Chatbottransparantie onder de EU AI Act: zo voldoe je aan artikel 50 vanaf 2 augustus 2026

Vanaf 2 augustus 2026 geldt artikel 50 van de EU AI Act, en het eerste lid daarvan raakt vrijwel elke organisatie met een chatbot of voicebot: gebruikers moeten weten dat zij met AI communiceren. De verplichting klinkt eenvoudig. Zet er een melding bij en klaar. In de praktijk komen er meer vragen op je af. Wie is verantwoordelijk als de bot van een leverancier komt? Geldt het ook voor interne chatbots? En wat als een gesprek halverwege wordt overgenomen door een medewerker? In dit artikel behandelen we de chatbotverplichting in detail, inclusief de inrichtingskeuzes waar wij organisaties in de praktijk mee zien worstelen.

Belangrijk om vooraf te weten: het uitstel dat via de Digital Omnibus is geregeld, gaat over de machineleesbare markering van AI-content uit artikel 50, tweede lid, voor systemen die al vóór 2 augustus 2026 op de markt waren. De chatbotverplichting valt daar niet onder. Die gaat gewoon op 2 augustus 2026 in.

Wat staat er precies in artikel 50, eerste lid?

Providers van AI-systemen die bedoeld zijn om rechtstreeks met natuurlijke personen te interacteren, moeten die systemen zo ontwerpen en ontwikkelen dat de betrokken personen worden geïnformeerd dat zij met een AI-systeem te maken hebben. De verplichting vervalt als dat, gezien de omstandigheden en de gebruikscontext, al duidelijk is voor een redelijk geïnformeerde, oplettende en omzichtige persoon. Er is daarnaast een uitzondering voor wettelijk toegestane systemen voor opsporing en vervolging van strafbare feiten, maar die speelt voor de meeste bedrijven geen rol.

Twee dingen vallen op. Ten eerste ligt de verplichting bij de provider: degene die het systeem ontwikkelt of onder eigen naam op de markt brengt of in gebruik stelt. Ten tweede is het een ontwerpeis. Het gaat niet om een zin in je privacyverklaring, maar om hoe het systeem zelf is gebouwd. Artikel 50, vijfde lid, voegt daaraan toe dat de informatie duidelijk en onderscheidbaar moet worden verstrekt, uiterlijk bij de eerste interactie.

Wanneer is het "duidelijk uit de context"?

De uitzondering lijkt ruim, maar wij adviseren om er weinig op te leunen. Een venster met de naam "AI-assistent" en een robotachtig icoon maakt al veel duidelijk. Toch blijft het een inschatting die je bij een vraag van een toezichthouder moet kunnen onderbouwen. De Europese Commissie heeft definitieve richtsnoeren over artikel 50 vastgesteld die bij die inschatting helpen, en er loopt een Code of Practice over transparantie van AI-content.

Het grijze gebied zit vooral bij kanalen waar de context weinig zegt. Een voicebot aan de telefoon is voor een beller niet vanzelf herkenbaar als AI, zeker nu stemsynthese menselijke sprekers dicht benadert. Een bot in een WhatsApp-gesprek oogt hetzelfde als een medewerker. En bij hybride kanalen, waar AI en mensen elkaar afwisselen, weet de klant zonder melding niet met wie hij op dat moment praat. In al deze gevallen is een expliciete melding de verdedigbare route.

Praktische inrichting van de melding

Bij de organisaties die wij begeleiden zien we een aantal keuzes terugkomen die samen een goed verdedigbare invulling vormen. De bot meldt bij de start van elk gesprek dat de gebruiker met een AI-assistent praat, in de taal van de gebruiker en vóór de eerste inhoudelijke reactie. Een voicebot spreekt die melding uit aan het begin van het gesprek. De naamgeving en vormgeving ondersteunen de melding: geen menselijke naam met een pasfoto-achtige avatar, wel een naam en beeld die bij een digitale assistent passen. Bij overdracht naar een medewerker meldt het systeem dat expliciet, en andersom ook, zodat op elk moment duidelijk is wie of wat er antwoordt.

