Regels
Wat een deepfake is, welke regels er nu gelden, welk verbod eraan komt en wat je als organisatie doet tegen fraude met een nagemaakte stem of video.
Een deepfake is beeld, geluid of video dat met AI is gemaakt of bewerkt en ten onrechte echt lijkt. Het maken ervan is niet zonder meer verboden. Het hangt af van wat erop staat, wie het maakt en wat ermee gebeurt. Een seksuele deepfake zonder toestemming is strafbaar. Voor andere deepfakes gelden regels over openheid, persoonsgegevens en portretten.
Dat is de stand op 13 oktober 2026. Er spelen vier soorten regels door elkaar: de AI Act, de AVG, het portretrecht en het strafrecht. Dit artikel is uitleg en geen juridisch advies.
De AI Act geeft in artikel 3 een definitie. Een deepfake is door AI gemaakt of bewerkt beeld-, audio- of videomateriaal dat lijkt op bestaande personen, voorwerpen, plaatsen, organisaties of gebeurtenissen, en dat iemand ten onrechte als authentiek of waarheidsgetrouw zou voorkomen. Drie dingen vallen op.
De Autoriteit Persoonsgegevens (AP) omschrijft een deepfake op haar pagina over deepfakes als een filmpje of geluidsfragment dat door een algoritme is bewerkt, waardoor het lijkt alsof iemand iets heeft gezegd of gedaan wat nooit is gebeurd. Een verbeterde belichting of een duidelijk getekend figuur valt daar niet onder: de grens ligt bij de vraag of iemand het voor echt aanziet.
De AI Act verbiedt deepfakes niet in het algemeen. Ze kiest voor openheid, met één verbod dat er in december 2026 bij komt.
Artikel 50 geldt sinds 2 augustus 2026. Lid 4 zegt dat gebruiksverantwoordelijken van een AI-systeem dat een deepfake maakt of bewerkt, bekendmaken dat het materiaal kunstmatig is gemaakt of bewerkt. De informatie moet duidelijk zijn en uiterlijk bij het eerste contact met het materiaal worden gegeven.
De Europese Commissie publiceerde op 10 juni 2026 een praktijkcode over het markeren en labelen van AI-inhoud. Het tweede deel gaat over het labelen van deepfakes, met pictogrammen die je als label kunt gebruiken. Deelname is vrijwillig, de plicht uit artikel 50 niet.
Lid 2 richt zich op de makers van generatieve AI-systemen. Zij markeren de uitvoer machineleesbaar als kunstmatig gemaakt of bewerkt, voor zover dat technisch haalbaar is. Systemen die al vóór 2 augustus 2026 op de markt waren, hebben daarvoor tot 2 december 2026. Wat zo'n markering wel en niet oplost, staat in ons artikel over de AI-detector.
De digitale omnibus over AI heeft artikel 5, de lijst van verboden praktijken, uitgebreid. In de aangenomen tekst staan twee nieuwe punten.
De tekst begrenst het verbod. Aanbieden is alleen verboden als dit maken het beoogde doel is, of een redelijk voorzienbare uitkomst waartegen het systeem geen toereikende beveiliging heeft. Gebruik is alleen verboden als de gebruiker het systeem met dat doel inzet. Volgens het gewijzigde artikel 113 gelden deze punten vanaf 2 december 2026. Zie de AI Act in het najaar van 2026.
Artikel 99 noemt voor overtreding van de verboden uit artikel 5 een boete tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet, en voor overtreding van de transparantieplichten uit artikel 50 tot 15 miljoen euro of 3 procent. Wie in Nederland de boete oplegt, regelt de uitvoeringswet. Die was op 13 oktober 2026, voor zover wij konden nagaan, nog geen wet.
De AVG noemt als persoonsgegeven alle informatie over een geïdentificeerde of identificeerbare persoon, ook aan de hand van kenmerken van iemands fysieke identiteit. Dat staat in artikel 4 van de AVG. De AP schrijft: is je gezicht of lichaam herkenbaar in een deepfake te zien, dan verwerkt de maker je persoonsgegevens. Voor een stem die naar één persoon herleidbaar is, volgt hetzelfde uit de definitie.
Een foto of opname is daarmee nog geen bijzonder persoonsgegeven. Overweging 51 van de AVG zegt dat foto's alleen onder de definitie van biometrische gegevens vallen als ze met bepaalde technische middelen worden verwerkt om iemand uniek te identificeren. Wanneer dat het geval is, lees je in ons artikel over bijzondere persoonsgegevens.
