Doorzoek de AI Act in samenhang

retail en consument

Code-assistent voor ontwikkelaars: uitzondering, tot hij naar buiten praat

Een softwarebedrijf gebruikt een AI-assistent voor codesuggesties en code review, alleen beschikbaar voor professionele ontwikkelaars. Datzelfde bedrijf zet ook een helpdeskchatbot in voor klanten.

Herkomst: De richtsnoeren van de Commissie van 20 juli 2026 noemen code-assistentie- en code-reviewchatbots die alleen beschikbaar zijn voor professionele ontwikkelaars als voorbeeld waarin de evidentie-uitzondering opgaat. Chatbots in online platforms of helpdesks waarbij gebruikers uitkomsten kunnen aanzien voor menselijk werk, noemen zij juist als voorbeeld waarin de meldplicht wel geldt.

Twee AI-assistenten bij hetzelfde bedrijf, twee uitkomsten. Beoordeel per toepassing wie de gebruiker is en wat die redelijkerwijs verwacht, in plaats van een organisatiebreed standpunt in te nemen over chatbots.

Commission Guidelines C(2026) 5054 final, 20.7.2026, randnummer (45), lijsten met en zonder evidentie-uitzondering

retail en consument

Fraudemeldportaal van een bank: waarom de opsporingsuitzondering hier afvalt

Een bank opent een AI-gestuurd meldportaal waar klanten vermoedelijke fraude rond hun betaalrekening of lening kunnen doorgeven. Het systeem stelt vervolgvragen, categoriseert de melding en zet die door naar fraudedetectie en, bij witwassignalen, naar het interne meldteam. Omdat het portaal over strafbare feiten gaat, gaat de bank ervan uit dat de meldplicht bij directe AI-interactie niet speelt.

Herkomst: De richtsnoeren van de Commissie van 20 juli 2026 noemen door financiele instellingen of overheidsinstanties beheerde AI-ondersteunde fraudemeldlijnen en meldportalen, waar gebruikers vermoedelijke financiele misdrijven kunnen melden, uitdrukkelijk als voorbeeld dat niet is vrijgesteld en binnen het toepassingsbereik van artikel 50 lid 1 valt. Zij lichten toe dat de uitzondering niet opgaat wanneer het systeem voor het publiek beschikbaar is en het gebruikers de mogelijkheid biedt een strafbaar feit te melden. Dat het systeem de melding alleen uitvraagt, categoriseert en prioriteert terwijl menselijke onderzoekers de informatie valideren voordat er actie volgt, verandert dat in de richtsnoeren niet.

In onze lezing is dit de plek waar banken het vaakst verkeerd afslaan: het meldportaal hangt organisatorisch onder fraude en compliance, waardoor de opsporingsuitzondering vanzelfsprekend aanvoelt terwijl juist het publieke meldkanaal is uitgezonderd van die uitzondering. Daar komt bij dat de uitzondering is geschreven voor gebruik dat bij wet is toegestaan voor opsporing, en de richtsnoeren rekken haar niet verder op dan tot andere overheidsinstanties met zo'n wettelijke grondslag, zodat een private bank er in onze lezing zelden in staat nog voordat het publieke meldkanaal ter sprake komt. Behandel het portaal daarom als een gewone publieksfacing chat en zet de mededeling in het eerste scherm van het gesprek. Een zin in de algemene voorwaarden of in een productbijsluiter is voor dit kanaal een zwakke keuze, omdat de melder op dat moment al aan het vertellen is.

Commission Guidelines C(2026) 5054 final, 20.7.2026, randnummers (48) en (49), voorbeeldenlijst bij de opsporingsuitzondering

retail en consument

Helpdeskchatbot van een webshop moet zich melden

Een webshop zet een AI-chatbot in voor vragen over bestellingen, bezorging en retouren. De bot schrijft vloeiende volzinnen, draagt een profielfoto van een medewerker en nergens staat dat er geen mens meeleest.

Herkomst: De finale richtsnoeren van de Commissie over artikel 50 behandelen dit geval als uitgewerkt voorbeeld bij de transparantieplichten. Het document is niet bindend.

Rekent u niet op de uitzondering voor evidente AI, want hoe menselijker uw klantenbot oogt, hoe eerder u een expliciete melding bij de eerste beurt moet inbouwen in plaats van alleen in de voorwaarden.

