AI-camera’s en transparantie: waarom professionele beveiliging sinds 2 augustus 2026 anders moet inkopen

Een slimme camera is niet per definitie een problematische camera. Maar sinds 2 augustus 2026 is het voor organisaties niet meer genoeg om alleen te vragen wat een AI-functie detecteert. Wie camera’s, toegangscontrole of crowd-monitoring inzet, moet ook kunnen uitleggen of personen door AI worden geanalyseerd en, in bepaalde gevallen, hoe zij daar tijdig over worden geïnformeerd.

Dat is de praktische consequentie van Artikel 50 van de Europese AI Act. De Europese Commissie publiceerde op 20 juli 2026 richtsnoeren over de transparantieverplichtingen voor aanbieders en gebruikers van bepaalde AI-systemen; de bepalingen zijn vervolgens op 2 augustus 2026 van toepassing geworden. Voor professionele beveiliging zit de kern niet in standaarddetectie van een persoon die een lijn overschrijdt. De aandacht gaat vooral naar systemen die emotieherkenning of biometrische categorisering gebruiken.

Dat maakt transparantie geen juridisch voetnootje dat na de installatie met een algemeen privacybord wordt opgelost. Het wordt een keuze die al in het bestek, de configuratie, de plaatsing en de bezoekersroute moet zitten.

De relevante vraag is niet: heeft deze camera AI?

De term AI wordt in de beveiligingsmarkt breed gebruikt. Een camera kan mensen, voertuigen, pakketten, rook, beweging of een achtergelaten object herkennen. Zulke analyse is operationeel waardevol: minder irrelevante meldingen, gerichtere opvolging en een beheersbaarder beeld voor de meldkamer. Maar niet iedere vorm van videoanalyse valt daardoor automatisch onder dezelfde transparantieverplichtingen van Artikel 50.

Het gesprek verandert wanneer een oplossing verder gaat dan object- of gebeurtenisdetectie. Denk aan software die uit gezichten, stemkenmerken, lichaamstaal of bewegingen een emotionele toestand probeert af te leiden, of die mensen indeelt aan de hand van biometrische kenmerken. Dan moet een inkoper niet tevreden zijn met de marketingterm ‘behaviour analytics’. De relevante vervolgvraag is: welke gegevens worden geanalyseerd, welke conclusie trekt het systeem over personen en staat die functie werkelijk aan?

De Europese Commissie noemt juist emotieherkenning en biometrische categorisering als situaties waarin mensen steeds vaker zonder hun medeweten aan AI kunnen worden blootgesteld. Dat roept risico’s op voor vertrouwen, misleiding en manipulatie. Voor een securitymanager is dat geen abstract Europees debat. Het is een vraag die zich voordoet aan de toegangspoort, in een winkelcentrum, op een evenemententerrein of in een bedrijfsgebouw.

Wat Artikel 50 concreet naar de fysieke omgeving brengt

Volgens de AI Act Service Desk over Artikel 50 moeten gebruikers van systemen voor emotieherkenning of biometrische categorisering natuurlijke personen informeren wanneer zij aan die systemen worden blootgesteld. Die informatie moet duidelijk, onderscheidbaar en toegankelijk zijn, uiterlijk bij de eerste interactie of blootstelling.

Voor fysieke beveiliging is vooral dat laatste belangrijk. Iemand informeren nadat hij een zone al is binnengegaan en geanalyseerd, is een zwak uitgangspunt. Een algemene privacyverklaring diep op een website is evenmin vanzelfsprekend voldoende als enige voorziening. Transparantie moet aansluiten op het moment en de plaats waarop de verwerking de persoon raakt.

Dat betekent niet dat elke locatie vol moet hangen met juridisch dichtgetimmerde tekst. Integendeel: goede transparantie begint met een leesbare, concrete boodschap bij de ingang of vóór de geanalyseerde zone. Afhankelijk van de toepassing kan die worden aangevuld via bezoekersregistratie, een digitale uitnodiging, een badgeprocedure, een app of interne communicatie richting medewerkers. De vorm verschilt per locatie; de timing en begrijpelijkheid zijn het ontwerpvraagstuk.

Een concertzaal laat zien waarom dit geen theoretische nuance is

De AI Act Service Desk geeft een illustratief voorbeeld van een AI-oplossing die camerabeelden op een concert gebruikt om de stemming van het publiek te beoordelen en extra beveiliging naar een bepaalde zone te sturen. Operationeel klinkt dat aantrekkelijk: een team eerder verplaatsen voordat een situatie escaleert. Maar zodra een systeem ‘stemming’ uit personen probeert af te leiden, is het niet langer slechts een camera die drukte telt.