De AP noemt vier stappen. Je vraagt de maker de deepfake te verwijderen; volgens de AP is hij daar meestal toe verplicht, omdat een deepfake te zien is als een onjuist persoonsgegeven. Ken je de maker niet, dan vraag je het platform. Bij een weigering kun je een klacht indienen bij de AP. En bij schade kun je naar de rechter. Voor bekende personen gelden dezelfde regels, maar een rechter weegt hun belang af tegen dat van de maker, waaronder satire.
Het portretrecht staat in de Auteurswet, in de artikelen 19 tot en met 21. Voor een portret dat niet in opdracht van de afgebeelde persoon is gemaakt, zegt artikel 21 dat openbaarmaking niet is toegestaan voor zover een redelijk belang van die persoon zich daartegen verzet. De AP wijst erop dat het portretrecht bij een deepfake kan meespelen. De wettekst spreekt over een portret. Of dat ook een nagemaakte stem dekt, hebben wij niet in de wet kunnen nalopen; leg die vraag voor aan een jurist.
Een initiatiefwetsvoorstel dat iedere persoon een eigen recht zou geven op deepfakes van zijn stem en uiterlijk, de Wet naburig recht deepfakes van personen, was van 30 oktober tot en met 31 december 2025 in consultatie. Wij hebben op 13 oktober 2026 geen bron gevonden waaruit blijkt dat het bij de Tweede Kamer is ingediend. Het is geen geldend recht.
Het Wetboek van Strafrecht kent geen artikel dat het woord deepfake gebruikt. Bestaande artikelen kunnen wel van toepassing zijn.
Of een concreet geval strafbaar is, beoordelen het Openbaar Ministerie en de rechter. Wie slachtoffer is, doet aangifte.
Bij CEO-fraude krijgt een medewerker van de financiële administratie een opdracht die van de directeur lijkt te komen: maak snel een groot bedrag over. De Fraudehelpdesk noemt de vaste kenmerken: nadruk op gezag, vertrouwelijkheid en tijdsdruk. Het treft volgens haar ook kleinere ondernemingen, stichtingen en verenigingen.
De deepfake maakt de opdracht geloofwaardiger. De Fraudehelpdesk zag in 2019 de eerste meldingen waarbij de nagebootste stem van een directeur in een gesproken bericht werd gebruikt. Dat staat in haar overzicht van fraude in het afgelopen decennium.
In een interview bij het Nationaal Cyber Security Centrum uit november 2023 beschrijft een specialist van de politie een mislukte poging bij een Nederlandse bank: een medewerker kreeg in een videogesprek van de zogenaamde topman het verzoek geld over te maken, en belde de echte topman terug. Volgens haar lopen detectietools achter de feiten aan en los je dit op in gedrag: het moet normaal zijn om terug te bellen of een controlevraag te stellen.
Cijfers over de omvang van deepfakefraude in Nederland hebben wij niet in een primaire bron gevonden.
Een organisatie kan ook zelf maker zijn: een instructievideo met een digitale versie van een collega of een voice-over met een gekloonde stem. Dan heb je een grondslag nodig om gezicht en stem te gebruiken, leg je vast waarvoor en hoe lang, en vermeld je dat het materiaal kunstmatig is. In een arbeidsrelatie is toestemming een lastige grondslag, omdat een medewerker zich niet altijd vrij voelt om nee te zeggen. Neem het gebruik van synthetische stemmen en beelden op in je AI-beleid.
| Situatie | Welke regel | Wat je doet |
|---|---|---|
| Je organisatie publiceert een video met een nagemaakte persoon of stem | AI Act, artikel 50 lid 4; AVG | Vermeld duidelijk dat het materiaal kunstmatig is, regel een grondslag en leg afspraken met de afgebeelde persoon vast |
| Een satirische of artistieke productie | AI Act, artikel 50 lid 4, beperkte plicht | Meld dat er kunstmatig materiaal in zit; laat de afweging toetsen als er echte personen in voorkomen |
| Een medewerker of klant staat zonder toestemming in een deepfake | AVG; portretrecht | Help bij het verzoek tot verwijdering aan de maker en het platform, wijs op de klacht bij de AP |
| Een seksuele deepfake van een herkenbare persoon | Wetboek van Strafrecht, artikel 254ba; AVG; vanaf 2 december 2026 ook artikel 5 van de AI Act | Aangifte bij de politie, verwijdering vragen, bewijs bewaren zonder het verder te delen |
| Een betaalopdracht met de stem of het gezicht van een leidinggevende | Wetboek van Strafrecht, artikel 326 | Niet betalen, terugbellen op een bekend nummer, melden bij bank en politie |
| Een nagemaakte opname die iemands goede naam schaadt | Wetboek van Strafrecht, artikelen 261 en 262; AVG; portretrecht | Vastleggen waar het staat, verwijdering vragen, juridisch advies inwinnen |
De tabel is een hulpmiddel. De wettekst en de omstandigheden bepalen wat geldt.