Commission Guidelines C(2026) 5054 final, 20.7.2026, uitgewerkte voorbeelden bij artikel 50

retail en consument

Databasequery en standaard spreadsheet zonder AI-functies

Een klantenserviceafdeling draait in het databasesysteem de opdracht om alle klanten te vinden die vorige maand een bepaald product kochten, en berekent in een standaard spreadsheet het gemiddelde uit een klanttevredenheidsenquete. Alle stappen volgen vooraf vastgelegde instructies.

Herkomst: De richtsnoeren van de Commissie over de definitie van een AI-systeem gebruiken dit geval om de grens te trekken tussen software die wel en niet onder de verordening valt. Het document is niet bindend.

Beroept u zich op de categorie basale gegevensverwerking, kijk dan naar de hele levenscyclus en niet alleen naar het gebruik, want die categorie veronderstelt dat in geen enkele fase wordt geleerd, geredeneerd of gemodelleerd.

Commission Guidelines C(2025) 5053 final, 29.7.2025, grensgevallen bij de definitie van artikel 3, punt 1

AI-agents moeten zowel hun AI-aard als hun opdrachtgever bekendmaken

Punt (31) van de richtsnoeren van 20 juli 2026 bepaalt dat AI-agents onder artikel 50 lid 1 vallen wanneer zij kunnen communiceren met de personen die hen instrueren of met andere natuurlijke personen bij de uitvoering van hun taken, met als voorbeelden het maken van boekingen, het beheren van correspondentie, het onderhandelen over of sluiten van contracten en het uitvoeren van aankopen. Volgens datzelfde punt moeten AI-agents zo worden ontworpen en ontwikkeld dat zij zowel hun kunstmatige aard bekendmaken als de persoon namens wie zij handelen, gelet op de noodzaak van transparantie over de oorsprong en over de delegatie van bevoegdheid en verantwoording voor de gevolgen van hun handelen. Dit geldt ook in complexe multi-agentarchitecturen waarin andere agents rechtstreeks met natuurlijke personen communiceren. Wanneer de aanbieder voor het in de handel brengen of in gebruik stellen niet betrouwbaar kan vaststellen of de agent rechtstreeks met een natuurlijke persoon zal communiceren, moet de agent op architectuurniveau zo worden ontworpen en geinstrueerd dat hij zich in elke situatie bekendmaakt waarin het redelijkerwijs waarschijnlijk is dat hij met een natuurlijke persoon in contact komt, ook wanneer die persoon een rechtspersoon vertegenwoordigt. Verder moeten agents zich ook bekendmaken aan de personen die hen instrueren, op belangrijke momenten zoals autorisatie, rapportage en validatie, mede wanneer de agent output verwerkt of gebruikt die door andere AI-systemen is voortgebracht in plaats van door een natuurlijke persoon, en bij iedere nieuwe interactie. Punt (63) voegt toe dat artikel 50 lid 2 op AI-agents van toepassing kan zijn wanneer de handeling van de agent leidt tot AI-gegenereerde of gemanipuleerde content die door natuurlijke personen waarneembaar is, terwijl tussenliggende verwerkingsstappen zoals redeneerketens en niet-waarneembare handelingen zoals een webverzoek of browseractie daarbuiten vallen.

Commission Guidelines C(2026) 5054 final, sectie 3.1.1, randnummer (31), en sectie 4.1.2, randnummer (63)

Artistiek of satirisch werk is niet vrijgesteld, alleen verlicht, en informatief wint altijd

