Blog / De AVG en de AI Act

AI Act: ben jij de aanbieder of de gebruiksverantwoordelijke van de chatbot op je website?

Met de chatbot van een leverancier op je site ben je normaal gebruiksverantwoordelijke; de leverancier is aanbieder en moet hem zo ontwerpen dat mensen horen dat ze met een AI praten. Bouw je hem zelf, dan ben jij aanbieder, en verkoop je die van een ander onder je eigen naam, waarschijnlijk ook.

Door ChatterLab19 min leestijd

Algemene informatie, geen juridisch advies. Wetten en richtsnoeren veranderen, dus kijk naar de datum bovenaan en vraag je eigen adviseur wat voor jouw situatie geldt.

Het korte antwoord, en hoe zeker het is

De Europese AI-verordening (AI Act) verdeelt de rollen naar wat een bedrijf doet, niet naar wat er in het contract staat. Aanbieder is wie een AI-systeem ontwikkelt of laat ontwikkelen en het in de handel brengt of in gebruik stelt "onder de eigen naam of merk" (artikel 3, punt 3). Gebruiksverantwoordelijke is wie een AI-systeem "onder eigen verantwoordelijkheid" gebruikt voor zijn werk (artikel 3, punt 4).

Voor een chatbot op een website verdeelt dat de plichten zo:

  • Mensen laten weten dat ze met een AI praten (artikel 50, lid 1) is een plicht van de aanbieder, en een ontwerpplicht: het systeem moet zo gebouwd zijn dat mensen het te horen krijgen.
  • De eigen plichten van de gebruiksverantwoordelijke in artikel 50 gaan over emotieherkenning, biometrische categorisering, deepfakes en AI-tekst die wordt gepubliceerd om het publiek te informeren. Een gewone klantenservicechatbot doet geen van die dingen.
  • Beide rollen moeten werken aan AI-geletterdheid (artikel 4).

Op 25 oktober 2026 staat in de tekst vast wat de definities zijn, tot wie artikel 50, lid 1, zich richt, en dat de regel over naam of merk in artikel 25 alleen geldt voor systemen met een hoog risico. Niet vast staat of je logo op de chatbot van een ander je tot aanbieder maakt: de richtsnoeren van de Europese Commissie over artikel 50 gaan niet in op white label, en zeggen zelf dat ze niet bindend zijn. De Commissie keurde de inhoud ervan op 20 juli 2026 goed en stelt ze formeel vast zodra alle taalversies klaar zijn; pas dan gelden ze, schrijft ze. Op 25 oktober 2026 bestaan ze alleen in het Engels. De rest van artikel 50 lees je in ons overzicht van de AI Act voor websitechatbots.

Aanbieder, gebruiksverantwoordelijke en de andere rollen uit artikel 3

RolArtikel 3Wanneer je het bentVoorbeeld bij chatbots
Aanbiederpunt 3Je ontwikkelt een AI-systeem of laat het ontwikkelen, en brengt het in de handel of stelt het in gebruik onder je eigen naam of merk, betaald of gratisDe leverancier van de chatbotsoftware; een bedrijf dat zijn eigen chatbot bouwt
Gebruiksverantwoordelijkepunt 4Je gebruikt een AI-systeem onder eigen verantwoordelijkheid, behalve voor zuiver persoonlijk gebruikHet bedrijf op wiens website de chatbot antwoordt
Distributeurpunt 7Je biedt een AI-systeem aan op de markt van de Unie zonder er aanbieder of importeur van te zijnEen wederverkoper die het product van een leverancier onder de naam van die leverancier doorverkoopt

In de handel brengen is het voor het eerst op de markt van de Unie aanbieden van een systeem; in gebruik stellen is de levering voor het eerste gebruik aan de gebruiksverantwoordelijke of voor eigen gebruik (artikel 3, punten 9 en 11). Wat die verantwoordelijkheid inhoudt, legt de Commissie uit: je neemt de beslissing om het systeem in te zetten en bepaalt hoe het wordt gebruikt; technische controle is niet nodig (richtsnoeren, punt 12). Een bedrijf blijft gebruiksverantwoordelijke als een bureau of freelancer de chatbot voor hem beheert, onder zijn verantwoordelijkheid en controle (punt 14). Eén bedrijf kan meerdere rollen tegelijk hebben (overweging 83), en artikel 99 beboet "operatoren", de verzamelnaam voor al die rollen (artikel 3, punt 8).

