Artikel 50 vs Artikel 52: welk artikel bindt uw chatbot onder de EU AI-verordening

Wat Artikel 50 werkelijk bepaalt

Artikel 50 bevindt zich in Hoofdstuk IV (Transparantieverplichtingen voor aanbieders en deployers van bepaalde AI-systemen). Vier subleden.

Artikel 50(1). Aanbieders moeten ervoor zorgen dat natuurlijke personen die met een AI-systeem omgaan, hiervan op de hoogte worden gesteld, tenzij dit uit de omstandigheden duidelijk blijkt. Bindend voor chatbots, spraakagenten en virtuele assistenten.

Artikel 50(2). Aanbieders van AI-systemen die synthetische inhoud genereren (tekst, afbeelding, audio, video) moeten uitvoer in een machineleesbaar formaat markeren als kunstmatig gegenereerd of gemanipuleerd. Bindend voor tools voor het genereren van afbeeldingen, spraaksynthesizers, AI-schrijvers en deepfake-diensten.

Artikel 50(3). Deployers van systemen voor emotieherkenning of biometrische categorisering moeten blootgestelde personen informeren. Bindend voor sentimentanalyse-functies die zichtbaar zijn voor gebruikers en biometrische clustering.

Artikel 50(4). Deployers van AI die deepfakes genereren, moeten dit bekendmaken. Deployers van AI die tekst genereert die wordt gepubliceerd om het publiek te informeren over aangelegenheden van algemeen belang, moeten dit eveneens bekendmaken.

Alle vier de subleden binden SaaS-deployers die gebruikersgerichte functies bouwen. Artikel 50 is van toepassing vanaf 2 augustus 2026 op grond van Artikel 113.

Wat Artikel 52 werkelijk bepaalt

Artikel 52 bevindt zich in Hoofdstuk V (AI-modellen voor algemene doeleinden). Het regelt het classificatie- en kennisgevingsproces voor AI-modellen voor algemene doeleinden met systeemrisico.

Concreet bepaalt Artikel 52: een GPAI-model wordt geacht een systeemrisico te vormen wanneer de cumulatieve rekenkracht die voor de training is gebruikt, de 10²⁵ floating-point-bewerkingen overschrijdt. Aanbieders van dergelijke modellen moeten de Commissie binnen twee weken na het bereiken van de drempelwaarde in kennis stellen.

Dit bindt OpenAI, Anthropic, Google, Meta, Mistral en iedereen die foundation models op frontier-schaal uitbrengt. Het bindt geen SaaS-oprichter die die modellen via een API aanroept. De verordening trekt een duidelijke lijn: aanbieders leveren het model; deployers integreren het in producten.

Als uw SaaS geen eigen GPAI traint, is Artikel 52 niet op u van toepassing. Het artikel dat u bindt, is Artikel 50.

Waarom oprichters de twee verwarren

Drie redenen die onze reviewers waarnemen.

1. De artikelen staan naast elkaar. Artikel 50 en Artikel 52 zijn opeenvolgend in de tekst van de verordening en beide verwijzen naar GPAI. Bij een eerste lezing worden ze met elkaar verward.

2. GPAI-marketing versterkt de verwarring. Berichten van OpenAI, Anthropic en anderen over hun eigen naleving van Artikel 52 gebruiken bewoordingen als 'AI Act-naleving', die oprichters interpreteren als op hen van toepassing zijnde. Dat is niet het geval.

3. De taal rond cyberbeveiliging en risicobeheer in Artikel 55 lijkt SaaS te binden. Artikel 55 (verplichtingen voor GPAI-aanbieders met systeemrisico) spreekt over regimes voor adversarial evaluatie en incidentrapportage. Dit zijn verplichtingen aan de aanbiederskant. De lezing van een SaaS-deployer van Artikel 55 luidt: zorg ervoor dat uw upstream-aanbieder zijn openbaarmakingen op grond van Artikel 53 publiceert, verwijs daarnaar in uw modelkaart en ga verder.

Wanneer Artikel 52 wél relevant wordt voor een SaaS

Vier gevallen. Onze reviewers zien ze zelden, maar ze bestaan.

1. De SaaS is tevens een GPAI-aanbieder. Als een bedrijf een API uitbrengt waarmee derden een foundation model aanroepen dat het bedrijf zelf heeft getraind, is dat bedrijf een GPAI-aanbieder. Artikel 52 is van toepassing op de GPAI-kant; Artikel 50 blijft van toepassing op elke first-party-deployment.

2. De SaaS fine-tunet een basismodel in een mate die de grens van wezenlijke wijziging overschrijdt. Artikel 25 regelt wanneer een stroomafwaartse wijziging een nieuwe aanbieder creëert. Ingrijpende fine-tuning op omvangrijke datasets kan de SaaS van deployer naar aanbieder doen omslaan. Onze reviewers bespreken dit tijdens de intake wanneer de klant fine-tuning meldt.