Punt (119) van de richtsnoeren van 20 juli 2026 spreekt van een verzwakte transparantieverplichting voor deepfakes die deel uitmaken van evident artistieke, creatieve, satirische, fictieve of vergelijkbare werken of programma's, waarbij de verplichting beperkt is tot bekendmaking op een passende wijze die de weergave of het genot van het werk niet belemmert. Punt (120) omschrijft de categorieen: artistieke werken zijn werken gemaakt met het oog op kunst, waaronder muziek, cinematografische werken en beeldende kunst; creatieve werken vergen creatieve keuzes, waarbij werken die vooral door functionele of technische overwegingen zijn ingegeven niet als creatief gelden; satirische werken beogen samenleving, politiek, bedrijfsleven of publieke figuren te bekritiseren met humoristische technieken; fictieve werken betreffen personen, objecten, plaatsen, entiteiten of gebeurtenissen in een verbeelde maar geloofwaardige setting; vergelijkbare werken delen kernkenmerken met die categorieen zonder er precies in te passen. Punt (122) bepaalt dat het voor de natuurlijke personen die eraan worden blootgesteld evident moet zijn dat de content in een van die categorieen valt, dat de categorieen daarom strikt moeten worden uitgelegd gelet op het lichtere bekendmakingsregime en de belangen van de vrijheid van meningsuiting en van kunst en wetenschap, en dat content waarvan de aard voor het publiek mogelijk onduidelijk of dubbelzinnig is buiten dit lichtere regime valt. Relevante factoren zijn volgens datzelfde punt of de content vormen of stijlen vertoont die kenmerkend zijn voor de categorie, de context waarin de content wordt gepresenteerd, en de verwachtingen van het publiek. Datzelfde punt sluit content uit waarvan de aard uitsluitend informatief of commercieel is en als zodanig herkenbaar is, met nieuwsverslaggeving als voorbeeld, merkt op dat advertenties of documentaires in bepaalde specifieke situaties wel en in andere niet als evident creatief of fictief kunnen gelden omdat de beoordeling per geval plaatsvindt, en bepaalt dat wanneer de deepfake meerdere karakters combineert, bijvoorbeeld informatief en creatief, het informatieve karakter altijd voorgaat en de gewone labelvereisten gelden. Punt (123) benadrukt dat deze deepfakes niet zijn uitgesloten van de verplichting: de gebruiksverantwoordelijke moet de AI-oorsprong of de manipulatie nog steeds bekendmaken, maar mag dat doen op een passende wijze, en moet in elk geval voldoen aan artikel 50 lid 5. Punt (124) bepaalt dat het beroep op de verlichte verplichting geen rechtvaardiging kan zijn om de grondrechten van individuen of de rechten van rechthebbenden op grond van het Unierecht inzake intellectuele eigendom of gegevensbescherming niet te eerbiedigen. Als voorbeelden binnen de categorieen noemt het document films met door AI verjongde bestaande acteurs of digitale replica's van overleden acteurs, door AI gegenereerde muziek in de stijl van bestaande artiesten, en een door AI gemanipuleerde afbeelding van een bestaande politicus in een scene die duidelijk bedoeld is als humoristische kritiek. Buiten de categorieen vallen volgens het document onder meer een door AI gemanipuleerde video in de stijl van een teleshoppingkanaal, door AI gegenereerde beelden van beroemdheden die suggereren dat zij betrokken waren bij activiteiten die nooit hebben plaatsgevonden, en een door AI gemanipuleerde video met een realistische synthetische influencer die uitsluitend de functionaliteiten van een gesponsord product toont.

Commission Guidelines C(2026) 5054 final, sectie 6.1.3, randnummers (119) tot en met (124), en de bijbehorende voorbeeldenlijsten

De gedragscode ondertekenen is vrijwillig, maar niet-tekenen betekent zelf bewijzen