Dat zijn rollen uit de AI Act. De AVG (GDPR) stelt een andere vraag: wie het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt (artikel 4, punt 7, AVG). Een bureau kan dus onder de AVG de verwerker van zijn klant zijn en onder de AI Act tegelijk aanbieder. Hoe die AVG-keten bij ChatterLab loopt, staat in Gegevens en privacy.

Wat elke rol moet doen bij een websitechatbot

RegelVoor wieWat het betekent voor een websitechatbotGeldt vanaf
Artikel 50, lid 1: zeggen dat het een AI isAanbiederOntwerp de chat zo dat mensen het uiterlijk bij de eerste interactie helder te horen krijgen (artikel 50, lid 5), tenzij het voor een normaal geïnformeerde bezoeker al duidelijk is. De richtsnoeren noemen chatbots voor klantenservice uitdrukkelijk, en helpdeskchatbots als geval waarin het niet vanzelf spreekt2 augustus 2026
Artikel 50, lid 2: machineleesbare markeringAanbieder van een systeem dat tekst, beeld, audio of video genereertMarkeer de output in een machineleesbaar formaat en maak hem detecteerbaar als door AI gegenereerd; de richtsnoeren eisen allebei2 augustus 2026; 2 december 2026 voor systemen die al vóór die datum in de handel waren
Artikel 50, leden 3 en 4GebruiksverantwoordelijkeEmotieherkenning, biometrische categorisering, deepfakes en AI-tekst die wordt gepubliceerd om het publiek te informeren over aangelegenheden van algemeen belang. Een antwoord aan één bezoeker is geen publicatie (het voorbeeld uit de richtsnoeren: een nieuwssamenvatting die alleen de vrager te zien krijgt)2 augustus 2026
Artikel 4: AI-geletterdheidAanbieder en gebruiksverantwoordelijkeNeem maatregelen die de AI-geletterdheid ondersteunen van je personeel en van anderen die het systeem namens jou gebruiken; een bepaald niveau hoef je niet te waarborgen2 februari 2025; huidige tekst sinds 27 juli 2026
Artikel 5: verboden praktijkenAanbieder en gebruiksverantwoordelijkeManipulerend of uitbuitend gebruik is verboden, wie het systeem ook gebruikt2 februari 2025
Artikelen 25 en 26Alleen systemen met een hoog risicoAlleen van belang als de bot mensen beoordeelt, bijvoorbeeld sollicitanten selecteert2 december 2027 voor de toepassingen uit bijlage III

De Digitale omnibus inzake AI, Verordening (EU) 2026/1744, verschenen in het Publicatieblad van 24 juli 2026, gaf de markering een overgangstermijn van vier maanden, schoof de start van de regels voor hoog risico op en herschreef artikel 4. De plicht om mensen te vertellen dat ze met een AI praten, werd niet uitgesteld.

Voor chattekst spreekt de praktijkcode voor transparantie van AI-gegenereerde inhoud (de Code of Practice on Transparency of AI-generated Content, gepubliceerd op 10 juni 2026 en door de Commissie en de AI-board toereikend bevonden) van "free-form text": tekst die geen metadata kan meedragen. Daarvoor beschrijft de code een onzichtbaar watermerk, behalve voor zeer korte tekst, voorlopig minder dan 200 tokens. De code is vrijwillig: een aanbieder die hem niet ondertekent, moet op een andere manier aantonen dat zijn markering aan artikel 50, lid 2, voldoet (richtsnoeren, punt 148).

Voor de gebruiksverantwoordelijke van een gewone websitechatbot blijft zo een kort lijstje over: AI-geletterdheid, geen verboden gebruik en geen gebruik met een hoog risico zonder de plichten die daarbij horen. In de praktijk laat je ook de melding van de aanbieder met rust: niet afdekken, niet wegwerken met je eigen opmaak en de bot geen menselijke persona geven die de melding tegenspreekt. Mensachtige voorstellingen die gebruikers kunnen misleiden, rekenen de richtsnoeren tot de signalen die op zichzelf niet aan de plicht voldoen (punt 38). Welke tekst werkt, lees je in voorbeelden van een AI-melding voor je chatbot. Consumentenrecht en de informatieplichten van de AVG gelden er gewoon naast (punten 50 en 52).

