← Alle inzichten
AI-verordening · Herkomst

C2PA en AI-watermerken voor artikel 50 van de AI-verordening

Metadata zegt wie het maakte en hoe; een watermerk blijft over als de metadata weg is. Artikel 50 vraagt allebei, ingebouwd in de generatiepipeline.

LMXAI · Leiden, NL · Gepubliceerd · Herzien

Samenvatting

Artikel 50, lid 2, van de AI-verordening verplicht aanbieders van generatieve AI-systemen om output machineleesbaar en detecteerbaar te markeren, en de gedragscode van juni 2026 vraagt minstens twee technieken. Deze gids legt de twee lagen uit die de meeste teams combineren, C2PA Content Credentials en een AI-watermerk: wat elke laag overleeft, waar ze breekt en hoe ze in een generatiepipeline passen. Hij bespreekt het onderzoek naar watermerken voor beeld en tekst en naar verwijderaanvallen, geeft een referentiearchitectuur en een testplan, en scheidt de markeringsplicht van de aanbieder van de labelplicht van de gebruiksverantwoordelijke.

Trefwoorden C2PA · watermerk AI · Content Credentials · AI-verordening artikel 50 · SynthID · herkomst · AI-label · deepfakes

Inhoud

  1. Inleiding
  2. Achtergrond en verwant werk
  3. Twee lagen, twee taken
  4. Wat C2PA u geeft
  5. Watermerken per medium
  6. Een referentiepipeline
  7. Test het als een aanvaller
  8. Markeren is geen labelen
  9. Checklist
  10. Veelgestelde vragen
01

Inleiding

Artikel 50, lid 2, van de AI-verordening verplicht aanbieders van generatieve AI-systemen om hun output machineleesbaar te markeren, zodat te detecteren is dat de content kunstmatig is gegenereerd of gemanipuleerd[1]. De gedragscode van juni 2026 maakt dat concreet: minstens twee markeringstechnieken, bijvoorbeeld ondertekende metadata samen met een onzichtbaar watermerk, en één techniek voor vrije tekst[2].

Voor generatieve systemen die vóór 2 augustus 2026 op de markt waren, is de deadline 2 december 2026[3]. In de praktijk combineren de meeste teams dezelfde twee lagen: C2PA Content Credentials voor de metadata en een AI-watermerk in de content zelf. Deze gids legt uit waarom beide nodig zijn en hoe u ze inbouwt.

02

Achtergrond en verwant werk

C2PA is een open technische standaard voor herkomst van content. Een C2PA-manifest bevat beweringen (assertions) over een bestand, een claim die ernaar verwijst en een handtekening op die claim; een harde binding koppelt het manifest met een hash aan de exacte bytes, en een zachte binding, een vingerafdruk of onzichtbaar watermerk, maakt het mogelijk een bestand in een herkomstopslag aan zijn manifest te koppelen als het manifest zelf is verwijderd[4].

Onderzoek naar watermerken levert de tweede laag. Voor tekst kan een watermerk tijdens het samplen worden ingebed met verwaarloosbaar effect op de kwaliteit, en uit een kort stuk tokens worden gedetecteerd zonder toegang tot het model[5]; SynthID-Text draait zo'n schema in productie met minimale extra latency en past alleen de samplingstap aan[6]. Voor beelden kan een watermerk in de decoder van een latent diffusiemodel worden verankerd, zodat elke output het draagt, ook nadat het beeld is bewerkt[7].

De aanvallen zijn even goed beschreven. Herhaald parafraseren verlaagt de detectie van uiteenlopende tekstdetectoren aanzienlijk, ook die op basis van watermerken[8]. Onzichtbare beeldwatermerken op pixelniveau zijn aantoonbaar te verwijderen door het beeld met een generatief model opnieuw te maken[9]. Geen enkele laag is op zichzelf robuust; daarom vraagt de gedragscode er twee.

03

Twee lagen, twee taken

C2PA-manifest (metadata) Watermerk (in de content)
Wat het draagt Uitgebreide, ondertekende herkomst: generator, organisatie, tijd, bewerkingsgeschiedenis Een kort signaal: "door AI gegenereerd", soms een sleutel of model-ID
Bewijs van manipulatie Sterk: elke wijziging in de bytes breekt de harde binding Zwak: het kan worden verzwakt, maar niet ongemerkt herschreven
Overleeft het strippen van metadata Nee, tenzij het manifest in een herkomstopslag staat en via een zachte binding wordt gevonden Ja, daar is het voor
Overleeft hercoderen, schalen, screenshots Meestal niet Vaak, binnen grenzen
Belangrijkste aanval Strippen of opnieuw opslaan Tekst parafraseren, beelden opnieuw genereren
Wie kan controleren Iedereen met een C2PA-validator Wie de detector voor dat watermerk heeft

De lagen falen op verschillende manieren, dus samen dekken ze meer van de echte paden die content aflegt. Het manifest geeft het volledige verhaal als het overleeft; het watermerk zegt nog steeds "door AI gegenereerd" als dat niet zo is.

