Sinds 2 augustus 2026 is artikel 50 van de AI-verordening van kracht. Het is het eerste stuk van de AI Act dat rechtstreeks op gewone organisaties slaat, en het is meteen beboetbaar tot 15 miljoen euro of 3 % van de wereldwijde jaaromzet. Toch gaat het niet over hoogrisicosystemen of over conformiteitsbeoordelingen. Het gaat over iets veel banalers: mensen moeten weten dat ze met een machine praten, en ze moeten kunnen zien dat iets door een machine gemaakt is.
Dat is goed nieuws en slecht nieuws tegelijk. Goed, want het is te doen. Slecht, want bijna elke organisatie valt eronder zonder het te beseffen. Een chatbot op je website, een AI-tekst in je nieuwsbrief, een gegenereerde foto in een campagne: alle drie raken ze artikel 50.
Wat artikel 50 precies zegt
Artikel 50 van Verordening (EU) 2024/1689 bevat vier transparantieverplichtingen. Ze hangen aan verschillende rollen, en dat onderscheid is waar de meeste checklists de mist in gaan.
| Lid | Wie | Wat |
|---|---|---|
| 50.1 | Aanbieder | Een systeem dat rechtstreeks met mensen communiceert, moet duidelijk maken dát het een AI-systeem is — tenzij dat voor een redelijk oplettende persoon overduidelijk is. |
| 50.2 | Aanbieder | Gegenereerde of gemanipuleerde inhoud (tekst, beeld, audio, video) moet machineleesbaar gemarkeerd zijn als kunstmatig voortgebracht. |
| 50.3 | Gebruiksverantwoordelijke | Emotieherkenning en biometrische categorisatie: de betrokkenen moeten daarvan op de hoogte gebracht worden. |
| 50.4 | Gebruiksverantwoordelijke | Deepfakes moeten als zodanig bekendgemaakt worden. Gegenereerde tekst die gepubliceerd wordt om het publiek te informeren over zaken van algemeen belang, ook — tenzij er menselijke redactionele controle en redactionele verantwoordelijkheid is. |
De rol bepaalt dus wat je moet doen. Bouw je zelf een chatbot, dan ben je aanbieder. Zet je ChatGPT of Copilot in binnen je organisatie, dan ben je gebruiksverantwoordelijke. De meeste kmo’s en besturen zijn uitsluitend het tweede, en toch krijgen ze checklists voorgeschoteld die over aanbiedersplichten gaan.
Wat geldt er nu wél, en wat is uitgesteld?
Dit is het stuk waar de meeste artikels van vóór de zomer van 2026 niet meer kloppen. De Digital Omnibus trad op 27 juli 2026 in werking en verschoof het hoogrisicoregime. De transparantieplicht schoof niet mee.
| Datum | Wat | Status |
|---|---|---|
| 2 februari 2025 | Verboden praktijken (art. 5) en AI-geletterdheid (art. 4) | Geldt |
| 2 augustus 2025 | AI-modellen voor algemene doeleinden, governance, sancties | Geldt |
| 2 augustus 2026 | Transparantie (art. 50) | Geldt |
| 2 december 2027 | Hoog risico via bijlage III (art. 6.2): werving, krediet, verzekering, onderwijs, rechtshandhaving | Uitgesteld |
| 2 augustus 2028 | Hoog risico via bijlage I (art. 6.1): AI als veiligheidscomponent in gereguleerde producten | Uitgesteld |
Praktisch: je hoeft vandaag nog geen conformiteitsbeoordeling te doen voor je cv-screeningtool. Je moet wél vandaag al je chatbot labelen. Wie die twee door elkaar haalt, doet ofwel te veel werk ofwel te weinig — en het tweede is beboetbaar.
Vier situaties waarin je vandaag al iets moet doen
1. Een chatbot of AI-assistent op je website
De bezoeker moet bij het eerste contact weten dat hij met een AI-systeem praat. Eén zin volstaat, maar ze moet zichtbaar zijn vóór het gesprek begint, niet in je privacyverklaring. «Je chat met een AI-assistent. Voor een medewerker: bel 014 …» doet wat het moet doen.
De uitzondering «overduidelijk voor een redelijk oplettende persoon» is smaller dan ze klinkt. Een venster met een robotpictogram is niet automatisch overduidelijk. Als je twijfelt, vermeld het gewoon: het kost je één zin en het haalt de discussie weg.
2. Gegenereerde beelden in je communicatie
Een AI-beeld bij een blogartikel, een gegenereerde sfeerfoto op een campagnepagina, een gemanipuleerde afbeelding in een folder. Voor de gebruiksverantwoordelijke telt vooral lid 4: gaat het om een deepfake — beeld, audio of video dat lijkt op bestaande personen, plaatsen of gebeurtenissen — dan moet je bekendmaken dat het kunstmatig is.
Een duidelijk zichtbaar bijschrift is de eenvoudigste weg. «Beeld gegenereerd met AI» onder de foto, of in het onderschrift van de afbeelding.
3. AI-teksten die je publiceert
Lid 4 slaat op tekst die gepubliceerd wordt om het publiek te informeren over aangelegenheden van algemeen belang. Een productbeschrijving valt daar niet onder. Een nieuwsbericht van een gemeente, een standpunt van een vereniging of een persbericht wél.