Beslistabel: welke rol heb jij waarschijnlijk

"Vast" betekent dat de definities uit de AI Act het beantwoorden en de voorbeelden van de Commissie dat bevestigen. "Inschatting" betekent een beredeneerde lezing die een toezichthouder of rechter anders kan zien.

Jouw situatieWaarschijnlijke rolHoe zekerWat je doet
Je plaatst de widget van een leverancier en zijn naam blijft zichtbaarJij: gebruiksverantwoordelijke. Leverancier: aanbiederVast in de kern: het voorbeeld van de Commissie van een chatbot die onder de naam van de leverancier wordt aangeboden aan bedrijven die hem gebruiken zoals hij isControleer dat de melding elk gesprek opent in de talen van je bezoekers en dat niets op je pagina hem afdekt; licht de medewerkers in die de bot beheren
Dezelfde widget onder je eigen naam en logo, zonder de badge van de leverancierWaarschijnlijk nog steeds gebruiksverantwoordelijke; de leverancier blijft aanbiederInschatting: een huisstijl is geen ontwikkeling, en de AI Act noch de richtsnoeren noemen white label; letterlijk gelezen wijst het overzicht van de Bundesnetzagentur de andere kant opZoals hierboven, plus een schriftelijke toezegging van de leverancier dat melding en markering aan blijven, wat je ook instelt
Een bureau verkoopt de chatbot van een platform door onder de naam van het platformBureau: waarschijnlijk distributeur, of gewoon dienstverlener. Klant: gebruiksverantwoordelijke. Platform: aanbiederInschatting; de definitie van distributeur pastArtikel 50 noemt alleen aanbieders en gebruiksverantwoordelijken. Beloof in je contract dat je niet aan de melding komt
Een bureau verkoopt de chatbot als eigen product, onder eigen naam en domeinBureau: waarschijnlijk aanbieder van wat het verkoopt. Platform: aanbieder van zijn eigen systeem. Klant: gebruiksverantwoordelijkeInschatting, maar de definitie past nauw: een systeem dat je liet ontwikkelen en onder je eigen naam in de handel brengtGedraag je als aanbieder: zorg dat geen klant de melding kan uitzetten, leg vast hoe melding en markering werken en laat het platform schriftelijk toezeggen dat het beide bouwt en onderhoudt
Een bureau bouwt een chatbot voor één klant, onder de naam van die klantKlant: gebruiksverantwoordelijke, en mogelijk aanbieder van een systeem dat hij liet ontwikkelen. Bureau en platform: de aanbiederskantOnbeslistSpreek schriftelijk af wie de plichten van de aanbieder draagt en wie de melding na elke wijziging controleert
Je bouwt de chatbot zelf, op de API van een model of op een model dat je zelf bijtraint of hostJij: aanbieder en gebruiksverantwoordelijke. De leverancier van het model: meestal aanbieder van een AI-model voor algemene doeleinden, met eigen regelsVast voor de chatbot: het voorbeeld uit de richtsnoeren van een chatbot die intern is ontwikkeld en onder eigen naam wordt gebruikt. Plichten voor een model dat je aanpast, vallen buiten dit artikelBouw de melding en de machineleesbare markering zelf
Je medewerkers gebruiken een interne assistent van een leverancier, voor hr-beleid of IT-hulpJij: gebruiksverantwoordelijke. Leverancier: aanbiederVast voor de rol. Volgens de richtsnoeren is het bij een assistent voor opgeleid, AI-geletterd personeel duidelijk dat het om AI gaat, dus de melding is misschien niet eens nodigAI-geletterdheid voor de gebruikers; geen beslissingen over werknemers, want bijlage III maakt die hoog risico

Wat het antwoord verandert, en waarom white label de lastige zaak is

Artikel 25 noemt drie situaties waarin een distributeur, importeur, gebruiksverantwoordelijke of andere derde aanbieder wordt: je zet je naam of merk op een systeem dat al in de handel is, je brengt een substantiële wijziging aan, of je wijzigt het beoogde doel. Waar het om draait, staat in de eerste zin: het artikel gaat over AI-systemen met een hoog risico, waarvan de regels na de Digitale omnibus op zijn vroegst vanaf 2 december 2027 gelden. Sommige samenvattingen laten "hoog risico" weg bij de eerste twee gevallen; het overzicht van rollen en plichten van de KI-Service Desk van de Duitse Bundesnetzagentur doet dat in zijn opsomming, al noemt het de voorwaarde verderop wel. Lees het artikel zelf.