04

Wat C2PA u geeft

Drie onderdelen zijn belangrijk voor artikel 50[4]:

  • Beweringen en een ondertekende claim. De generator legt vast dat het bestand door een AI-systeem is gemaakt of bewerkt, en ondertekent de claim met het certificaat van uw organisatie. Gebruik uw eigen ondertekeningsidentiteit: de aanbieder in lid 2 is het bedrijf dat het systeem op de markt brengt, niet per se de modelleverancier.
  • Harde binding. Een hash over het bestand maakt elke latere wijziging zichtbaar.
  • Zachte binding. Een vingerafdruk of watermerk-ID laat een gestript bestand weer koppelen aan zijn manifest in een herkomstopslag. Zo hangen de twee lagen samen.

C2PA is gemaakt voor beeld, video, audio en documenten. Het helpt niet bij vrije tekst die wordt gekopieerd en geplakt; daarom staat de gedragscode daar één techniek toe[2].

05

Watermerken per medium

  • Beeld. Watermerk bij het genereren, in het model of de decoder, in plaats van achteraf pixels te stempelen[7]. Test tegen opnieuw genereren, bijsnijden, compressie en screenshots, omdat watermerken op pixelniveau door opnieuw genereren te verwijderen zijn[9].
  • Audio en video. Gebruik een watermerk dat compressie en hersampling overleeft, en houd het C2PA-manifest op het bestand. Bij alleen audio moet het label van de gebruiksverantwoordelijke hoorbaar zijn.
  • Tekst. Watermerk in de samplingstap[5, 6]. Reken op onbetrouwbare detectie bij korte of sterk bewerkte tekst: de gedragscode stelt tekst onder ongeveer 200 tokens vrij van een watermerk, en parafraseren blijft de grootste zwakte[8, 2].

Gebruikt u een gehost model, kijk dan wat de leverancier al markeert. Mogelijk hebt u toch een eigen manifest en eigen detectortoegang nodig voor wat uw product publiceert.

06

Een referentiepipeline

  1. Genereren. Het model maakt output, met het watermerk toegepast in de sampling- of decodeerstap.
  2. Ondertekenen. De service voegt een C2PA-manifest toe: door AI gegenereerd, systeemnaam en versie, tijd, ondertekend met de sleutel van uw organisatie.
  3. Vastleggen. Sla het manifest, de contenthash en het watermerk- of vingerafdruk-ID op in een herkomstlog die u zelf beheert.
  4. Uitleveren. Elk exportpad houdt het manifest vast of voegt het opnieuw toe: downloads, API's, publicatie via het CMS, e-mail, uploads naar sociale media.
  5. Detecteren. Bied een detectie-endpoint dat het watermerk controleert en de herkomstlog raadpleegt. De gedragscode verwacht dat detectie in principe gratis is, en uiterlijk 2 februari 2027 interoperabel tussen aanbieders[2].
  6. Loggen. Leg vast welke markeringsversie voor welke output heeft gedraaid, zodat u het bij een audit kunt laten zien.

Dit is gewoon pipelinewerk: een ondertekeningsservice, een opslag en een API. Het lastige is elk exportpad afdekken, niet de cryptografie.

07

Test het als een aanvaller

Loop vóór 2 december de paden af die uw content echt aflegt en meet wat overblijft:

  • upload naar de platforms waar uw gebruikers publiceren en download opnieuw;
  • hercodeer, schaal, snijd bij en maak screenshots van beeld en video;
  • parafraseer en bewerk tekst licht, in de lengtes die uw product maakt;
  • strip metadata met gangbare tools en controleer of het opzoeken via de zachte binding nog werkt.

Leg detectiepercentages vast per pad en per markeringsversie. Die tabel is uw bewijs dat de markering "doeltreffend, interoperabel, robuust en betrouwbaar is voor zover technisch haalbaar", de norm van artikel 50, lid 2.

08

Markeren is geen labelen

Markeren onder lid 2 is de taak van de aanbieder en is machineleesbaar. Labelen onder lid 4 is de taak van de gebruiksverantwoordelijke en is voor mensen: een zichtbaar label op deepfakes, herkenbaar bij de eerste blootstelling, met de EU-iconen uit de gedragscode waar beeld is en een gesproken disclaimer waar dat niet zo is[2]. Een C2PA-manifest alleen voldoet niet aan de labelplicht. Als u zowel genereert als publiceert, doet u beide.

