AI-verordening voor marketing en sales: wat je nu moet regelen

Marketingteams waren de eersten die AI massaal gingen gebruiken en zijn de laatsten die te horen krijgen dat er regels aan zitten. Sinds 2 augustus 2026 gelden de algemene verplichtingen. Dit stuk gaat alleen over wat marketing en sales daadwerkelijk raakt: chatbots, gegenereerde content, leadscoring en personalisatie.

De korte versie

Wat je doet	Wat de verordening zegt
Chatbot op je site	Bezoeker moet kunnen weten dat het een machine is (artikel 50)
AI-gegenereerd beeld, video of audio	Moet machineleesbaar gemarkeerd zijn als AI-gegenereerd (artikel 50)
AI-geschreven blogteksten	Geen labelplicht als een mens het inhoudelijk controleert
Leadscoring	Meestal geen hoog risico, wel volledig AVG
Emotieherkenning op bezoekers	Zwaar gereguleerd, op de werkvloer zelfs verboden
Persuasieve personalisatie	Verboden zodra het manipulatief of uitbuitend wordt (artikel 5)

Twee dingen om meteen recht te zetten. Je hoeft niet elk AI-geschreven zinnetje te labelen, dat is een veelgehoord misverstand. En je bent als bedrijf dat de tool inzet meestal deployer, niet provider, wat scheelt in verplichtingen maar je niet vrijpleit.

Chatbots: de bezoeker moet het weten

Artikel 50 is de bepaling die de meeste marketingafdelingen raakt. Zet je een chatbot in die met mensen praat, dan moet die persoon kunnen weten dat hij met een AI-systeem te maken heeft, tenzij dat overduidelijk is uit de context.

In de praktijk betekent dat:

Een zichtbare melding bij de start van het gesprek. "Je chat met een AI-assistent" volstaat. Het hoeft geen juridische tekst te zijn.
Niet weggestopt in een privacyverklaring waar niemand kijkt.
Ook bij spraak. Een AI die belt of opneemt valt onder dezelfde plicht, en dat is precies de toepassing waar bedrijven nu mee experimenteren in sales.

Wat níet mag is een bot die zich voordoet als een medewerker met een verzonnen naam en foto zonder enige aanduiding. Dat is precies het geval waar deze bepaling voor geschreven is.

Meer detail: artikel 50 transparantie voor chatbots.

AI-gegenereerde content: beeld en tekst zijn niet hetzelfde

Hier gaat het vaakst mis, in beide richtingen: bedrijven labelen te veel, of het verkeerde.

Synthetisch beeld, video en audio moeten machineleesbaar gemarkeerd worden als kunstmatig gegenereerd of gemanipuleerd. Dat is de deepfake-bepaling, en die geldt ook voor onschuldige toepassingen: een AI-gegenereerd productbeeld of een gesynthetiseerde voice-over in een advertentie valt eronder. In de praktijk regelen de grote generatietools dit met ingebedde metadata, maar dat blijft jouw verantwoordelijkheid om te controleren, niet die van de tool.

Tekst ligt anders. Een blogpost of productbeschrijving die door AI is geschreven en door een mens inhoudelijk is gecontroleerd en verantwoord, valt niet onder de labelplicht voor teksten van algemeen belang. Die plicht mikt op geautomatiseerd geproduceerde informatie over publieke aangelegenheden, niet op je categoriepagina's.

De praktische regel: beeld en audio labelen, tekst met menselijke redactie niet. Bij twijfel over een grensgeval is labelen goedkoper dan het uitleggen achteraf.

Leadscoring: minder gereguleerd dan gedacht, volledig AVG

Goed nieuws voor de meeste B2B-teams: leads scoren op basis van gedrag, bedrijfsgrootte of engagement is doorgaans geen hoog-risico AI-systeem. De hoog-risicocategorieën in Bijlage III gaan over werving en selectie, onderwijs, kredietverlening, essentiële diensten en dergelijke, niet over de vraag welke prospect je als eerste belt.

Twee scherpe randen wel:

Zodra scoring bepaalt wie toegang krijgt tot een essentiële dienst of tot krediet, zit je wél in Bijlage III. Een verzekeraar of kredietverstrekker die "leadscoring" doet, doet iets anders dan een softwarebedrijf.
De AVG geldt onverkort. Scoring op persoonsgegevens is profilering. Je hebt een grondslag nodig, transparantie, en bij volledig geautomatiseerde besluiten met rechtsgevolgen kom je uit bij artikel 22 AVG.

