bedrijven. EU-instellingen, -organen en -agentschappen worden afzonderlijk bestraft met een maximumbedrag van € 750,000.
De Europese Commissie is ook bezig met de ontwikkeling van een Vrijwillige gedragscode inzake transparantie van door AI gegenereerde inhoudSamen met implementatierichtlijnen worden er richtlijnen opgesteld om de manier waarop bedrijven voldoen aan de markerings- en etiketteringsvereisten te standaardiseren. Organisaties die zich aan een goedgekeurde gedragscode houden, kunnen die naleving aanvoeren als verzachtende omstandigheid, waardoor de handhaving zich mogelijk meer richt op het monitoren van de naleving van de code in plaats van op individuele onderzoeken.
Waarom "We hebben een label toegevoegd" niet hetzelfde is als naleving van de regels.
Hier lopen de meeste implementatieplannen voor artikel 50 vast. Het voldoen aan artikel 50(2) gaat niet alleen over het plaatsen van een zichtbaar watermerk op een afbeelding of het toevoegen van 'door AI gegenereerd' onderaan een artikel. De gedragscode maakt duidelijk dat geen enkele markeringstechniek op zichzelf voldoende is. Een verdedigbaar nalevingsprogramma moet de realiteit doorstaan: screenshots, hercodering, heruploads op sociale media, formaatconversies en opzettelijke pogingen om markeringen te verwijderen.
Dat betekent dat een werkbare aanpak verschillende mechanismen combineert:
- Gesigneerde herkomstverklaring (harde band): Een cryptografisch ondertekend manifest, zoals een C2PA-contentreferentie, dat aan de inhoud is gekoppeld en niet kan worden gewijzigd.
- Watermerk en vingerafdruk (zachte binding): Een onmerkbaar kenmerk dat nog steeds kan worden teruggevonden, zelfs als de metadata worden verwijderd.
- Voor mensen leesbare labels: De zichtbare onthulling die een persoon daadwerkelijk ziet, idealiter met behulp van een gestandaardiseerde AI-indicator.
- Bestuur: Contractvoorwaarden die het verwijderen van inloggegevens verbieden, processen die deze gegevens van begin tot eind bewaren, en een manier voor mensen om de herkomst van content publiekelijk te verifiëren.
C2PA-contentreferenties zijn uitgegroeid tot de ruggengraat van de eerste en tweede laag en zijn feitelijk de enige breed toegepaste standaard die voldoet aan de eisen van de Code voor ondertekende, fraudebestendige en interoperabele metadata.
De vertrouwenslaag: wat maakt een legitimatiebewijs nu echt geloofwaardig?
Iedereen kan een sleutelpaar genereren en metadata ondertekenen. Wat een contentreferentie echter betrouwbaar maakt voor een kijker, een platform of een toezichthouder, is de vertrouwensketen die achter die handtekening schuilgaat. Drie zaken moeten kloppen:
Wat: de manifest-handtekening. Het manifest moet worden ondertekend met een certificaat dat verwijst naar een certificeringsinstantie op de gepubliceerde C2PA-vertrouwenslijst zoals SSL.com. Dat is wat elke erkende verificator in staat stelt de authenticatiegegevens automatisch te valideren, zonder een eigen controle.
Wanneer: een conforme tijdstempel. Een onafhankelijke tijdstempel van een tijdstempelautoriteit op de C2PA TSA-vertrouwenslijst, Een zegel zoals SSL bewijst bijvoorbeeld dat de inhoud op een specifiek moment is ondertekend. Het zorgt ervoor dat de authenticatie geldig blijft, zelfs nadat het ondertekeningscertificaat zelf is verlopen. Dit sluit direct aan bij de oproep in de Gedragscode om informatie digitaal te ondertekenen en van een tijdstempel te voorzien.
Wie: geverifieerde identiteit. De CAWG (Creator Assertions Working Group) De identiteitsverificatielaag koppelt een geverifieerde rechtspersoon of persoon aan de authenticatiegegevens. Dit verschuift de discussie van "welk hulpmiddel heeft dit gemaakt" naar "wie staat erachter". Slechts een beperkt aantal certificeringsinstanties is momenteel gemachtigd om CAWG-identiteitsverificaties uit te geven, en de gedragscode moedigt het gebruik ervan specifiek aan.
Als een van deze drie bewijzen ontbreekt, is de geloofwaardigheid technisch gezien wel aanwezig, maar in de praktijk zwak: niet verifieerbaar, niet traceerbaar of anoniem.
Een snelle checklist voor naleving
Als u een programma volgens artikel 50 opzet, zijn er een paar zaken waar u rekening mee moet houden om een sterk systeem te bouwen:
- Zijn uw outputs voorzien van een machineleesbare markering, en niet alleen van een markering die voor mensen zichtbaar is?
- Blijft die markering behouden na hercodering, screenshots en uploads naar platformen?
- Is uw ondertekeningscertificaat opgenomen in de C2PA-vertrouwenslijst?
- Gebruikt u een Time Stamp Authority die op de C2PA TSA Trust List staat?
- Kun je via CAWG-assertions een geverifieerde identiteit aan je content koppelen?
- Heeft uw provider een aantoonbaar openbaar CA-verleden met onafhankelijke audits zoals die van WebTrust?
- Is die aanbieder actief in standaardisatieorganisaties zoals de CA / Browser Forum?
- Kan de ondertekeningsservice daadwerkelijk worden geïntegreerd in uw bestaande contentpipeline, of is het nodig om deze opnieuw op te bouwen?
Waar past SSL?
Het correct uitvoeren van de markering is één probleem. Het opbouwen van vertrouwen in die markering is een ander probleem, en dat hangt af van een infrastructuur die jaren nodig heeft om op te bouwen: lidmaatschap van vertrouwenslijsten, gecontroleerde processen en erkenning binnen het verificatie-ecosysteem.
SSL is een certificeringsinstantie die voldoet aan de C2PA Trust List en een tijdstempelautoriteit die voldoet aan de C2PA-normen. Het is een van de weinige openbare certificeringsinstanties die gemachtigd zijn om CAWG-identiteitsverificatiecertificaten uit te geven.
SSL brengt al deze essentiële vertrouwenscomponenten samen onder één wereldwijd vertrouwd publiek. PKIwaardoor het voor organisaties gemakkelijker wordt om vandaag al te voldoen aan artikel 50 en zich tegelijkertijd voor te bereiden op de toekomst van betrouwbare, door AI gegenereerde content.
Neem contact op met het SSL-team om meer te weten te komen over C2PA- en CAWG-certificaten en hoe naleving van artikel 50 in uw bestaande contentpipeline past, of bekijk het volledige aanbod van SSL. oplossingen voor contentauthenticiteit om aan de slag te gaan.