De les voor organisatoren, beveiligingsbedrijven en installateurs is helder. Zet functies zoals agressie-, stress-, intentie- of stemmingsanalyse niet weg als onschuldige uitbreidingen van crowd management. Vraag precies welke modellen actief zijn, welke invoer ze gebruiken, welke output aan een operator wordt getoond en welke actie die output kan uitlokken. Pas daarna kan worden bepaald welke informatieplicht, privacybeoordeling en operationele beperking nodig zijn.

Biometrische verificatie is niet hetzelfde als stille identificatie

In de praktijk worden begrippen als gezichtsherkenning, biometrie en toegangscontrole vaak op één hoop gegooid. Dat is onhandig en kan tot verkeerde beslissingen leiden. De Europese uitleg maakt onderscheid tussen biometrische verificatie en biometrische identificatie op afstand.

Biometrische verificatie kan bijvoorbeeld betekenen dat een geregistreerde medewerker actief bevestigt dat hij degene is die toegang tot een beveiligde ruimte vraagt. Volgens de FAQ van de AI Act Service Desk is zo’n toepassing niet op zichzelf verboden en valt zij ook niet automatisch in de categorie hoog-risico-AI. Dat betekent nadrukkelijk niet dat elke implementatie probleemloos is: doelbinding, noodzaak, beveiliging en de regels voor persoonsgegevens blijven relevant.

Een andere situatie is het onopvallend vergelijken van gezichten uit camerabeelden met een referentiedatabase, bijvoorbeeld in een publiek toegankelijke ruimte. Daar zijn de risico’s en de juridische beoordeling wezenlijk anders. De Service Desk benadrukt dat verboden biometrische praktijken beperkt zijn, terwijl sommige toegestane toepassingen aanvullende regels of een hoog-risicokader kunnen meebrengen. De functieomschrijving van de leverancier is dus onvoldoende: de feitelijke inzet telt.

Van aanbesteding tot bord bij de ingang: vier keuzes die nu samenhangen

1. Maak van de AI-inventaris een technische acceptatietest

Vraag bij aankoop, huur, uitbreiding of contractverlenging niet alleen naar resolutie, retentie en integraties. Leg vast welke AI-functies aanwezig zijn, welke standaard geactiveerd zijn en welke functies per camera, gebruiker of locatie kunnen worden uitgeschakeld. Inventariseer ook of een platform gezichten, stemmen, loopstijl of andere biometrische kenmerken vergelijkt of categoriseert.

Dit is meer dan leveranciersadministratie. Zonder functie-inventaris weet een organisatie niet welke transparantiemaatregelen aan een specifieke ingang, verdieping of tijdelijke locatie gekoppeld moeten worden. Voor een reguliere opstelling voor videobewaking is die inventaris bovendien een logisch onderdeel van de oplevering, naast kijkhoeken, toegang tot beelden en logging.

2. Ontwerp informatie waar mensen de analyse werkelijk ontmoeten

Een beveiligingsarchitect tekent camera’s, netwerkpunten en toegangsdeuren in. Vanaf nu hoort daar, waar Artikel 50 van toepassing is, ook een transparantiepad bij: waar komt iemand voor het eerst met de toepassing in aanraking en welke informatie ziet hij daar? Bij een vaste buitenperimeter kan dat andere signalering vergen dan bij een receptie, een personeelsingang of een tijdelijk evenement.

Dit speelt evenzeer bij buitencamerabewaking als bij een ontvangsthal. Buiten moet de informatie zichtbaar zijn vóór de relevante zone; binnen kan zij samengaan met bezoekersinstructies en toegangsvoorwaarden. Het doel is niet om bezoekers te overladen met technische details, maar om niet te verbergen dat een toepassing personen op een specifieke AI-manier analyseert.

3. Verdeel verantwoordelijkheden niet op basis van aannames

De Commissie maakt onderscheid tussen verplichtingen van providers en deployers. Vrij vertaald naar een beveiligingsproject: de fabrikant of softwareleverancier kan niet automatisch alle verplichtingen van de organisatie die het systeem feitelijk inzet overnemen. Evenmin kan de gebruiker ervan uitgaan dat een CE-markering, een datasheet of een privacyverklaring van de leverancier elk gebruiksscenario afdekt.

