De AI Act transparantieverplichtingen vormen het concrete nalevingsvraagstuk waarmee compliance officers en IT-beslissers in 2026 worden geconfronteerd: welke AI-systemen moet je openbaar maken, hoe documenteer je hun werking, en waarom maakt de locatie van je AI-infrastructuur het verschil tussen aantoonbare naleving en een papieren belofte?
Artikel 50 AI Act: wat geldt er vanaf augustus 2026?
Artikel 50 van Verordening (EU) 2024/1689 (de AI Act) treedt in werking op 2 augustus 2026 en richt zich op transparantie richting eindgebruikers. Aanbieders en inzetters van AI-systemen die synthetische tekst, beeld, audio of video genereren, of die mensachtige gespreksinteractie simuleren, moeten gebruikers op begrijpelijke en tijdige wijze informeren over de AI-aard van het systeem.
De verplichting geldt niet alleen voor de ontwikkelaar van het model, maar ook voor de organisatie die het systeem inzet. Een gemeente die een AI-chatbot voor burgercontact inzet, of een zorginstelling die een beslissingsondersteunend systeem gebruikt, valt als deployer onder de reikwijdte van dit artikel. De keuze voor een cloudgebaseerde AI-dienst maakt dit niet eenvoudiger: de deployer blijft verantwoordelijk voor de naleving, ook als de technische mogelijkheden om gebruikers te informeren afhankelijk zijn van wat de cloudaanbieder beschikbaar stelt.
On-premise versus cloud: een vergelijking op nalevingsdimensies
De keuze voor lokale of cloudgebaseerde AI raakt direct aan de uitvoerbaarheid van de AI Act-verplichtingen. Onderstaande tabel vergelijkt de twee modellen op de dimensies die voor compliance het meest relevant zijn.
| Nalevingsdimensie | On-premise / soevereine AI | Cloudgebaseerde AI (niet-EU aanbieder) |
|---|---|---|
| Logretentie en audit-trail (art. 12 AI Act) | Volledig intern beheerbaar, retentieperiode eigenstandig bepaalbaar | Afhankelijk van aanbiedersbeleid, exportformaten en contractuele SLA |
| Transparantieverplichting art. 50 | Eigen implementatie, aanpasbaar aan context | Beperkt tot wat aanbieder technisch biedt; deployer blijft eindverantwoordelijk |
| Jurisdictionele blootstelling (CLOUD Act) | Geen: data verlaat de eigen infrastructuur niet | Hoog: Amerikaanse wet staat toegang door overheid toe zonder EU-rechtsbescherming |
| AVG-grondslag geautomatiseerde besluitvorming | Volledige controle over verwerkingsregister en DPIA | Verwerkingslocatie en subverwerkers buiten eigen beheer |
| Conformiteitsbeoordeling hoog-risico (art. 43) | Modelversie en trainingsdata intern gedocumenteerd | Afhankelijk van openheid aanbieder over modelwijzigingen |
Meer dan 70 procent van de Europese overheden en publieke instellingen maakt gebruik van clouddiensten van Amerikaanse hyperscalers (ENISA Cloud Cybersecurity Market Analysis, 2023). Dit betekent dat het overgrote deel van de publieke sector de bovenbeschreven nalevingsrisico’s op dit moment actief draagt, zonder dat dit altijd expliciet is beoordeeld in het licht van de AI Act.
De soevereiniteitsdimensie: wat de AI Act bewust openliet
De AI Act bevat geen expliciete bepalingen over datasouvereiniteit of de geografische locatie van AI-infrastructuur. Dit is een bewuste politieke keuze geweest in de onderhandelingen, waarbij digitale soevereiniteit als beleidsdoel werd doorverwezen naar parallelle initiatieven zoals de Europese Datastrategie en de Cyber Resilience Act. Toch heeft deze lacune praktische consequenties.
In beleidsdiscussies over cloudsoevereiniteit wordt veelvuldig verwezen naar een gelaagd model van soevereiniteitsniveaus, vergelijkbaar met de CADA-architectuurlogica (Cloud Act Data Architecture): van volledig afhankelijk van een niet-EU-aanbieder, via een EU-beheerd maar gehost model, tot volledig on-premise of Europese soevereine cloud. De AI Act-verplichtingen rond logging, menselijk toezicht en conformiteitsbeoordeling zijn bij de hogere soevereiniteitsniveaus aantoonbaar eenvoudiger te borgen, juist omdat de organisatie volledige controle heeft over de technische omgeving waarin het model opereert.
