AI-content produceren binnen de EU vraagt om drie administraties die de meeste contentteams nog niet hebben: welke gegevens naar welk model gaan (AVG), waar elke gepubliceerde tekst vandaan komt (AI Act, artikel 50) en hoe gegenereerd beeld herkenbaar blijft (C2PA). Geen van de drie is ingewikkeld, maar ze moeten er wél zijn voordat een toezichthouder, een klant of je eigen jurist ernaar vraagt. Dit artikel is de checklist die we zelf gebruiken.
1. Data: wat gaat er naar het model
Elke prompt is een verwerking. Voor contentproductie is de vraag niet of je AI mag gebruiken, maar wat je erin stopt.
- Geen persoonsgegevens in prompts. Merkfeiten, productdata, openbare bronnen en je eigen tone-of-voice volstaan voor vrijwel elke tekst. Klantnamen, e-mails, reviews met herleidbare details en supporttickets horen er niet in.
- Verwerkersovereenkomst met elke modelaanbieder. Ook bij een gateway die meerdere modellen achter één API zet: je moet weten welke aanbieders er feitelijk achter zitten en die in je verwerkersregister opnemen.
- Doorgifte buiten de EU geregeld. Amerikaanse aanbieders werken onder het EU-VS Data Privacy Framework of standaardcontractbepalingen. Leg vast welke van de twee geldt; sommige opdrachtgevers eisen daarnaast EU-hosting.
- EU-gehoste modellen waar dat kan. Verschillende aanbieders bieden EU-residentie voor inferentie. Als je het belooft, dwing het dan technisch af: een instelling die de modelkeuze beperkt tot EU-gehoste varianten, en een logboek dat laat zien dat dit ook gebeurde.
- Trainingsgebruik uitgesloten. Zakelijke API's van de grote aanbieders trainen standaard niet op je input; controleer dat en zet het in het contract.
2. Herkomst: waar elke tekst vandaan komt
Artikel 50 lid 4 van de AI Act zondert AI-tekst met menselijke redactie en aantoonbare redactionele verantwoordelijkheid uit van de disclosure-plicht. "Aantoonbaar" is het sleutelwoord. Per gepubliceerde versie wil je vastleggen:
| Veld | Waarom |
|---|---|
| Model-id en modus (live of gesimuleerd) | Welk systeem de tekst maakte; nodig bij een fout of een vraag van een toezichthouder |
| Hash van de instructie | Bewijst welke opdracht is gebruikt zonder de volledige prompt te bewaren |
| Bronnen en claims | Welke feiten uit welke bron kwamen; de basis van een factcheck |
| Reviewer en tijdstip | De menselijke beoordeling waar de uitzondering om vraagt |
| Omvang van de wijzigingen | Onderscheid tussen "gelezen" en "geredigeerd" |
| Disclosure ja/nee | Of de gepubliceerde pagina een AI-vermelding droeg |
Bewaar dit los van het CMS, in een logboek dat je kunt exporteren. Een CSV per site is genoeg; het gaat erom dat het bestaat en niet achteraf is samengesteld.
3. Beeld: C2PA en het niet strippen ervan
Voor beeld, audio en video vraagt de AI Act van aanbieders dat output machineleesbaar gemarkeerd is. C2PA (Coalition for Content Provenance and Authenticity) is de open standaard die daarvoor het meest wordt gebruikt: een ondertekend manifest in het bestand met wie of wat het beeld maakte, welke tool, en welke bewerkingen volgden.
Twee praktische punten. Ten eerste: onderteken gegenereerd beeld op het moment van opslaan, met een eigen certificaat, zodat het manifest ook je organisatie als publicist noemt. Ten tweede, en dat gaat vaker mis: veel CMS'en, beeldoptimalisatie en CDN's strippen metadata bij het verkleinen. Test één beeld van generatie tot live pagina en controleer of het manifest er nog in zit.
4. Disclosure: wat je zegt en waar
Of je een AI-vermelding toont, is deels een plicht (deepfakes, ongeredigeerde tekst over zaken van algemeen belang) en deels een keuze. Regel het op twee plekken.
Een openbare transparantiepagina. Eén pagina, gelinkt vanuit de footer, die in gewone taal zegt: waarvoor je AI gebruikt, wat altijd door een mens wordt beoordeeld, welke gegevens nooit naar een model gaan, hoe beeld wordt gemarkeerd, en hoe iemand een fout kan melden. Toezichthouders en klanten lezen liever één eerlijke pagina dan een juridische bijlage.
Een blok op de pagina zelf, waar je daarvoor kiest. Een korte zin onder de tekst, met een link naar de transparantiepagina. Zet het per site of per contenttype aan; gezondheid, geld en recht zijn de categorieën waar we het altijd aanraden.
5. Chatbots en agents
Zet je een chatbot op je site, dan geldt artikel 50 lid 1: bezoekers moeten weten dat ze met een AI praten. Een zichtbare naam als "AI-assistent" en een eerste bericht dat het zegt, volstaan. Beperk daarnaast wat de bot mag beloven: prijzen, voorraad en juridische toezeggingen alleen uit gecontroleerde bronnen, en een logboek van gesprekken waarin persoonsgegevens niet langer worden bewaard dan nodig.
6. De checklist
Loop deze zes punten na; alles wat je niet met een document of een export kunt aantonen, telt niet.
- Verwerkersregister bevat elke modelaanbieder, met grondslag voor doorgifte.
- Prompts bevatten geen persoonsgegevens; dit staat in een werkinstructie.
- Per gepubliceerde versie: model, prompt-hash, reviewer, wijzigingen, disclosure.
- Gegenereerd beeld draagt een C2PA-manifest tot en met de live pagina.
- Een openbare transparantiepagina bestaat en is gelinkt.
- Chatbots noemen zichzelf AI en beloven niets buiten gecontroleerde bronnen.
Conclusie
Compliance voor AI-content in de EU is administratie, geen rem. Wie de herkomst van elke pagina vastlegt, persoonsgegevens buiten prompts houdt en beeld ondertekent, voldoet aan de AI Act en werkt tegelijk nauwkeuriger. Onze eigen invulling staat op de AI-transparantiepagina; hoe de herkomst per pagina wordt vastgelegd en geëxporteerd lees je bij AI-contentcreatie in Traze.