Deepfakes en synthetische media labelen: wat de EU AI Act van jouw organisatie vraagt

Een AI-gegenereerde video van je CEO die een productlancering aankondigt. Een stemkloon van een acteur in je radiospot. Een campagnebeeld waarin een bekend gezicht in een nieuwe omgeving is geplaatst. Vanaf 2 augustus 2026 verplicht artikel 50 van de EU AI Act organisaties die dit soort content inzetten om kenbaar te maken dat die kunstmatig is gegenereerd of gemanipuleerd. Deze labelverplichting ligt bij de deployer, dus bij de organisatie die de content publiceert, en niet alleen bij de maker van de AI-tool. In dit artikel: wanneer content onder de deepfakebepaling valt, wat je precies moet doen, en waar de uitzonderingen zitten.

Eerst de rolverdeling: markeren versus labelen

Artikel 50 kent twee verplichtingen die vaak door elkaar lopen. Providers van generatieve AI-systemen moeten hun output machineleesbaar markeren, bijvoorbeeld met C2PA-metadata of watermerken. Dat is een technische plicht aan de kant van de toolbouwer, en voor systemen die vóór 2 augustus 2026 op de markt waren geldt via de Digital Omnibus uitstel tot 2 december 2026. Deployers die deepfakes publiceren moeten daarnaast zelf kenbaar maken dat de content kunstmatig is. Die tweede plicht is niet uitgesteld en is waar dit artikel over gaat. Je kunt er als publicerende organisatie dus niet op vertrouwen dat de markering van de tool volstaat: de openbaarmaking richting je publiek is jouw verantwoordelijkheid.

Wanneer is content een deepfake in de zin van de wet?

De AI Act definieert een deepfake in artikel 3, punt 60, als door AI gegenereerd of gemanipuleerd beeld-, audio- of videomateriaal dat lijkt op bestaande personen, objecten, plaatsen, entiteiten of gebeurtenissen, en dat voor een persoon ten onrechte als authentiek of waarheidsgetrouw zou overkomen. Twee elementen dragen die definitie: de gelijkenis met iets bestaands en de kans op misleiding.

Dat betekent dat lang niet alle AI-content een deepfake is. Een illustratie van een niet-bestaand persoon bij een blogartikel lijkt niet op iemand die bestaat. Een duidelijk gestileerde animatie komt niet als authentiek over. Maar een fotorealistische afbeelding van een bestaand kantoorpand met meer zonnepanelen dan er liggen, een stemkloon van een herkenbare spreker of een video waarin iemand woorden in de mond worden gelegd, valt er wel onder. Twijfelgevallen zijn er genoeg, en daar geldt een praktische vuistregel: als je moet uitleggen waarom iets géén deepfake is, is labelen de eenvoudiger route.

Wat moet je precies doen?

Deployers moeten op grond van artikel 50, lid 4, kenbaar maken dat de content kunstmatig is gegenereerd of gemanipuleerd. De wet schrijft niet voor hoe. De openbaarmaking moet wel duidelijk en onderscheidbaar zijn en uiterlijk bij de eerste blootstelling aan de content worden gedaan (artikel 50, lid 5). In de praktijk zien wij drie werkende vormen: een zichtbaar bijschrift of overlay bij beeld en video ("dit beeld is met AI gegenereerd"), een gesproken of getoonde melding aan het begin van audio en video, en een vermelding direct bij de content op de publicatiepagina. Een verwijzing diep in je algemene voorwaarden voldoet niet: de kijker moet de melding tegenkomen waar hij de content tegenkomt.

Voor AI-gegenereerde tekst geldt een aparte bepaling. Publiceer je met AI gegenereerde tekst om het publiek te informeren over zaken van algemeen belang, dan moet je dat vermelden, tenzij een mens redactionele controle heeft uitgevoerd en een persoon of organisatie redactionele verantwoordelijkheid draagt. Voor de meeste bedrijfscontent, zoals een kennisbankartikel dat door een medewerker is gereviewd en onder verantwoordelijkheid van de organisatie verschijnt, biedt die uitzondering ruimte. Voor automatisch gepubliceerde nieuwsberichten zonder menselijke controle niet.

De uitzondering voor kunst, satire en fictie

Voor content die deel uitmaakt van een duidelijk artistiek, creatief, satirisch of fictioneel werk geldt een verzachte verplichting: je moet het bestaan van de gegenereerde of gemanipuleerde content kenbaar maken op een manier die de weergave of het genot van het werk niet hindert. Een filmproductie hoeft dus geen waarschuwing door het beeld te zetten; een vermelding op een passende plek, zoals de aftiteling of de programma-informatie, volstaat. Voor marketingcontent is deze uitzondering zelden bruikbaar: een campagnevideo is geen satire, ook niet als hij grappig bedoeld is.

Veelgemaakte fouten

In de trajecten die wij begeleiden komen dezelfde misvattingen terug. De eerste: "onze AI-tool watermerkt de output al, dus wij hoeven niets". De markering door de provider en de openbaarmaking door de deployer zijn twee aparte verplichtingen; de tweede blijft van jou. De tweede misvatting: "wij noemen AI-gebruik in ons privacystatement". De melding moet bij de content staan, niet in een document dat niemand naast de video legt. De derde: alleen de marketingafdeling meenemen. Ook HR (wervingsvideo's), interne communicatie (een gegenereerde boodschap van de directie) en sales (gepersonaliseerde videopitches) publiceren synthetische media, vaak zonder dat compliance het weet.

Praktische borging

De labelplicht is goed te borgen zonder zware processen. Begin met een inventarisatie van waar in de organisatie synthetische media worden gemaakt en gepubliceerd, inclusief de tools die daarvoor worden gebruikt. Stel per contenttype een standaardlabel vast, zodat makers niet per uiting hoeven te improviseren. Neem het label op in de bestaande contentreview, op dezelfde plek waar nu op merkrichtlijnen en rechten wordt gecontroleerd. En leg vast wat is gepubliceerd met welk label, zodat je bij vragen kunt laten zien hoe je de verplichting invult. Organisaties met een ISO 42001-managementsysteem hangen dit op aan hun AI-inventarisatie en gebruiksbeleid; de interne audit controleert dan periodiek of de labels in de praktijk worden toegepast.

Toezicht en boetes

Op schending van de transparantieverplichtingen staat op grond van artikel 99, lid 4, onder g, een boete tot 15 miljoen euro of 3% van de wereldwijde jaaromzet, waarbij het hoogste bedrag geldt. Voor mkb-bedrijven, waaronder startups, geldt op grond van artikel 99, lid 6, juist het laagste van beide bedragen. Handhaving ligt bij de nationale markttoezichtautoriteiten. Naast het boeterisico weegt het reputatierisico zwaar: een niet-gelabelde deepfake die viraal gaat, is een groter probleem dan de boete die er eventueel op volgt. De verplichting is per 2 augustus 2026 van kracht. Wie nu zijn contentprocessen doorloopt, heeft het geregeld voor het speelt.

Bron: dit artikel is gebaseerd op Verordening (EU) 2024/1689 (de AI-verordening), met name artikel 3, punt 60, artikel 50, leden 2, 4 en 5, en artikel 99, lid 4, onder g. De volledige wettekst is te raadplegen via https://eur-lex.europa.eu/eli/reg/2024/1689/oj