Voor een chatbot zonder hoog risico beslist artikel 3, punt 3, en dat stelt twee voorwaarden: je ontwikkelt het systeem of laat het ontwikkelen, en je brengt het onder je eigen naam of merk in de handel of stelt het zo in gebruik. Een logo voldoet hooguit aan de tweede. De voorbeelden van de Commissie (richtsnoeren, punt 11):

  • een bedrijf dat een chatbot onder eigen naam aanbiedt aan bedrijven die hem gebruiken zonder aanpassingen of extra onderdelen, is de aanbieder;
  • een organisatie die intern een chatbot ontwikkelt en hem onder eigen naam gebruikt, is de aanbieder;
  • een bedrijf dat een bestaand generatief systeem aanpast, bijvoorbeeld met nieuwe trainingsdata, en het onder eigen naam in gebruik stelt, wordt aanbieder van het nieuwe systeem; de oorspronkelijke aanbieder blijft verantwoordelijk voor het oorspronkelijke.

White label zit tussen het eerste en het derde voorbeeld in, en wie online een antwoord zoekt, vindt er twee: volgens de ene bron word je aanbieder zodra je merk op de bot staat, volgens de andere blijf je gebruiksverantwoordelijke als je de chatbot van een leverancier aanzet, hoe hij ook heet. Letterlijk gelezen steunt het overzicht van de Bundesnetzagentur de eerste: daar is aanbieder wie het systeem onder zijn eigen naam of merk verkoopt of gebruikt. De AI Act en de richtsnoeren beslissen het niet. Onze lezing, een inschatting en geen recht:

  • Instellen is gebruiken. Bronnen kiezen, instructies schrijven en een naam en kleuren instellen: zo gebruik je een configureerbaar product. Wie alleen dat doet, is hoogstwaarschijnlijk nog gebruiksverantwoordelijke, ook onder eigen merk.
  • Onder je eigen merk verkopen is aanbieden. Een bureau dat de chatbot als eigen product aan klanten aanbiedt, brengt hem onder eigen naam in de handel. Gedraag je als aanbieder.
  • Eén klant, de naam van de klant, het werk van het bureau is het minst uitgemaakte geval: de klant kan aanbieder zijn van een systeem dat hij liet ontwikkelen. Leg het schriftelijk vast.

Het etiket weegt minder zwaar dan veel mensen vrezen. Als de chat elke bezoeker bij het begin vertelt dat het een AI is, is er het resultaat waar artikel 50, lid 1, om vraagt, wie er ook aanbieder heet. De rol bepaalt wie daarvoor moet zorgen, en telt pas echt wanneer de melding kan worden uitgezet, wanneer je de interface zelf bouwt en wanneer een toezichthouder vraagt wie verantwoordelijk was.

Waarom het ertoe doet: contracten, toezicht en boetes

Een contract maakt van een aanbieder geen gebruiksverantwoordelijke: de definities kijken naar wat elke partij doet. Het kan wel vastleggen wie het werk doet en wie ervoor instaat. Regel deze punten tussen leverancier en bedrijf, of tussen bureau en klant:

  • Wie als aanbieder optreedt voor artikel 50, per chatbot, omdat de AI Act white label openlaat.
  • De melding: aan het begin van elk gesprek, in de taal van de bezoeker, en niet uit te zetten door de klant.
  • De markering: hoe output wordt gemarkeerd en gedetecteerd, en of de aanbieder de praktijkcode volgt.
  • Wijzigingen: wie de melding controleert na een nieuw ontwerp of een nieuwe taal. De aanbieder moet mensen de hele levenscyclus van het systeem door blijven informeren (richtsnoeren, punt 33).
  • Documentatie: een korte beschrijving van hoe het systeem mensen informeert en output markeert, voor je dossier en voor vragen van een toezichthouder.
  • Toegestaan gebruik: geen beoordeling van mensen (sollicitanten, kredietwaardigheid, gezondheid) zonder aparte afspraak, omdat die toepassingen een hoog risico hebben.
  • AI-geletterdheid: wie wie opleidt. De vragen en antwoorden van de Commissie rekenen contractanten, dienstverleners en zelfs klanten tot de "andere personen" uit artikel 4.

