AI Act vanaf 2 augustus: waarom een QR-code de AI-markering niet vervangt

De Europese Commissie heeft op 20 juli 2026 haar richtsnoeren over de transparantieverplichtingen op grond van artikel 50 van de AI Act gepubliceerd; de bijbehorende overzichtspagina is voor het laatst bijgewerkt op 29 juli 2026. De verplichtingen gelden in principe vanaf 2 augustus 2026. Voor teams die door AI gegenereerde afbeeldingen, video’s, audio of teksten publiceren, is een technisch onderscheid cruciaal: de machineleesbare markering van de inhoud, de detecteerbaarheid ervan en de zichtbare melding voor mensen zijn afzonderlijke niveaus. Een QR-code kan een vierde niveau voor provenance en toelichting toevoegen. De andere niveaus vervangt hij echter niet automatisch.

Artikel 50 maakt onderscheid tussen aanbieders en gebruiksverantwoordelijken

De tekst van artikel 50 legt verschillende verplichtingen op aan verschillende rollen.

Aanbieders van systemen die synthetische audio-, beeld-, video- of tekstinhoud genereren, moeten ervoor zorgen dat de output machineleesbaar wordt gemarkeerd en als kunstmatig gegenereerd of gemanipuleerd herkenbaar is. De technische oplossing moet – voor zover technisch haalbaar – doeltreffend, interoperabel, robuust en betrouwbaar zijn. Het artikel schrijft daarmee geen specifieke barcode-indeling voor. Het vereist een eigenschap van de gegenereerde inhoud en een passende mogelijkheid om die te detecteren.

Gebruiksverantwoordelijken moeten daarentegen mensen in bepaalde gebruikssituaties informeren: bijvoorbeeld bij emotieherkenning en biometrische categorisering, bij deepfakes en bij bepaalde door AI gegenereerde of gemanipuleerde teksten over zaken van algemeen belang. Deze informatie moet duidelijk en onderscheidend zijn en uiterlijk bij de eerste interactie of blootstelling toegankelijk zijn. Daarnaast gelden de relevante toegankelijkheidseisen.

Een onderneming kan beide rollen tegelijk vervullen. Wie een eigen generatiesysteem exploiteert en de resultaten daarvan zelf publiceert, moet daarom zowel de verplichtingen van de aanbieder als die van de gebruiksverantwoordelijke beoordelen.

Waarom ‘machineleesbaar’ niet simpelweg ‘QR-code’ betekent

Een QR-code is machineleesbaar. Daaruit volgt echter niet dat een QR-code naast een AI-afbeelding al aan de verplichting voor aanbieders voldoet. Artikel 50, lid 2, vereist dat de output van het AI-systeem wordt gemarkeerd en als door AI gegenereerd of gemanipuleerd kan worden gedetecteerd. Een afzonderlijk geplaatst vierkant verwijst doorgaans alleen naar een externe pagina. Als de afbeelding wordt gekopieerd, bijgesneden of zonder begeleidende opmaak verder verspreid, kan de verwijzing verdwijnen terwijl de inhoud ongewijzigd blijft circuleren.

De architectuurconclusie luidt daarom: een externe QR-code is doorgaans een aanvullende provenance-laag, niet de technische markering in de inhoud. Of een specifieke implementatie rechtsconform is, hangt af van het systeem, het uitvoerformaat en de gebruikscontext.

Ook aan de kant van de gebruiksverantwoordelijke volstaat een scanverplichting niet. De FAQ van de Commissie licht voor deepfakes uitdrukkelijk toe dat de openbaarmaking zonder speciale hulpmiddelen of extra handelingen waarneembaar moet zijn. Gebruiksverantwoordelijken kunnen niet uitsluitend vertrouwen op een ingebedde machineleesbare markering. Een melding die pas zichtbaar wordt nadat iemand een QR-code heeft gescand, komt daarom te laat voor de vereiste eerste informatieverstrekking.

Vier niveaus voor een robuuste implementatie

1. Markering in de inhoud

Het eerste niveau hoort thuis in het generatie- of exportproces. Afhankelijk van het medium komen ondertekende metadata, watermerken, cryptografische herkomstbewijzen, fingerprints of combinaties van deze technieken in aanmerking. De richtsnoeren van de Commissie benadrukken twee gekoppelde elementen: markering en detecteerbaarheid. Een markering zonder beschikbare controleprocedure voldoet niet aan het beschreven doel.

De vrijwillige EU-gedragscode voor transparantie rond AI werkt een mogelijke bewijsroute nader uit. Voor online verspreide inhoud in containers voorziet deze in een aanpak met meerdere lagen, met digitaal ondertekende metadata en een onzichtbaar watermerk. Voor vrije tekst gelden andere technische grenzen. De code is vrijwillig; de verplichtingen uit artikel 50 zijn dat niet.

2. Waarneembare melding bij de eerste blootstelling

Het tweede niveau is gericht op mensen. De melding moet verschijnen op de plaats waar de inhoud voor het eerst wordt waargenomen – niet alleen in een algemene privacyverklaring of op een gelinkte subpagina. Afhankelijk van het medium kan dit een zichtbare aanduiding, een gesproken melding of een andere duidelijke en toegankelijke vorm zijn.