Contracten zouden daarom expliciet moeten maken welke functies beschikbaar zijn, welke documentatie wordt geleverd, hoe AI-uitvoer wordt gelogd of gemarkeerd en welke configuratiewijzigingen gevolgen kunnen hebben. Bij cloudgebaseerde Wi-Fi videobeveiliging verdient ook de vraag aandacht of updates nieuwe analytics activeren, of bestaande instellingen veranderen. Niet omdat draadloos toezicht per definitie gevoeliger is, maar omdat de functionaliteit en het beheer op afstand sneller kunnen verschuiven.

4. Houd de AVG naast de AI Act op tafel

Artikel 50 vervangt de AVG niet. De AI Act bepaalt uitdrukkelijk dat persoonsgegevens bij emotieherkenning en biometrische categorisering volgens de toepasselijke gegevensbeschermingsregels moeten worden verwerkt. Een informatieplicht vanuit de AI Act is dus niet hetzelfde als een volledige privacybeoordeling. Organisaties moeten onder meer blijven kijken naar doel, rechtsgrond, proportionaliteit, bewaartermijnen, toegangsbeheer en beveiliging van de gegevens.

Ook de European Data Protection Board wijst in haar richtsnoeren over gezichtsherkenning op de zware risico’s van dergelijke technologie in publiek toegankelijke ruimten, met nadruk op noodzaak, proportionaliteit, logging en toezicht. Dat document is gericht op rechtshandhaving, maar onderstreept waarom particuliere organisaties niet lichtvaardig van ‘slim’ naar ‘gezichts- of emotiegestuurd’ moeten opschalen.

Geen algemene pauzeknop voor bestaande systemen

Een relevante nuance is dat de door de Commissie genoemde beperkte respijtperiode tot 2 december 2026 betrekking heeft op markeer- en detectieverplichtingen rond AI-gegenereerde content voor systemen die vóór 2 augustus 2026 op de markt zijn gebracht. Die uitzondering is niet hetzelfde als algemeen uitstel voor de informatieplicht bij emotieherkenning of biometrische categorisering.

Voor securityteams is de praktische boodschap daarom eenvoudig: wacht niet tot een vervangingsproject. Controleer bestaande analytics in camera’s, VMS-platformen, toegangsoplossingen en meldkamerworkflows. Een uitgeschakelde functie vereist een andere beoordeling dan een actief algoritme dat alleen zelden wordt geraadpleegd. Maar ‘we gebruiken het meestal niet’ is geen vervanging voor weten wat er draait.

De volwassen beveiligingsvraag van dit najaar

Professionele beveiliging wordt vaak beoordeeld op zicht, snelheid en bewijswaarde: ziet de camera het incident, komt de melding op tijd binnen, is de opname bruikbaar? Dat blijven essentiële vragen. Sinds 2 augustus 2026 hoort er een vierde vraag bij: kan de organisatie transparant verantwoorden hoe AI personen in die beveiligingsomgeving analyseert?

Wie AI beperkt tot duidelijke detectietaken, wint vaak al veel operationele waarde zonder ingewikkelde persoonsanalyse. Wie verder wil gaan met emotieherkenning of biometrische categorisering, moet transparantie vanaf het eerste ontwerp meenemen. Niet als rem op beveiliging, maar als voorwaarde voor beveiliging die technisch bruikbaar én bestuurlijk verdedigbaar blijft.

Dit artikel biedt redactionele duiding en geen juridisch advies. Beoordeel concrete toepassingen steeds met de verantwoordelijke privacy-, security- en juridische experts.

Sources

• Europese Commissie, richtsnoeren transparantieverplichtingen, 20 juli 2026: https://digital-strategy.ec.europa.eu/en/library/guidelines-transparency-obligations-providers-and-deployers-ai-systems
• Europese Commissie, overzicht Artikel 50-richtsnoeren: https://digital-strategy.ec.europa.eu/en/policies/guidelines-ai-transparency-obligations
• Europese Commissie, FAQ transparantieverplichtingen: https://digital-strategy.ec.europa.eu/en/faqs/transparency-obligations-under-article-50-ai-act
• AI Act Service Desk, biometrie: https://ai-act-service-desk.ec.europa.eu/en/biometrics
• EDPB, Guidelines 05/2022 on facial recognition technology: https://www.edpb.europa.eu/system/files/2023-05/edpb_guidelines_202304_frtlawenforcement_v2_en.pdf