Het toezicht op artikel 50 ligt vooral bij nationale markttoezichtautoriteiten; het Europese AI-bureau is alleen in enkele afgebakende gevallen bevoegd, zoals bij een systeem dat dezelfde aanbieder op zijn eigen AI-model voor algemene doeleinden bouwt (vragen en antwoorden van de Commissie over artikel 50). Op 25 oktober 2026:

  • Nederland: de Autoriteit Persoonsgegevens (AP) schreef op 9 oktober 2026 dat ze de beoogde markttoezichthouder op AI is, maar nog niet is aangewezen, en dat er nog wordt gewerkt aan de Uitvoeringswet AI-verordening. Het kabinet wil de AP samen met de Rijksinspectie Digitale Infrastructuur (RDI) een centrale rol geven.
  • België: de FOD Economie coördineert de uitvoering; volgens de pagina's van de FOD, voor het laatst bijgewerkt op 3 september 2026, loopt de inrichting van het governancekader nog.
  • Duitsland: daar geldt sinds 29 juli 2026 de uitvoeringswet KI-MIG, en is de Bundesnetzagentur markttoezichtautoriteit, tenzij de wet een andere instantie aanwijst.

Wie artikel 50 schendt, riskeert een boete tot 15 miljoen euro of 3% van de totale wereldwijde jaaromzet van het voorafgaande boekjaar, het hoogste van de twee (artikel 99, lid 4). Voor het mkb (in België: kmo's), en sinds de omnibus ook voor kleine midcapondernemingen, geldt het laagste van de twee. Artikel 4 staat niet in die lijst; hoe een schending daarvan wordt gesanctioneerd, laat de verordening aan het nationale recht over.

Hoe ChatterLab zijn deel doet, en wat bij jou blijft

ChatterLab ontwikkelt het chatsysteem en biedt het onder eigen naam aan. Dit doet dat systeem, volgens onze documentatie; het is geen oordeel over jouw rol.

  • De AI-melding zit ingebouwd. Elk gesprek opent met een regel zoals "Je chat met een AI-assistent", in de taal van de widget. Geen abonnement, add-on of instelling haalt hem weg, en hij staat in het chatvenster zelf, waar je pagina hem niet kan verbergen of anders vormgeven: op de pagina Implementeren staat hij als AI-melding: Altijd zichtbaar (Talen en de AI-melding).
  • De agent zegt dat hij een AI is. De eigen regels van het platform verbieden hem zich als mens voor te doen en laten hem zeggen dat hij een AI is als iemand het vraagt, welke naam je hem ook geeft.
  • Antwoorden zijn gemarkeerd in de code van de pagina, met een attribuut dat software kan lezen. Of een markering aan artikel 50, lid 2, voldoet, moet de aanbieder kunnen aantonen; vraag dus elke leverancier, ook ons, hoe zijn markering werkt en hoe je ze kunt detecteren.
  • White label laat de melding staan. Op elk abonnement zet je je eigen naam, kleur en logo of die van je klant op de widget; de badge "Mogelijk gemaakt door ChatterLab" weghalen is een add-on van € 49 per maand op betaalde abonnementen; een eigen domein komt met Studio en hoger, klantbeheer en rapporten met Agency en hoger. Een klant kan niet inloggen op jouw werkruimte. Zie white label voor bureaus en Klanten.
  • Vastlegging. Elk gesprek wordt bewaard met de bronnen achter elk antwoord, het auditlog 2 jaar (De Europese AI-verordening).
  • Toepassingen met een hoog risico (werving, kredietscoring, gezondheidszorg) worden onder Enterprise geweigerd; Enterprise spreken we per klant af.

Wat bij jou blijft: je rol bepalen en die in je contracten met klanten vastleggen, want ChatterLab gebruiken neemt de plichten van een bureau onder de AI Act niet weg; AI-geletterdheid in je eigen team; wat de agent weet en waarvoor je hem gebruikt; je privacyverklaring en de AVG-contracten (een verwerkersovereenkomst met ons sturen we op aanvraag); en, als je je eigen chat op de API bouwt, de melding zelf, want die van de widget is er dan niet.