Het AI Omnibus-besluit van 27 juli 2026
Het AI Omnibus-besluit, in werking getreden op 27 juli 2026, verduidelijkt en verscherpt de verplichtingen voor deployers van hoog-risico AI-systemen in gereguleerde sectoren, waaronder financiële dienstverlening, gezondheidszorg, rechtsbijstand en overheid. De kern van de aanscherping betreft drie elementen: uitgebreide loggingverplichtingen over de volledige operationele levenscyclus van het systeem, verplichte herbeoordeling van conformiteit bij substantiële modelwijzigingen door de aanbieder, en duidelijkere aansprakelijkheidsverdeling tussen aanbieder en deployer bij incidenten.
Voor organisaties die gebruik maken van GPAI-modellen (General Purpose AI) van externe aanbieders is de herbeoordeling bij modelwijzigingen bijzonder relevant. Grote taalmodellen worden frequent bijgewerkt, soms zonder expliciete communicatie richting deployers. Wie een hoog-risico-toepassing bouwt op een GPAI-fundament, moet contractueel borgen dat modelwijzigingen tijdig gemeld worden en dat de conformiteitsbeoordeling op het niveau van de eigen toepassing opnieuw wordt doorlopen.
GPAI-modellen: documentatie en logging in de praktijk
GPAI-modellen met een trainingsomvang van meer dan 10^25 FLOPS aan rekenwerk worden door de AI Act aangemerkt als modellen met systeemrisico en vallen onder verzwaarde verplichtingen (Verordening (EU) 2024/1689, artikel 51). Dit betreft de grootste frontier-modellen van aanbieders als OpenAI, Google en Anthropic. Het EU AI Office houdt toezicht op deze modellen en heeft in 2025 een GPAI Code of Practice gepubliceerd als kader voor naleving.
Voor organisaties die deze modellen inzetten, gelden documentatieverplichtingen op twee niveaus: de aanbieder moet technische documentatie en transparantierapporten beschikbaar stellen, en de deployer moet de eigen inzet, inclusief het doel, de risicoanalyse en de loggingopzet, vastleggen in een intern register. On-premise hosting van open-source of gelicentieerde GPAI-modellen biedt hier een voordeel: de volledige audit-trail van inferentieverzoeken, outputdata en gebruikersinteracties blijft binnen de eigen omgeving en hoeft niet te worden opgevraagd bij een externe aanbieder.
Het aantal meldingen van datalekken bij toezichthouders in de EU steeg in 2023 met 28 procent ten opzichte van 2022 (ENISA Threat Landscape 2023). Bij cloudgebaseerde AI-diensten is een datalek bij de aanbieder ook een incident voor de deployer, met alle meldplichten van dien onder zowel de AVG als artikel 73 van de AI Act.
AVG en AI Act samenvoegen: één beleidskader voor compliance officers
De EDPB/EDPS Joint Opinion 1/2026 stelt expliciet: “The combination of the AI Act and GDPR creates a layered accountability framework; organisations that cannot demonstrate control over where their AI processes data will struggle to satisfy either regime.” Deze gezamenlijke opinie van de Europese Gegevensbeschermingsraad en de Europese Toezichthouder voor gegevensbescherming maakt duidelijk dat de twee regimes cumulatief gelden en niet alternatief.
Artikel 22 AVG verbiedt volledig geautomatiseerde besluitvorming met rechtsgevolgen zonder uitdrukkelijke toestemming of contractuele noodzaak. De hoog-risico-bepalingen van de AI Act voegen daaraan toe dat menselijk toezicht structureel geborgd moet zijn en dat betrokkenen het recht op uitleg over beslissingen hebben. Compliance officers die deze twee kaders afzonderlijk beheren, lopen het risico tegenstrijdige beleidsdocumenten te produceren. De praktische oplossing is een geïntegreerde AI-governancematrix, waarin per AI-toepassing wordt vastgelegd: de juridische grondslag (AVG), de risicocategorie (AI Act), de logging- en transparantie-eisen (artikel 50, artikel 12), en de procedure voor menselijk toezicht (artikel 14 AI Act).