Zie hoe de AVG en de AI-verordening samenwerken.

Werf je met AI, dan is het verhaal wél anders en zwaarder: zie recruitment AI en artikel 26.

Waar personalisatie verboden wordt

Artikel 5 verbiedt een aantal praktijken volledig, en twee daarvan liggen dichter bij marketing dan comfortabel is.

Manipulatieve technieken die het gedrag van mensen wezenlijk verstoren buiten hun bewustzijn om, en daarmee aanzienlijke schade veroorzaken. Normale overtuigende marketing valt hier niet onder. Wat er wel onder valt is AI die subliminale of doelbewust misleidende technieken inzet.

Uitbuiten van kwetsbaarheid vanwege leeftijd, beperking of sociale of economische situatie. Dit is de bepaling die je raakt als je optimalisatie-algoritme ontdekt dat mensen in financiële nood beter converteren op een bepaalde boodschap, en daarop stuurt. Dat is geen theoretisch scenario: het is precies het soort patroon dat een optimaliserend systeem vanzelf vindt als je het alleen op conversie stuurt.

Emotieherkenning is apart geregeld en op de werkvloer en in het onderwijs zelfs verboden. Voor bezoekers van je site geldt zware transparantie. De tooling die "sentiment" of "frustratie" van een bezoeker afleidt uit gedrag of beeld valt hier snel onder.

De praktische toets: kun je aan de betrokkene uitleggen wat je doet zonder dat het naar misbruik klinkt? Zo nee, dan is dat meestal het antwoord.

Waar de tools die je al gebruikt in vallen

De meeste teams denken bij "AI-systeem" aan iets dat ze bewust hebben gekocht. In de praktijk zit het verspreid door de stack, vaak als functie binnen een tool die je om iets anders hebt aangeschaft.

Tool of functie	Valt eronder?	Wat je regelt
Chatwidget met AI-antwoorden	Ja, artikel 50	Melding bij start gesprek
AI-tekstgeneratie in je CMS	Nee, mits menselijke redactie	Redactieslag vastleggen
Beeldgeneratie voor social of ads	Ja, markering	Metadata aan, steekproef
AI-voice voor uitgaande calls	Ja, artikel 50	Melding aan het begin
Leadscoring in je CRM	Meestal niet hoog-risico	AVG-grondslag, transparantie
Sentiment- of intentiedetectie	Mogelijk emotieherkenning	Controleren waar het draait
Vertaal- of ondertitelfuncties	Meestal niet	Wel AVG als er persoonsgegevens in zitten
Advertentie-optimalisatie	Grijs gebied	Toetsen aan artikel 5

De twee rijen die het vaakst verrassen zijn sentimentdetectie en advertentie-optimalisatie. Sentimentdetectie zit tegenwoordig standaard in veel service- en salesplatformen, vaak aan zonder dat iemand die knop bewust heeft omgezet. En advertentieplatformen optimaliseren op conversie zonder je te vertellen welke signalen ze daarvoor gebruiken, wat het lastig maakt om te garanderen dat er niet op kwetsbaarheid wordt gestuurd.

Bij dat laatste is de eerlijke positie: je hebt beperkte controle over wat het platform intern doet. Wat je wél kunt, is niet zelf doelgroepen bouwen op signalen van financiële nood of kwetsbaarheid, en dat vastleggen als beleid. Dat is verdedigbaar; "we wisten niet wat het algoritme deed" is dat minder.

Als je buiten de EU zit of aan niet-EU klanten levert

De verordening werkt territoriaal op basis van waar het resultaat landt, niet waar je bedrijf staat. Richt je je met marketing op mensen in de EU, dan gelden deze regels, ook als je team in Londen of New York zit.

Andersom betekent het dat een Nederlands bedrijf dat uitsluitend buiten de EU verkoopt hier ruimte heeft, al is dat in de praktijk zeldzaam: zodra je website vanuit de EU bereikbaar is en je EU-bezoekers bedient met een chatbot, ben je terug bij artikel 50.