3. De inkoopzorgvuldigheid van de SaaS vereist bewijs van naleving door de upstream-aanbieder. Zakelijke kopers vragen: 'Is de GPAI die u gebruikt geclassificeerd onder Artikel 52?' Het antwoord is afkomstig uit de documentatie van de upstream-aanbieder; de SaaS verwijst daarnaar.

4. De SaaS sluit contracten met de publieke sector van de EU. Aanbestedingskaders van de publieke sector beginnen bewijs te eisen dat de upstream-GPAI van de SaaS is gepubliceerd en aangemeld overeenkomstig Artikel 52. Ook hier is het antwoord afkomstig van de upstream-aanbieder; de SaaS verwijst daarnaar.

Wat onze reviewers aanbevelen

Standaard aanpak voor een SaaS-deployer:

Stap 1: ga ervan uit dat Artikel 50 op u van toepassing is. Implementeer transparantie-openbaarmakingen op elk AI-oppervlak in uw product.

Stap 2: verwijs in uw modelkaart per AI-functie naar de openbaarmakingen op grond van Artikel 53 van uw upstream-GPAI-aanbieder via URL. Dit voldoet aan de erkenningsverplichting aan de deployer-zijde ten aanzien van de naleving door de upstream-aanbieder.

Stap 3: beweer niet dat Artikel 52 op u van toepassing is, en beweer niet dat Artikel 55 op u van toepassing is, tenzij u daadwerkelijk voldoet aan de voorwaarden in Sectie 4 hierboven. Uzelf ten onrechte classificeren als GPAI-aanbieder creëert verplichtingen die u niet heeft en biedt u geen enkele bescherming.

De audit van onze praktijk omvat het implementatiepakket voor Artikel 50 en een modelkaart per functie die verwijst naar de Artikel 53-status van de upstream-aanbieder. Als de klant zich in een van de grensgevallen van Sectie 4 bevindt, signaleert de hoofdreviewer dit tijdens de intake en wordt de reikwijdte van de audit dienovereenkomstig aangepast.

Frequently asked questions

Heeft het gebruik van het enterprise-abonnement van OpenAI hier invloed op?

Nee. Het abonnement dat u bij OpenAI afsluit, is een commerciële relatie; het wijzigt uw classificatie onder de verordening niet. U blijft een deployer; OpenAI blijft de GPAI-aanbieder.

Hoe zit het met white-label GPAI-diensten?

Sommige upstream-aanbieders bieden white-label-arrangementen aan waarbij u het model onder uw eigen merk uitbrengt. Lees het contract: als u klant van de GPAI-aanbieder blijft, bent u een deployer. Als u contractueel de verplichtingen van de GPAI-aanbieder overneemt, kunt u een deel daarvan erven. Onze hoofdreviewer zal het contract lezen tijdens de audit als u dit bij de intake meldt.

Kan ik Llama lokaal draaien om dit alles te vermijden?

Zelf hosten van een model haalt u niet uit de deployer-status. U brengt nog steeds een AI-systeem op de markt onder uw eigen verantwoordelijkheid. Artikel 50 bindt u nog steeds. Uw lezing van Artikel 52 hangt af van de vraag of het open-weights-model dat u draait, is getraind met rekenkracht boven de drempelwaarde van 10²⁵ FLOP. Modellen uit de Llama 3-familie overschrijden die grens.

Is er een vrijstelling van Artikel 52 voor kleine SaaS-bedrijven?

Artikel 52 kent geen KMO-vrijstelling, omdat het in de eerste plaats niet van toepassing is op SaaS-deployers. De deployer-verplichtingen op grond van Artikel 50 zijn wél van toepassing op kleine SaaS-bedrijven, maar de lezing van onze beleidsreviewers is dat de evenredigheid op grond van Artikel 99(5) de sancties voor KMO's verzacht.

Wat als de upstream-aanbieder niet compliant is?

De niet-naleving wordt tegen hen gehandhaafd. Uw deployer-verplichtingen op grond van Artikel 50 blijven bij u berusten. Het praktische risico: als uw upstream-aanbieder niet in staat is openbaarmakingen op grond van Artikel 53 te leveren, kan uw modelkaart daar niet naar verwijzen, wat zichtbaar wordt bij uw eigen audit. Onze hoofdreviewer zou dit markeren als een inkooprisico waarvoor het de moeite waard is de upstream-aanbieders te diversifiëren.

Sources

• https://eur-lex.europa.eu/eli/reg/2024/1689/oj
• https://digital-strategy.ec.europa.eu/en/policies/ai-office