De Q&A van de Commissie over het ondertekenen van de gedragscode transparantie AI-gegenereerde content vermeldt dat ondertekening vrijwillig is en dat het niet ondertekenen ervan geen niet-naleving van de AI-verordening oplevert. Diezelfde Q&A vermeldt dat de code twee delen kent, een deel voor aanbieders over het markeren van door AI gegenereerde of gemanipuleerde content in machineleesbare vorm en de bijbehorende detectiemechanismen, en een deel voor gebruiksverantwoordelijken over de bekendmaking en labeling van deepfakes en van bepaalde door AI gegenereerde of gemanipuleerde tekst over aangelegenheden van algemeen belang. Zij vermeldt verder dat ondertekenaars, na een positieve beoordeling door de Commissie en het AI-Comite, zich op de code kunnen beroepen om naleving van hun verplichtingen onder artikel 50 aan te tonen, ongeacht hun plaats van vestiging, en dat de sluitingsdatum voor opname in de eerste lijst van ondertekenaars 27 juli 2026 om 18:00 uur CEST was, waarbij latere ondertekening mogelijk blijft maar niet op die eerste lijst verschijnt. De richtsnoeren van de Commissie van 20 juli 2026 bepalen in punt (146) dat aanbieders en gebruiksverantwoordelijken binnen het bereik van artikel 50 lid 2 en lid 4 hun naleving kunnen aantonen door zich te houden aan een gedragscode die op grond van artikel 50 lid 7 als toereikend is beoordeeld, en dat zo'n code de verordening en de richtsnoeren niet vervangt maar aanvult als het enige Uniebreed erkende praktische kader daarvoor. Punt (147) bepaalt dat naleving ook via andere passende middelen kan worden aangetoond, dat toezichthouders zich bij ondertekenaars zullen richten op de vraag of zij de code hebben nageleefd en de daarin opgenomen maatregelen hebben uitgevoerd, en dat een opt-out uit onderdelen van de code ertoe leidt dat die aanbieders en gebruiksverantwoordelijken voor dat onderdeel het voordeel van het vergemakkelijkt aantonen verliezen. Punt (148) bepaalt dat wie geen ondertekenaar is, wordt geacht via andere passende middelen aan te tonen hoe hij aan artikel 50 lid 2, lid 4 en lid 5 voldoet en uit te leggen hoe zijn maatregelen naleving waarborgen, bijvoorbeeld door een gapanalyse uit te voeren die de eigen maatregelen vergelijkt met de maatregelen uit een als toereikend beoordeelde code, en dat die partijen waarschijnlijk meer verzoeken om informatie en om toegang zullen ontvangen. Punt (149) bepaalt dat bevoegde autoriteiten toezeggingen die in lijn met een als toereikend beoordeelde code zijn uitgevoerd, kunnen meewegen als verzachtende omstandigheid bij het bepalen van de hoogte van boetes. Punt (150) bepaalt dat de Commissie, als een code niet als toereikend wordt beoordeeld, een uitvoeringshandeling kan vaststellen met gemeenschappelijke regels voor de uitvoering van artikel 50 lid 2, lid 4 en lid 5.

Commission Guidelines C(2026) 5054 final, sectie 8.1, randnummers (146) tot en met (150); Commission Q&A on signing the Code of Practice on Transparency of AI-generated Content (geraadpleegd op 9 augustus 2026)

De gebruiksverantwoordelijke kan niet leunen op de machineleesbare markering van de aanbieder

Punt (117) van de richtsnoeren van 20 juli 2026 bepaalt dat gebruiksverantwoordelijken van AI-systemen die deepfakecontent genereren of manipuleren, duidelijk en onderscheidbaar moeten bekendmaken dat de content kunstmatig is gemaakt of gemanipuleerd, door de output als zodanig te labelen en de kunstmatige oorsprong ervan te vermelden. Volgens datzelfde punt moeten de gehanteerde label- of bekendmakingsmethoden begrijpelijk en waarneembaar zijn voor natuurlijke personen, bijvoorbeeld met zichtbare of hoorbare labels, zonder dat die personen op specifieke technische hulpmiddelen hoeven te vertrouwen of daartoe aparte handelingen moeten verrichten. Het punt sluit uitdrukkelijk af met de vaststelling dat gebruiksverantwoordelijken zich niet kunnen beroepen op de machineleesbare markering die de aanbieder onder artikel 50 lid 2 in de content heeft ingebed, omdat die markeringen niet onmiddellijk duidelijk en onderscheidbaar zijn voor de natuurlijke personen die aan de deepfakecontent worden blootgesteld. Punt (12) voegt daaraan toe dat gebruiksverantwoordelijken in complexe ketens van contentproductie en -distributie evenredige maatregelen moeten nemen om te waarborgen dat het door hen aangebrachte label onder artikel 50 lid 4 daadwerkelijk duidelijk en onderscheidbaar wordt getoond aan het beoogde en voorzienbare publiek op het moment van de eerste blootstelling, bijvoorbeeld via contractuele voorwaarden met distributiepartners en via instellingen en interfaces van de gebruikerservaring. Punt (14) bepaalt dat een rechtspersoon gebruiksverantwoordelijke blijft ook wanneer hij derden zoals opdrachtnemers of freelancers namens hem en onder zijn gezag bij de werking van het systeem betrekt, en dat individuele werknemers die onder diens instructies en toezicht handelen niet als aparte gebruiksverantwoordelijken gelden.

Commission Guidelines C(2026) 5054 final, 20.7.2026, sectie 6.1.2, randnummer (117), en sectie 2.3, randnummers (12) en (14)