De uitzondering is belangrijk: heb je de tekst menselijk nagelezen én neemt iemand er de redactionele verantwoordelijkheid voor, dan vervalt de vermeldingsplicht. Dat is geen vrijgeleide maar een aansporing: leg vast wíé nakijkt. Zonder dat spoor kun je de uitzondering niet inroepen.
4. Emotieherkenning en biometrische categorisatie
Zeldzamer, maar het duikt op in onverwachte hoeken: een tool die de «sfeer» van klantengesprekken scoort, software die sollicitatievideo’s beoordeelt. Zet je die in, dan moeten de betrokkenen daarvan op de hoogte zijn — en let op: op de werkvloer botst dit bijna altijd óók op artikel 5, dat emotieherkenning op het werk en in het onderwijs verbiedt.
Wat je moet kunnen tonen
Artikel 50 vraagt niet om een dossier. Maar aantoonbaarheid vraagt dat wel, en een toezichthouder die drie maanden later langskomt, kijkt niet naar je chatbot van vandaag maar naar wat er toen stond. Per toepassing waarop artikel 50 speelt, hou je best vier dingen bij:
- De letterlijke vermeldingstekst. Niet «we melden dat het AI is», maar de zin zoals ze op het scherm staat.
- Waar en wanneer ze verschijnt. Bij het openen van het venster, onder de afbeelding, in de voettekst van het bericht.
- De machineleesbare markering. Metadata, watermerk of C2PA-gegevens, voor zover je aanbieder ze meelevert.
- Een schermafdruk als bewijsstuk, met datum. Dit is het stuk dat iedereen vergeet en dat achteraf het enige echte bewijs is.
In het DPO-dossier is dat het transparantieregister: één fiche per toepassing, met precies die vier velden. Staat een AI-systeem in je register op «interactief» of «genereert inhoud», dan maakt één knop de fiches aan met een voorstel van tekst erbij. Dat scheelt het meeste denkwerk, en het zet meteen de koppeling naar het AI-register waar het systeem al in staat.
De volgorde die werkt
- Inventariseer. Welke AI-toepassingen draaien er? Begin bij de producten die je al betaalt: Copilot, ChatGPT, een notuleerhulp, de chatbot van je websitebouwer. Zonder inventaris kun je niet aantonen dat je iets over het hoofd zag noch dat je niets over het hoofd zag. Dat is precies waarom een AI-register ook zonder hoogrisicosysteem nodig is.
- Bepaal je rol per systeem. Aanbieder of gebruiksverantwoordelijke. Dat bepaalt welk lid van artikel 50 op jou slaat.
- Schrijf de vermeldingsteksten. Kort, in gewone taal, op de plaats waar de gebruiker ze tegenkomt.
- Leg bewijs vast. Schermafdruk, datum, wie het plaatste.
- Zet een hertoetsdatum. AI-toepassingen veranderen sneller dan je beleid. Een halfjaarlijkse herlezing volstaat, zolang ze in een agenda staat en niet in iemands hoofd.
En de AVG dan?
Artikel 50 staat naast de AVG, niet in de plaats ervan. Verwerkt je AI-toepassing persoonsgegevens — en dat doet ze meestal — dan heb je daarnaast nog altijd een verwerking in je verwerkingsregister, een rechtsgrond, een bewaartermijn met een startpunt en mogelijk een DPIA. Draait de toepassing bij een Amerikaanse aanbieder, dan komt daar de doorgifte buiten de EER bij.
Vervult je organisatie een publieke taak en gaat het om een systeem uit bijlage III, dan komt er vanaf december 2027 nog een grondrechteneffectbeoordeling bij. Dat is geen reden om nu te wachten: de FRIA bouwt voort op je DPIA, en die bouwt voort op je register.
Veelgestelde vragen
Geldt artikel 50 ook voor kleine organisaties?
Ja. De AI-verordening kent geen ondergrens naar omvang voor de transparantieverplichtingen. Een vzw met een chatbot valt er even goed onder als een multinational.
Moet ik een AI-beeld labelen als ik het zelf heb bijgewerkt?
Als het resultaat nog steeds op bestaande personen, plaatsen of gebeurtenissen lijkt en het is kunstmatig voortgebracht of gemanipuleerd, dan blijft de bekendmakingsplicht van lid 4 spelen. Bewerken maakt het niet minder gegenereerd.
Wie handhaaft dit in België?
De nationale markttoezichtautoriteiten. België heeft dat landschap intussen ingevuld; voor verwerkingen van persoonsgegevens blijft de Gegevensbeschermingsautoriteit sowieso bevoegd. Praktisch verandert dat weinig aan wat je moet doen: het bewijsstuk dat je bij een AVG-controle nodig hebt, is hetzelfde stuk dat je hier nodig hebt.
Wat als mijn leverancier de machineleesbare markering niet levert?
De markeringsplicht van lid 2 ligt bij de aanbieder van het systeem, niet bij jou als gebruiker. Maar leg de vraag wél schriftelijk bij je leverancier en bewaar het antwoord. Dat antwoord hoort in je leveranciersdossier, samen met het contract en de opzegtermijn.
Wil je dit niet in een Excel bijhouden? Het DPO-dossier bevat het transparantieregister, het AI-systeemregister en de triage in vier lagen, met per verplichting het artikelnummer en de datum vanaf wanneer ze loopt. Het draait volledig offline op je eigen schijf. Dertig dagen gratis proberen, of doe eerst de gratis GDPR-scan.
