Checklist: is jouw organisatie op 2 augustus 2026 klaar voor artikel 50 van de EU AI Act?

Op 2 augustus 2026 worden de transparantieverplichtingen van artikel 50 van de EU AI Act van toepassing. Anders dan bij de hoog-risicoverplichtingen, die via de Digital Omnibus zijn uitgesteld, staat deze datum vast. De verplichtingen zelf zijn overzichtelijk, maar ze raken meer afdelingen dan alleen IT: klantenservice, marketing, HR en communicatie gebruiken allemaal AI-systemen die onder het artikel kunnen vallen. Deze checklist loopt de stappen langs die je vóór 2 augustus gezet wilt hebben. Per stap geven we aan wat er minimaal moet liggen en wat een toezichthouder of auditor zou willen zien. Liever interactief? Met onze EU AI Act-zelfassessment zie je welke verplichtingen voor jouw organisatie gelden en hoe compliant je nu bent.

Stap 1: inventariseer welke AI-systemen onder artikel 50 vallen

Begin met een inventarisatie van AI-systemen in vier categorieën: systemen die rechtstreeks met mensen interacteren (chatbots, voicebots, virtuele assistenten), systemen die synthetische content genereren (tekst, beeld, audio, video), systemen voor emotieherkenning of biometrische categorisering, en gepubliceerde content die als deepfake kan kwalificeren. Vergeet de AI-functies die in bestaande software zijn ingebouwd: een klantenserviceplatform met een AI-antwoordfunctie of een ontwerptool met beeldgeneratie telt mee. Vraag niet alleen IT, maar ook de afdelingen zelf. Zonder deze inventarisatie is elke volgende stap giswerk.

Stap 2: bepaal per systeem je rol

Artikel 50 verdeelt de verplichtingen over providers (wie het systeem ontwikkelt of onder eigen naam aanbiedt) en deployers (wie het systeem onder eigen verantwoordelijkheid gebruikt). Leg per systeem vast welke rol je vervult. Let op de gevallen waarin je beide bent, bijvoorbeeld een eigen klantbot gebouwd op een extern taalmodel. De rol bepaalt wat je moet doen: de ontwerpeis voor interactietransparantie en de markeringsplicht liggen bij de provider, het informeren bij emotieherkenning en het labelen van deepfakes bij de deployer.

Stap 3: regel de chatbotmelding

Voor elk systeem dat met mensen interacteert: controleer dat de gebruiker uiterlijk bij de eerste interactie duidelijk te zien of te horen krijgt dat hij met AI communiceert. Controleer ook de kanalen waar dat minder vanzelfsprekend is, zoals voicebots en bots in messaging-apps, en de overdracht tussen bot en medewerker in hybride kanalen. Leg met een schermafdruk of testverslag vast dat de melding werkt.

Stap 4: controleer de markering van generatieve output

Ben je provider van een systeem dat synthetische content genereert, dan moet de output machineleesbaar gemarkeerd zijn. Hier speelt het enige uitstel binnen artikel 50: voor systemen die vóór 2 augustus 2026 op de markt zijn gebracht, gaan de markeringsverplichtingen via de Digital Omnibus pas op 2 december 2026 in. Voor nieuwe systemen geldt de plicht direct. De wet schrijft geen standaard voor; C2PA is in de praktijk de meest gangbare. Documenteer welke techniek je gebruikt en waarom die keuze verdedigbaar is. Gebruik je alleen generatieve tools van derden, dan ligt deze plicht bij je leverancier, maar controleer dat dan ook (stap 7).

Stap 5: richt de informatieplicht bij emotieherkenning in

Gebruik je emotieherkenning of biometrische categorisering, bijvoorbeeld sentimentanalyse op klantgesprekken, dan moet je de betrokken personen daarover informeren. Controleer eerst of de toepassing überhaupt is toegestaan: emotieherkenning op de werkplek en in het onderwijs is op grond van artikel 5, lid 1, onder f, al sinds 2 februari 2025 verboden, met een uitzondering voor medische en veiligheidsredenen. Voor toegestane toepassingen: leg vast hoe en wanneer betrokkenen worden geïnformeerd, en stem de tekst af met privacy, want hier loopt de AVG doorheen.

Stap 6: regel labels voor deepfakes en AI-tekst

Publiceert je organisatie AI-gegenereerd beeld, audio of video dat op bestaande personen, plaatsen of gebeurtenissen lijkt, dan moet daarbij kenbaar zijn dat de content kunstmatig is. Voor AI-tekst over zaken van algemeen belang geldt een meldplicht, tenzij er menselijke redactionele controle en verantwoordelijkheid is. Stel standaardlabels vast per contenttype en neem de controle op in je contentreviewproces. Denk breder dan marketing: ook HR, sales en interne communicatie publiceren synthetische media.

Stap 7: leg afspraken met leveranciers vast

Voor ingekochte AI-systemen wil je contractueel geregeld hebben wie welke verplichting invult. Vraag je chatbotleverancier waar de transparantiefunctie zit en of die aan staat. Vraag je generatieve-AI-leverancier hoe de output wordt gemarkeerd. Leg de antwoorden vast. Bij een vraag van een toezichthouder is "dat doet onze leverancier" alleen een antwoord als je kunt laten zien dat je het hebt gecontroleerd.

Stap 8: borg het in je managementsysteem en bewaar bewijs

Eenmalig voldoen is niet genoeg; nieuwe systemen en nieuwe features komen erbij. Beleg de verantwoordelijkheid voor artikel 50 bij een eigenaar, neem de transparantiecheck op in het proces waarmee nieuwe AI-toepassingen worden goedgekeurd, en bewaar per systeem het bewijs: meldingsflows, markeringskeuzes, labels en leveranciersafspraken. Organisaties met een ISO 42001-managementsysteem kunnen dit vrijwel één op één ophangen aan hun bestaande AI-inventarisatie, gebruiksbeleid en interne audit.

Wat als je op 2 augustus nog niet alles rond hebt?

Op schending van de transparantieverplichtingen staat op grond van artikel 99, lid 4, onder g, een boete tot 15 miljoen euro of 3% van de wereldwijde jaaromzet, waarbij het hoogste bedrag geldt; voor mkb-bedrijven geldt op grond van artikel 99, lid 6, het laagste van beide. Hoe snel en hoe streng nationale autoriteiten gaan handhaven, moet nog blijken. Maar de volgorde van deze checklist is er ook op gericht om het grootste risico eerst af te dekken: de zichtbare, klantgerichte systemen. Een chatbotmelding is in dagen geregeld. De diepere borging in contracten en managementsysteem mag daarna volgen, als er maar aantoonbaar aan wordt gewerkt. Beginnen na de eerste vraag van een toezichthouder of een grote klant is de dure variant.

Wil je weten waar jouw organisatie nu staat? Doe de EU AI Act-zelfassessment: die laat zien welke verplichtingen op jullie van toepassing zijn en waar de aandachtspunten zitten.

Bron: dit artikel is gebaseerd op Verordening (EU) 2024/1689 (de AI-verordening), met name artikel 50, artikel 5, lid 1, onder f, en artikel 99, lid 4, onder g. De volledige wettekst is te raadplegen via https://eur-lex.europa.eu/eli/reg/2024/1689/oj