Vragen over aanbieder en gebruiksverantwoordelijke

Word ik aanbieder als ik mijn logo op een chatbot zet?

Niet door het logo alleen, in de meest voor de hand liggende lezing. De regel dat je naam of merk je tot aanbieder maakt (artikel 25), geldt alleen voor systemen met een hoog risico. Voor een gewone websitechatbot eist artikel 3, punt 3, ook dat je het systeem ontwikkelt of laat ontwikkelen. De chatbot van een leverancier instellen ligt dichter bij gebruiken, hem als eigen product verkopen dichter bij aanbieden. De richtsnoeren gaan niet in op white label, dus leg je lezing vast in je contracten.

Moet de gebruiksverantwoordelijke de AI-melding tonen?

Artikel 50, lid 1, legt de plicht bij de aanbieder: de chat moet zo ontworpen zijn dat mensen uiterlijk bij de eerste interactie horen dat ze met een AI te maken hebben. Een bedrijf dat de chatbot van een leverancier gebruikt, hoeft er niet zelf een toe te voegen. Het mag de melding van de aanbieder wel niet verbergen of tegenspreken, en bouwt het de chatinterface zelf, dan is het hoogstwaarschijnlijk aanbieder en is de melding zijn eigen werk.

Geldt artikel 50 voor een klantenservicechatbot?

Ja. Een chatbot die met bezoekers een gesprek voert, is een AI-systeem dat bedoeld is voor directe interactie met mensen, en de richtsnoeren van de Commissie noemen chatbots voor klantenservice en e-commerce als voorbeeld. De uitzondering voor interacties waarbij het al duidelijk is dat het om AI gaat, wordt eng uitgelegd; de richtsnoeren geven helpdeskchatbots als geval waarin ze niet geldt. Een gescripte bot met vaste antwoorden en geen AI erachter valt buiten de regel.

Wie is aansprakelijk als de AI-melding ontbreekt?

De melding is onder de AI Act een plicht van de aanbieder; op een schending van artikel 50 staat een boete tot 15 miljoen euro of 3% van de wereldwijde jaaromzet, het hoogste bedrag (voor het mkb het laagste). Toonde het systeem van de leverancier nooit een melding, dan is dat zijn inbreuk. Heb jij hem verborgen, dan kent de AI Act geen aparte regel; regel het in het contract. Een eigen recht op schadevergoeding schept de AI Act volgens de Commissie niet: daarvoor geldt het nationale recht.

Wat is AI-geletterdheid, en geldt dat voor mij?

Artikel 4 vraagt aanbieders en gebruiksverantwoordelijken maatregelen te nemen die de AI-geletterdheid ondersteunen van hun personeel en van anderen die namens hen met het systeem werken. Sinds de Digitale omnibus op 27 juli 2026 in werking trad, hoef je geen bepaald niveau meer te waarborgen. Een bedrijf met een websitechatbot is gebruiksverantwoordelijke en valt er dus onder. Volgens de vragen en antwoorden van de Commissie is geen certificaat nodig; een intern overzicht van opleidingen is een manier om het vast te leggen.

Maakt het uit waar de leverancier van de chatbot gevestigd is?

Niet voor de plichten uit de AI Act. Een aanbieder valt eronder zodra hij een systeem op de markt van de Unie aanbiedt, waar hij ook gevestigd is, en aanbieders en gebruiksverantwoordelijken buiten de EU vallen eronder als de output in de EU wordt gebruikt (artikel 2). Een leverancier buiten de EU moet alleen voor systemen met een hoog risico of AI-modellen voor algemene doeleinden een gemachtigde in de EU aanwijzen. Waar de gegevens van je bezoekers worden verwerkt, is een AVG-vraag: zie onze checklist voor EU-hosting.

Bronnen

Zo is dit gemaakt: opgesteld met AI en daarna gecontroleerd tegen hoe ChatterLab echt werkt en tegen de bronnen die in het artikel staan. Een fout gezien? Mail naar management@sri-group.eu.

Begin met bouwen

Lever een agent waar je klanten op kunnen vertrouwen.

Vaste prijs per werkruimte. Je eigen huisstijl in elk abonnement. Buiten je abonnement betaal je niets, tenzij je credits koopt.