Voor redactionele teksten is de uitzondering belangrijk: de FAQ legt uit dat gepubliceerde teksten over zaken van algemeen belang niet hoeven te worden gemarkeerd wanneer ze een substantiële menselijke beoordeling of redactionele controle hebben ondergaan en een natuurlijke of rechtspersoon de redactionele verantwoordelijkheid draagt. Alleen een spelling- of opmaakcontrole is daarvoor niet voldoende.

3. QR-code als provenance- en contextpad

Het derde niveau is optioneel, maar operationeel nuttig. Een QR-code kan vanaf een gedrukt motief, een verpakking, een beursbanner of een presentatie naar een permanente herkomstpagina leiden. Met een dynamische QR-code kan het doel gecontroleerd worden doorontwikkeld zonder het fysieke medium te vervangen.

De doelpagina moet geen algemene claim als ‘AI-Act-conform’ tonen. Controleerbare feiten zijn zinvoller:

unieke asset- en versiekenmerk,
verantwoordelijke organisatie en contactpunt,
gebruikt AI-systeem, voor zover openbaar te maken,
tijdstip van generatie en essentiële bewerkingsstappen,
status van de menselijke of redactionele controle,
aard van de aanwezige markering en toegang tot de detector,
actuele publicatiestatus en aanwijzingen voor correctie of intrekking.

Persoonsgegevens uit prompts, interne modelparameters en vertrouwelijke productiegegevens horen niet op een openbare provenancepagina. Transparantie betekent niet dat bedrijfsgeheimen of persoonsgegevens openbaar moeten worden gemaakt.

4. Intern bewijslogboek

De openbare pagina vervangt geen intern auditlogboek. Voor elke publicatie moet traceerbaar blijven welk bronobject is gegenereerd, welke transformaties hebben plaatsgevonden, welke metadata behouden zijn gebleven en wie de publicatie heeft goedgekeurd. Praktisch zijn onveranderlijke asset-ID’s, hashwaarden van de goedgekeurde bestanden, tijdstempels, versierelaties en vastgelegde controleresultaten.

Een uitvoerbare workflow in zeven stappen

Rollen bepalen: documenteer voor elk systeem wie aanbieder, gebruiksverantwoordelijke of beide is.
Outputtypen inventariseren: behandel afbeeldingen, video, audio, vrije tekst en tekst in containers afzonderlijk.
Markering bij export controleren: zoek niet pas aan het einde van de publicatieketen naar een oplossing.
Transformaties testen: compressie, schaling, bijsnijden, transcodering en uploads naar platforms mogen de markering en detectie niet ongemerkt aantasten.
Melding bij het eerste contact plaatsen: zichtbaar of hoorbaar, begrijpelijk en toegankelijk; de QR-code leidt alleen naar details.
Provenancepagina versiebeheer geven: stabiele URL, actuele feiten en een duidelijke logica voor wijzigingen en intrekking.
Bewijs veiligstellen: leg testresultaten, goedkeuringen, detectieversie en gepubliceerde assetversie gezamenlijk vast.

De overdracht tussen tools is bijzonder kritisch. Een generator kan correct ondertekende metadata leveren die bij de export uit een beeldbewerker of bij het uploaden naar een contentmanagementsysteem wordt verwijderd. Daarom moet niet alleen het bronbestand worden gecontroleerd, maar ook het daadwerkelijk gepubliceerde bestand.

Veelvoorkomende misvattingen

‘De QR-code is toch machineleesbaar.’ Ja, maar vaak markeert hij de drager of de opmaak, niet de AI-output zelf op duurzame wijze.

‘Metadata is altijd voldoende.’ Niet noodzakelijk. Formaten en platforms kunnen metadata verwijderen. De vrijwillige code kiest daarom voor veelgebruikte media vaak voor meerdere markeringslagen.

‘De zichtbare melding kan achter de QR-code staan.’ Voor de eerste blootstelling is dat riskant, omdat mensen eerst een extra handeling zouden moeten uitvoeren.

‘Elke door AI ondersteunde tekst heeft een label nodig.’ Nee. Het toepassingsgebied, standaardbewerking, het doel van publieke informatie en daadwerkelijke menselijke controle en redactionele verantwoordelijkheid moeten genuanceerd worden beoordeeld.

Wat vóór 2 augustus prioriteit moet krijgen

De FAQ van de Commissie noemt een beperkte overgangstermijn uitsluitend voor de markerings- en detectieverplichting van bepaalde systemen die al vóór 2 augustus 2026 op de markt zijn gebracht: daarvoor is 2 december 2026 relevant. Voor de overige verplichtingen is dit geen algemeen uitstel. Inhoud die vóór 2 augustus is gegenereerd, hoeft volgens de FAQ niet met terugwerkende kracht te worden gemarkeerd; vrijwillige markering achteraf wordt echter aanbevolen.

Voor de komende dagen is een grootschalige QR-campagne daarom niet de eerste stap. Prioriteit hebben duidelijkheid over rollen, export- en detectietests, zichtbare meldingen op het daadwerkelijke distributiepunt en een robuust bewijslogboek. Daarna wordt de QR-code wat hij goed kan zijn: een stabiele toegang tot verdiepende en actualiseerbare provenance-informatie.