PrivaSearch herkent geen deepfakes en houdt geen fraude tegen. Het werkt met documenten, niet met beeld of geluid dat je op echtheid wilt controleren.
Waar het wel aan raakt, is het onderliggende punt van dit artikel: gegevens over personen horen niet ongecontroleerd in een AI-dienst. PrivaSearch zit tussen je documenten en het AI-model. Persoonsgegevens worden herkend en vervangen door pseudoniemen, en een collega keurt het resultaat goed voordat een document doorzoekbaar wordt. De stappen staan op de pagina Hoe PrivaSearch werkt. Wat er gebeurt als zulke documenten rechtstreeks in een chatvenster belanden, staat op de pagina over AI-chatbots en de AVG.
Medewerkers volgen daarnaast een korte training over AI-geletterdheid, met periodieke herhaling. Zonder geldige training opent de werkruimte niet. Ze vervangt geen fraudetraining voor je financiële afdeling.
Twee grenzen horen erbij. Herkenning is nooit volledig, daarom is de review door een mens verplicht. En gepseudonimiseerde gegevens blijven voor jouw organisatie persoonsgegevens. Hoe de maatregelen zich verhouden tot de regels staat op de pagina over de AVG en de AI Act. Wil je zien hoe het werkt, vraag dan een demo aan.
Niet altijd. Het Wetboek van Strafrecht noemt het woord deepfake niet. Een seksuele afbeelding van iemand maken zonder toestemming is wel strafbaar, en een deepfake gebruiken om iemand geld afhandig te maken kan oplichting zijn. Buiten je persoonlijke kring gelden daarnaast de AVG en het portretrecht. Of een concreet geval strafbaar is, beoordelen het Openbaar Ministerie en de rechter.
De AI Act verbiedt deepfakes niet in het algemeen. Sinds 2 augustus 2026 moet wie beroepsmatig een deepfake maakt of bewerkt, bekendmaken dat het materiaal kunstmatig is. Aanbieders van generatieve AI moeten hun uitvoer machineleesbaar markeren. Op 2 december 2026 gaat daarnaast een verbod in op AI-systemen die zonder toestemming seksueel beeldmateriaal van herkenbare personen maken, en op systemen die materiaal van seksueel kindermisbruik maken.
Ja, als je organisatie of een professional de deepfake maakt en verspreidt. Dat volgt uit artikel 50 van de AI Act. De melding moet duidelijk zijn en uiterlijk bij het eerste contact met het materiaal worden gegeven. Bij duidelijk artistiek, satirisch of fictief werk is een beperkte melding genoeg.
Vraag de maker de deepfake te verwijderen. Volgens de Autoriteit Persoonsgegevens is de maker daar meestal toe verplicht. Weet je niet wie de maker is, vraag het dan aan het platform waarop de deepfake staat. Bij een weigering kun je een klacht indienen bij de Autoriteit Persoonsgegevens. Bij een seksuele deepfake kun je aangifte doen bij de politie.
Vertrouw daarvoor niet op je ogen en oren, en ook niet op een detectietool. Let op het verzoek zelf: haast, geheimhouding, een onbekende rekening en een route die afwijkt van de gewone procedure. Bel terug op een nummer dat je al had en laat een tweede persoon de betaling goedkeuren.
Een stem die naar één persoon herleidbaar is, is informatie over een identificeerbare persoon en valt daarmee onder de definitie van een persoonsgegeven in de AVG. Een organisatie die iemands stem opneemt, kloont of gebruikt, heeft daarvoor een grondslag nodig en moet de betrokkene informeren. Een opname is niet vanzelf een bijzonder persoonsgegeven. Dat wordt ze pas bij technische verwerking om iemand uniek te identificeren.
De tijdlijn van de AI Act na de digitale omnibus: wat al geldt, wat is verschoven naar 2027 en 2028, en wat je als gebruiker van AI-chatbots nu regelt.
Wat het Algoritmeregister en het IAMA zijn, wat verplicht is en wat niet, en wat een gemeente regelt als medewerkers AI-chatbots gebruiken.
Wanneer je voor een AI-chatbot of AI-zoekfunctie een DPIA moet uitvoeren, wat erin hoort te staan en hoe je haar in zeven stappen aanpakt.
We laten het zien met fictieve dossiers uit jouw branche: upload, herkenning, review, zoeken en de koppeling met je AI-assistent. Daarna weet je precies wat je team veilig kan gebruiken.
Plan een demo →