DSA & AI Act

DSA Artikel 27 verplicht online platforms die aanbevelingssystemen gebruiken om in hun algemene voorwaarden uitleg te geven over de parameters die het systeem gebruikt, de mogelijkheid voor gebruikers om die parameters aan te passen, en ten minste één optie die niet gebaseerd is op profilering. Dit zijn brede transparantievereisten gericht op begrijpelijkheid voor gewone gebruikers — de nadruk ligt op wat het systeem doet en hoe gebruikers er controle over kunnen uitoefenen.

De AI Act voegt een andere laag toe. Artikel 13 verplicht aanbieders van hoog-risico AI-systemen om degenen die het systeem inzetten (deployers) voldoende informatie te geven om de output te interpreteren en te beoordelen. Artikel 14 stelt eisen aan menselijk toezicht: deployers moeten in staat zijn om in te grijpen, het systeem stop te zetten en beslissingen te corrigeren. Aanbevelingssystemen die significante gevolgen kunnen hebben voor gebruikers — denk aan nieuwsaanbevelingen met impact op politieke meningsvorming — kunnen onder de hoog-risico definitie vallen. Dan gelden beide transparantieregimes tegelijk: de DSA-uitleg aan gebruikers én de AI Act-documentatie voor deployers. De uitdaging is dat de twee regimes verschillende doelgroepen bedienen: gebruikers versus deployers.

DSA Artikelen 14 en 15 verplichten hostingproviders en online platforms om mechanismen in te richten waarmee gebruikers onwettige content kunnen melden (notice-and-action) en om de maatregelen die zijn genomen naar aanleiding van dergelijke meldingen te rapporteren in transparantierapporten. Platforms die geautomatiseerde systemen inzetten voor contentmoderatie moeten uitleggen hoe die systemen werken, hoe vaak ze fouten maken en welke waarborgen er zijn voor revisie door mensen.

AI Act Artikel 50 introduceert een specifieke transparantieverplichting voor AI-systemen die interactie hebben met mensen of content genereren: gebruikers moeten worden geïnformeerd dat zij met een AI-systeem communiceren of dat content AI-gegenereerd is, tenzij dit uit de context overduidelijk is. Voor contentmoderatie-AI die besluiten neemt over het verwijderen, verbergen of dempen van gebruikersbijdragen geldt bovendien dat degene wiens content wordt geraakt recht heeft op uitleg — een verplichting die zowel door de DSA (via de klachtenprocedure) als door de AI Act (via transparantievereisten) wordt gevoed. Geautomatiseerde contentbesluiten zonder menselijke revisie-optie zijn onder beide regelgevingskaders problematisch.

DSA Artikelen 34 en 35 verplichten VLOPs en VLOSEs tot jaarlijkse systeemrisicobeoordelingen. Die beoordelingen moeten de risico's identificeren die het platform meebrengt voor maatschappelijke thema's als democratie, volksgezondheid, veiligheid en grondrechten — en moeten aantonen welke risicomaatstaven het platform treft. Externe auditeurs controleren vervolgens of die maatregelen afdoende zijn. Dit is een brede, systeemgerichte beoordeling die verder gaat dan individuele gevallen.

De AI Act werkt met een andere risicosystematiek: per AI-systeem wordt bepaald of het hoog-risico, beperkt-risico of minimaal-risico is, en op basis daarvan gelden specifieke verplichtingen (technisch dossier, conformiteitsbeoordeling, registratie in de EU-database). Voor platforms betekent dit dat dezelfde algoritmische infrastructuur — het aanbevelingssysteem, de moderatietool, het advertentieplatform — tegelijk onderwerp is van de DSA-systeemrisicobeoordeling én van de AI Act-risicoclassificatie per systeem. De twee beoordelingen overlappen maar zijn niet identiek: de DSA kijkt naar maatschappelijke systeemeffecten, de AI Act naar risico's voor individuele gebruikers per systeem.

DSA Artikel 25 verbiedt online platforms om zogenaamde "dark patterns" te gebruiken: ontwerp- en interactietechnieken die gebruikers misleiden, manipuleren of ertoe bewegen keuzes te maken die niet in hun belang zijn. Denk aan misleidende knopplaatsingen, verborgen afmeldopties, valse urgentieberichten of de automatische reset naar een algoritmische tijdlijn na het kiezen voor chronologisch — een praktijk die onlangs door een Nederlandse rechter als DSA-schending werd gekwalificeerd in de zaak tegen Meta.

AI Act Artikel 5 verbiedt AI-systemen die gebruikmaken van subliminale technieken, uitbuiting van kwetsbaarheden of andere manipulatieve methoden om het gedrag van mensen significant te beïnvloeden op een manier die hun belangen schaadt. Dit zijn verboden praktijken — de zwaarste categorie in de AI Act, met boetes tot €35 miljoen of 7% van de wereldwijde jaaromzet. De overlap is precies op het punt waar AI-systemen worden ingezet om dark patterns te implementeren of te versterken: een algoritme dat bewust kwetsbare gebruikers identificeert om ze vaker te tonen aan engagement-drijvende content, valt onder beide verboden tegelijk. Dit is geen theoretisch risico — het is precies wat toezichthouders als de Europese Commissie bij TikTok en Meta onderzoeken.

DSA Artikel 26 verplicht online platforms om voor elke advertentie die een gebruiker te zien krijgt duidelijk te maken dat het een advertentie is, namens wie de advertentie wordt getoond, en op basis van welke parameters de gebruiker is geselecteerd als doelgroep. Voor VLOPs gelden aanvullende vereisten: zij moeten een doorzoekbaar register bijhouden van alle advertenties die zij tonen — het zogenaamde advertentieregister. En gerichte advertenties op basis van bijzondere categorieën persoonsgegevens (religie, politieke opvattingen, gezondheid) zijn voor VLOPs expliciet verboden.

AI-gedreven advertentieselectie raakt hier drie regelgevingskaders tegelijk. De DSA stelt eisen aan transparantie en verbiedt bepaalde targetingvormen. De GDPR eist een geldige rechtsgrondslag voor de profilering die ten grondslag ligt aan die targeting — en voor bijzondere categorieën geldt expliciete toestemming. De AI Act voegt toe dat AI-systemen voor advertentieselectie die significante gevolgen hebben voor individuen als hoog-risico gekwalificeerd kunnen worden, met alle documentatie- en transparantieverplichtingen van dien. Platforms die AI-aanbevelingen combineren met advertentie-targeting moeten al deze lagen tegelijk adresseren in hun compliance-architectuur.