Voor multinationals is de werkbare lijn meestal om de EU-standaard overal toe te passen. Twee versies van je chatbot en twee sets beeldmateriaal onderhouden kost meer dan de strengste norm volgen. Zie wat niet-EU bedrijven moeten regelen.

Wat je je bureau of leverancier vraagt

Als een extern bureau je marketing-AI bouwt of draait, ligt de deployer-verplichting meestal nog steeds bij jou. Het bureau bouwt en vertrekt; de plicht blijft. Vier vragen:

"Welke onderdelen zijn AI-systemen onder de verordening, en welke niet?" Een bureau dat hier geen helder antwoord op heeft, heeft er niet over nagedacht.
"Wie is provider en wie is deployer voor elk onderdeel?" Zie provider, deployer of allebei.
"Hoe is de transparantiemelding geregeld bij de chatbot, en waar staat die in de flow?"
"Worden gegenereerde beelden gemarkeerd, en controleren jullie dat?"

Zoek je nog een bureau, of wil je weten waar ze van elkaar verschillen: wat een AI marketing bureau kost en wanneer het loont.

Een checklist voor deze week

Inventariseer welke AI je marketing- en salesstack feitelijk gebruikt, inclusief wat mensen zelf hebben aangezet. Zie AI-inventarisatie in 30 minuten.
Chatbot: transparantiemelding zichtbaar bij de start van het gesprek.
Voice-AI in sales: dezelfde melding, ook bij uitgaande calls.
Gegenereerd beeld en audio: markering aan, en steekproefsgewijs gecontroleerd.
Leadscoring: grondslag vastgelegd, en gecontroleerd of er echte menselijke tussenkomst is bij besluiten die iemand raken.
Personalisatie: nagegaan of je optimalisatie op kwetsbaarheid kan sturen zonder dat iemand dat heeft bedoeld.
Emotie- of sentimentdetectie: gecontroleerd of je die ergens gebruikt. Vaak zit het verstopt in een tool die je om iets anders hebt gekocht.
AI-geletterdheid geregeld voor het team dat ermee werkt.

Wat het kost als je het niet doet

De sancties staan in artikel 99 en zijn geen symbolische bedragen: verboden praktijken staan bovenaan, transparantieovertredingen lager maar nog steeds substantieel.

De realistischere zorg voor het MKB is niet de boete maar de inkoopvraag. Grotere klanten beginnen dit uit te vragen in leveranciersbeoordelingen, en "we hebben het niet bekeken" is een slecht antwoord in een tender. Een half dagdeel werk aan de checklist hierboven is meestal genoeg om dat gesprek goed door te komen.

Veelgestelde vragen

Moet ik onder elke AI-geschreven blogpost een disclaimer zetten? Nee. De labelplicht voor tekst mikt op geautomatiseerd geproduceerde informatie over publieke aangelegenheden, niet op commerciële content die een mens inhoudelijk heeft gecontroleerd. Beeld en audio zijn een ander verhaal: die markeer je wel.

Onze chatbot heeft een menselijke naam. Mag dat? Ja, mits duidelijk is dat het een AI is. Een persona met een naam is prima; een bot die zich voordoet als een echte medewerker zonder enige aanduiding is precies wat artikel 50 wil voorkomen.

Geldt dit ook voor e-mailcampagnes die door AI zijn geschreven? Voor de tekst zelf niet, mits geredigeerd. Zit er gegenereerd beeld in, dan geldt de markeringsplicht wel. En de AVG geldt sowieso voor de doelgroepselectie.

Wie is aansprakelijk als ons bureau het fout doet? Als jij het systeem inzet ben je meestal deployer, en die verplichting is van jou. Contractuele afspraken met het bureau regelen je verhaal richting hen, niet je positie richting de toezichthouder.

We gebruiken alleen ChatGPT om teksten te schrijven. Moeten we iets? Dan raakt de labelplicht je waarschijnlijk niet, maar artikel 4 over AI-geletterdheid wel, en de AVG zodra er klantgegevens in de prompts belanden.

Kort samengevat

Voor marketing en sales komt het neer op drie dingen: wees open dat het AI is waar mensen ermee praten, markeer synthetisch beeld en audio, en stuur niet op kwetsbaarheid. Leadscoring is minder gereguleerd dan veel mensen vrezen maar volledig AVG-plichtig. Alles begint bij weten wat er draait.

Meer gidsen over de verordening: de volledige set.