Leg daarnaast vast hoe de melding is ingericht, en bewaar dat als bewijs. Een schermafdruk van de meldingsflow, de configuratie van de openingsboodschap en een testverslag zijn bij een audit of een vraag van een toezichthouder meer waard dan een beleidsdocument dat zegt dat je transparant bent.

Wie is verantwoordelijk bij een ingekochte bot?

Veel chatbots zijn opgebouwd op een platform van een leverancier, met daaronder een extern taalmodel. De vraag wie provider is, luistert dan nauw. Koop je een kant-en-klare bot in en gebruik je die onder de naam van de leverancier, dan ligt de ontwerpverplichting bij die leverancier en ben jij deployer. Bouw je op een platform een eigen bot en bied je die onder eigen naam aan je klanten aan, dan schuif je naar de providerrol, met de bijbehorende ontwerpverplichting.

Voor de praktijk betekent dit: leg in het contract met je leverancier vast wie de transparantiefunctie levert, en controleer of die functie aan staat. Wij zien regelmatig dat een platform de meldingsfunctie wel biedt, maar dat die bij de implementatie is uitgezet omdat de openingsboodschap "klantvriendelijker" moest. Daarmee ligt het risico weer bij jou.

Geldt dit ook voor interne chatbots?

De tekst van artikel 50 spreekt over natuurlijke personen, zonder onderscheid tussen klanten en medewerkers. Een interne HR-bot of IT-servicedeskbot valt dus in beginsel onder dezelfde verplichting. In de praktijk is bij interne tooling de context vaak duidelijker: medewerkers weten meestal dat de servicedeskassistent een bot is. Toch is de melding ook hier de eenvoudigste route, zeker omdat de kosten ervan verwaarloosbaar zijn. Eén openingszin volstaat.

Handhaving en boetes

Op schending van de transparantieverplichtingen staat op grond van artikel 99, lid 4, onder g, van de AI-verordening een boete tot 15 miljoen euro of 3% van de wereldwijde jaaromzet, waarbij het hoogste bedrag geldt. Voor mkb-bedrijven, waaronder startups, geldt op grond van artikel 99, lid 6, juist het laagste van beide bedragen. Toezicht ligt bij de nationale markttoezichtautoriteiten, die naast boetes ook waarschuwingen en andere maatregelen kunnen inzetten. Hoe de handhaving in de praktijk zal uitpakken moet nog blijken, maar wachten op de eerste boetes is geen strategie: de verplichting is helder genoeg om nu in te regelen, en afnemers en auditors vragen er nu al naar.

Borging in je AI-managementsysteem

Organisaties met een ISO 42001-managementsysteem kunnen de chatbotverplichting daarin direct borgen. Neem interactieve AI-systemen op in je AI-inventarisatie, leg per systeem vast of de transparantiefunctie is ingericht, en neem de controle daarop mee in je interne audit. Zo wordt de melding geen eenmalige actie, maar een beheerst kenmerk van elk systeem dat je uitrolt. Wie geen AIMS heeft, kan hetzelfde bereiken met een eenvoudige registratie: welke bots draaien er, wie is provider, waar staat de melding, wie heeft dat wanneer gecontroleerd.

Klaar voor 2 augustus

De chatbotverplichting is binnen artikel 50 de meest zichtbare en tegelijk de eenvoudigst te regelen verplichting. Inventariseer je interactieve AI-systemen, bepaal per systeem je rol, richt de melding in, leg de werking vast en spreek de verantwoordelijkheid met je leverancier af. Voor de meeste organisaties is dat een kwestie van dagen, geen maanden. De deadline van 2 augustus 2026 staat vast, dus die dagen kun je er beter nu aan besteden.

Bron: dit artikel is gebaseerd op Verordening (EU) 2024/1689 (de AI-verordening), met name artikel 50, leden 1 en 5, en artikel 99, lid 4, onder g. De volledige wettekst is te raadplegen via https://eur-lex.europa.eu/eli/reg/2024/1689/oj