Cybersecurity en AI Action Plan 2026: gevolgen voor frontier-AI-afnemers
Het EU Cybersecurity en AI Action Plan 2026, gepubliceerd door de Europese Commissie, richt zich specifiek op de beveiligingsrisico’s die samenhangen met het gebruik van frontier-AI-diensten van niet-EU-aanbieders. Het actieplan stelt dat organisaties in kritieke infrastructuur en gereguleerde sectoren een expliciete risicoanalyse moeten uitvoeren voor elk AI-systeem dat persoonsgegevens verwerkt of geautomatiseerde beslissingen ondersteunt, inclusief een beoordeling van de jurisdictionele blootstelling van de aanbieder.
Concreet betekent dit dat een organisatie die gebruikmaakt van een AI-dienst van een aanbieder die onder de Amerikaanse CLOUD Act valt, moet documenteren welke data via dat systeem verwerkt wordt, welke risico’s dat meebrengt, en welke mitigerende maatregelen zijn getroffen. Het actieplan verbindt dit expliciet aan de NIS-2-vereisten voor incidentrespons en aan de AI Act-vereisten voor hoog-risico-systemen. Organisaties die geen antwoord kunnen geven op de vraag “waar draait ons AI-model en welke wet is van toepassing op de data die het verwerkt?”, voldoen feitelijk niet aan de gecombineerde verwachtingen van beide kaders.
Het EU AI Office, als centrale toezichthouder voor de AI Act op Europees niveau, heeft aangegeven dat naleving van de transparantieverplichtingen door zijn kantoor actief gemonitord zal worden via de meldplicht voor ernstige incidenten en via periodieke toezichtsonderzoeken bij deployers in gereguleerde sectoren. “Transparency is not a bureaucratic checkbox; it is the foundation on which trust in AI systems must be built across the single market,” aldus het EU AI Office in zijn toelichting op de GPAI Code of Practice (2025).
FAQ: AI Act transparantieverplichtingen en soevereine AI
Wanneer gaan de transparantieverplichtingen van artikel 50 AI Act precies in?
Artikel 50 is van toepassing vanaf 2 augustus 2026. Aanbieders van systemen die synthetische content genereren of mensachtige interactie simuleren, moeten gebruikers op dat moment actief en begrijpelijk informeren over de AI-aard van het systeem.
Wat verandert het AI Omnibus-besluit van 27 juli 2026 concreet voor hoog-risico-AI-gebruikers?
Het AI Omnibus-besluit verduidelijkt en aanscherpt de verplichtingen voor deployers van hoog-risico AI-systemen in gereguleerde sectoren, waaronder uitgebreide logging over de volledige levenscyclus, verplichte conformiteitsbeoordelingen en herbeoordeling bij substantiële modelwijzigingen.
Waarom borgt on-premise AI-hosting de loggingverplichtingen beter dan cloudgebaseerde AI?
Bij on-premise hosting blijft de volledige audit-trail intern en onder eigen beheer. Bij cloudgebaseerde AI zijn organisaties afhankelijk van de exportmogelijkheden en het retentiebeleid van de aanbieder, die bovendien onderworpen kan zijn aan buitenlandse juridische verzoeken via wetten als de CLOUD Act.
Hoe verbindt de EDPB/EDPS Joint Opinion 1/2026 de AI Act met de AVG?
De Joint Opinion 1/2026 stelt dat geautomatiseerde besluitvorming onder artikel 22 AVG en de hoog-risico-bepalingen van de AI Act cumulatief gelden. Organisaties moeten één geïntegreerd kader hanteren, waarbij de AI Act-vereisten voor transparantie en menselijk toezicht de AVG-rechten op uitleg versterken en niet vervangen.
Wat betekent het Cybersecurity en AI Action Plan 2026 voor organisaties die AI-diensten van niet-EU-aanbieders afnemen?
Het actieplan verplicht organisaties in gereguleerde sectoren en kritieke infrastructuur tot een expliciete risicoanalyse van de jurisdictionele blootstelling van hun AI-aanbieders. Dit moet worden gedocumenteerd en verbonden aan de NIS-2-incidentrespons en de AI Act-conformiteitsbeoordeling voor hoog-risico-systemen.