09

Checklist

  1. Twee markeringslagen per mediatype, één voor vrije tekst.
  2. Manifesten ondertekend met de eigen gegevens van uw organisatie.
  3. Een herkomstlog met contenthash, manifest en watermerk-ID.
  4. Elk exportpad houdt het manifest vast of voegt het opnieuw toe.
  5. Een detectie-endpoint, in principe gratis, gepland voor interoperabiliteit in februari 2027.
  6. Gemeten overlevingspercentages per exportpad, bewaard met de systeemversie.
  7. Zichtbare labels op deepfakes waar u ook gebruiksverantwoordelijke bent.
10

Veelgestelde vragen

Is C2PA alleen genoeg voor artikel 50?

Niet volgens de gedragscode voor beeld, audio en video, die minstens twee technieken vraagt. C2PA-metadata is makkelijk te strippen, dus wordt ze gecombineerd met een watermerk dat in de content blijft.

Is een watermerk alleen genoeg?

Alleen voor vrije tekst, waar de gedragscode één techniek accepteert. Elders draagt een watermerk alleen te weinig informatie en kan het met regeneratieaanvallen worden verwijderd, dus wordt het gecombineerd met ondertekende metadata.

Moeten we korte chatbotantwoorden van een watermerk voorzien?

De gedragscode stelt tekst onder ongeveer 200 tokens vrij van een watermerk, omdat detectie bij korte tekst onbetrouwbaar is. De melding van AI-interactie onder lid 1 geldt nog steeds voor de chatbot zelf.

Kunnen we het watermerk van de modelleverancier gebruiken?

Ja, als het uw output dekt en u het kunt detecteren of gebruikers naar een detector kunt verwijzen. Meestal ondertekent u daarnaast een eigen C2PA-manifest, omdat uw bedrijf de aanbieder is van het systeem dat uw gebruikers zien.

Primaire bronnen

Verder lezen

Referenties

  1. European Parliament and Council of the European Union (2024). Regulation (EU) 2024/1689 laying down harmonised rules on artificial intelligence (Artificial Intelligence Act). Official Journal of the European Union, L series, 12 July 2024. eur-lex.europa.eu/eli/reg/2024/1689/oj/eng
  2. European Commission (2026). Code of Practice on Transparency of AI-generated Content. European Commission, Shaping Europe's digital future. digital-strategy.ec.europa.eu/en/faqs/signing-code-practice-transparency-ai-generated-content
  3. European Parliament and Council of the European Union (2026). Regulation (EU) 2026/1744 of 8 July 2026 amending Regulation (EU) 2024/1689 (Digital Omnibus on AI). Official Journal of the European Union, L series, 24 July 2026. eur-lex.europa.eu/legal-content/EN/TXT/?uri=OJ:L_202601744
  4. Coalition for Content Provenance and Authenticity (C2PA) (2025). Content Credentials: C2PA Technical Specification, version 2.2. C2PA. spec.c2pa.org/specifications/specifications/2.2/specs/C2PA_Specification.html
  5. Kirchenbauer, J., Geiping, J., Wen, Y., Katz, J., Miers, I., & Goldstein, T. (2023). A watermark for large language models. Proceedings of the 40th International Conference on Machine Learning (ICML 2023). arxiv.org/abs/2301.10226
  6. Dathathri, S., See, A., Ghaisas, S., Huang, P.-S., McAdam, R., Welbl, J., et al. (2024). Scalable watermarking for identifying large language model outputs. Nature, 634, 818–823. doi.org/10.1038/s41586-024-08025-4
  7. Fernandez, P., Couairon, G., Jégou, H., Douze, M., & Furon, T. (2023). The Stable Signature: Rooting Watermarks in Latent Diffusion Models. Proceedings of the IEEE/CVF International Conference on Computer Vision (ICCV 2023). arxiv.org/abs/2303.15435
  8. Sadasivan, V. S., Kumar, A., Balasubramanian, S., Wang, W., & Feizi, S. (2023). Can AI-generated text be reliably detected?. arXiv preprint arXiv:2303.11156 (published in Transactions on Machine Learning Research). arxiv.org/abs/2303.11156
  9. Zhao, X., Zhang, K., Su, Z., Vasan, S., Grishchenko, I., Kruegel, C., Vigna, G., Wang, Y.-X., & Li, L. (2024). Invisible Image Watermarks Are Provably Removable Using Generative AI. Advances in Neural Information Processing Systems (NeurIPS 2024). arxiv.org/abs/2306.01953

Elke referentie is gecontroleerd bij de uitgever, arXiv of de officiële bron.

Citeren

LMXAI. (2026). C2PA en AI-watermerken voor artikel 50 van de AI-verordening. LMXAI Inzichten. https://lmxai.com/nl/insights/c2pa-ai-watermarking-article-50.html