Vandaag gaan de transparantieverplichtingen uit artikel 50 in. Het zware deel van de wet schoof juist door naar december 2027. Ik zet de twee uit elkaar, zodat je weet wat je vandaag moet regelen en wat kan wachten.
Artikel 50 gaat over transparantie. Het raakt bijna elk bedrijf dat AI richting klanten of publiek inzet, en het staat los van de zware hoog-risico-regels.
Artikel 50, lid 4 verplicht disclosure bij AI-gegenereerde tekst alleen wanneer die wordt gepubliceerd om het publiek te informeren over aangelegenheden van algemeen belang. De plicht vervalt bovendien wanneer de tekst menselijke controle of redactionele toetsing heeft ondergaan en iemand redactionele verantwoordelijkheid draagt.
Een gewone commerciële blog valt er dus niet onder. Hetzelfde geldt bij beeld: de deepfake-plicht slaat op beeld, audio en video dat lijkt op bestaande personen, voorwerpen, plaatsen of gebeurtenissen en ten onrechte authentiek zou lijken. Een abstracte illustratie of een diagram valt er niet onder.
Verordening (EU) 2026/1744, de Digital Omnibus on AI, is aangenomen op 8 juli 2026 en in werking sinds 27 juli 2026. Daarmee zijn de nieuwe datums geen verwachting meer maar geldend recht.
Hoog-risico Annex III
2 december 2027
was 2 augustus 2026
Hoog-risico Annex I
2 augustus 2028
was 2 augustus 2027
Regulatory sandboxes
2 augustus 2027
was 2 augustus 2026
Veel Nederlandse bronnen tonen nog steeds 2 augustus 2026 voor hoog-risico. Zelfs het Algoritmekader van de rijksoverheid. Krijg je advies met die datum erin, dan weet je dat het stuk van vóór de Omnibus komt. Controleer de datum voordat je erop plant.
De AI Act legt zwaardere plichten bij wie een systeem aanbiedt dan bij wie het gebruikt. De meeste MKB-bedrijven zitten aan de gebruikerskant. Dat is lichter, maar niet leeg.
Let op de grens ertussen. Zet je een ingekocht systeem onder je eigen naam in de markt, of gebruik je het voor iets anders dan waarvoor het bedoeld is, dan kun je alsnog als aanbieder worden aangemerkt. Dan schuift het zware pakket naar jou.
De AI-geletterdheidsplicht geldt al sinds 2 februari 2025. Wat vandaag verandert, is de handhaving. Iedereen die namens jou met AI werkt, moet er genoeg van begrijpen om het verantwoord te gebruiken.
De Europese Commissie beschrijft vier stappen. Ze zijn niet bindend, maar ze vormen wel de meetlat waarlangs een toezichthouder gaat kijken.
Eén sessie per team met een verslag erbij, datum en deelnemers erin, en je hebt het aantoonbaar geregeld. Artikel 4 heeft geen eigen boete. De doorwerking is indirect: een toezichthouder weegt het mee als je ergens anders de fout in gaat.
Artikel 99 noemt twee plafonds. Tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet voor verboden praktijken. Tot 15 miljoen euro of 3 procent voor de deployer- en transparantieverplichtingen.
Nu de nuance die vrijwel niemand erbij zet. Artikel 99, lid 6 bepaalt dat voor het MKB het laagste van beide bedragen geldt, niet het hoogste. Dat draait de rekensom om. De cijfers die door je tijdlijn scrollen zijn het plafond voor grote spelers.
Ik verkoop je dus geen angst met de verkeerde bedragen. De echte reden om dit te regelen is een andere: een klant die ontdekt dat hij met een verstopte bot praatte, komt niet terug.
De Code of Practice on Transparency of AI-Generated Content is definitief sinds 10 juni 2026. De Autoriteit Persoonsgegevens adviseert Nederlandse organisaties actief om te ondertekenen. Wie tekent, kan zich erop beroepen om aan te tonen dat hij artikel 50 naleeft.
Het kost je een handtekening en een plek in je dossier. Daarmee heb je een document dat je aan een toezichthouder of een klant kunt laten zien. Ik kom het in de praktijk bijna nergens tegen.
Er staat vandaag geen enkele geharmoniseerde norm voor de AI Act in het Publicatieblad. Niets geeft dus een conformiteitsvermoeden. ISO/IEC 42001 is certificeerbaar en nuttig om je proces te ordenen, maar geeft geen presumption of conformity. Zegt een aanbieder dat hij je AI Act-compliant maakt via norm X, vraag dan naar die publicatie. Die is er niet.
Ik heb tien jaar in de financiële sector gewerkt, onder toezicht van AFM en DNB. Met ISO-normen, ISAE-verklaringen en audit trails als dagelijks werk. Daar leerde ik dat de software zelden het probleem is. Het probleem is het gebruik dat niemand heeft vastgelegd.
Die wereld beweegt inmiddels dezelfde kant op. In “12 Building blocks for controlled use of auditing tools” (december 2025) noemt de AFM letterlijk ISO 27001, SOC 2 en ISAE 3402 als instrument om AI-leveranciers te beoordelen. Dat is precies de taal waarin ik gewend ben te werken.
Wat dat oplevert, laat ik liever zien dan beweren. Bij een Nederlandse e-commercegroep bouwde ik een governance-laag op een bestaand AI-proces. Van de 124 klantreviews die daarna door de volledige keten liepen, belandden er 124 van de 124 volledig in de audit trail. De baseline daarvoor was 0 procent.
Dat is geen compliance-truc. Dat is weten wat je systeem heeft gedaan, op het moment dat iemand het vraagt.
Per punt staat wat het is, of het vandaag geldt of later, en wat je concreet doet. 11 punten gelden vandaag, 4 pas vanaf december 2027. Geen juridisch jargon, wel de artikelnummers erbij zodat je het kunt nazoeken.
Ik ben geen jurist. Deze checklist is de praktische vertaling van de verordening zoals ik hem in mijn eigen werk toepas, en vervangt geen juridisch advies.
Je krijgt de 17 punten direct in je inbox, met per punt de toelichting en de actie.
De twee tijdlijnen uit elkaar getrokken, met de drie checks voor je eigen bedrijf.
Lees het stuk →De gebruikerskant: menselijk toezicht, logs bewaren, en binnen het beoogde doel blijven.
Lees het stuk →De risico-indeling in vier lagen en welke MKB-toepassingen waar landen.
Lees het stuk →De hoog-risico-grens uitgewerkt in één sector, met de datum die er nu voor geldt.
Lees het stuk →De privacylaag onder de AI Act. Twee regimes die tegelijk gelden en elkaar niet vervangen.
Lees het stuk →Een Nederlandse casus bij de verboden praktijken en de meldplicht bij biometrie.
Lees het stuk →Hoe die vastlegging er in de praktijk uitziet, en waarom chat-logs niet volstaan.
Lees het stuk →De vragen die ik het vaakst krijg van MKB-ondernemers, met de stand van zaken op 2 augustus 2026.
In een kennismakingsgesprek loop ik met je langs wat je inzet, wat daarvan vandaag onder artikel 50 valt, en wat je aan je leverancier moet vragen. Geen offerte-pitch, wel een concreet beeld van waar je staat.
Plan een gesprek