Meta liet advertenties voor een deepfake-nudify-app gewoon door

TL;DR

• Wat: Meta toonde 32 advertenties voor de app Kromix, die gebruikers expliciet deepfake-beelden van vrouwelijke politici beloofde.
• Waarom relevant: als ondernemer adverteer je waarschijnlijk op Meta-platforms — en de moderatie van die platforms blijkt flink te lekken.
• Wat je ermee kunt: controleer of jouw advertenties niet naast dit soort content verschijnen en weet dat de EU AI Act per 2 augustus 2026 strengere eisen stelt aan AI-gegenereerde content in advertenties.

Ik viel over dit bericht van WIRED en Ars Technica omdat het twee dingen raakt die mij als ondernemer bezighouden: het advertentieplatform waar veel van ons dagelijks geld aan uitgeven, en de vraag hoe goed dat platform eigenlijk weet wat het verkoopt. Wat hier is gebeurd, vind ik eerlijk gezegd behoorlijk zorgwekkend.

Wat is er precies gebeurd?

Een app genaamd Kromix presenteerde zichzelf in de App Store als een "AI image styler" — een onschuldig klinkende beeldbewerker. Maar achter die façade zat een tool waarmee betalende gebruikers foto's van echte mensen konden uploaden om er deepfake-pornografie van te maken.

Het bedrijf achter Kromix plaatste 32 advertenties op Facebook en Instagram, uitsluitend gericht op mannelijke gebruikers. Eén van die advertenties toonde een AI-gegenereerde vrouw die sterk leek op een prominente vrouwelijke Amerikaanse politicus, staand voor een Amerikaanse vlag, met de tekst: "What if she moved?" Daarna volgde expliciet seksueel beeldmateriaal met hetzelfde gezicht.

De advertenties gebruikten volgens berichten neutrale omslagafbeeldingen — stranden, bergen, watervallen — om de seksuele content te maskeren. Zo glipten ze langs Meta's advertentiecontrole.

Hoe lang liep dit?

Volgens de berichtgeving draaiden de advertenties ongeveer vijf uur en 46 minuten voordat ze werden verwijderd. Dat klinkt misschien kort, maar bedenk: op Meta's schaal kunnen advertenties in die tijd duizenden of zelfs tienduizenden mensen bereiken.

Pas actie na journalistieke vragen

Wat mij hier opvalt, is het patroon. Zowel Apple als Meta ondernamen pas actie nadat WIRED contact opnam voor een reactie. Apple verwijderde Kromix uit de App Store. Meta haalde de advertentiecampagne offline. Maar zonder die journalistieke druk? Dan had dit mogelijk langer doorgelopen.

Apple gaf in een verklaring aan dat Kromix de verboden functionaliteit pas had toegevoegd nadat de app door de initiële App Store-review was gekomen. Apple stelde: "We have always strictly prohibited apps designed to generate, distribute, or consume pornography. Nudification apps are against our App Review Guidelines."

Waarom dit voor ondernemers relevant is

Je zou kunnen denken: dit gaat over politici en deepfakes, wat heeft mijn bedrijf daarmee te maken? Meer dan je misschien verwacht.

Jouw advertenties draaien op hetzelfde platform

Als je adverteert op Facebook of Instagram — en veel MKB-ondernemers doen dat — dan draaien jouw advertenties op hetzelfde platform dat deze content doorliet. Dat raakt je op twee manieren. Ten eerste: je merk kan naast dit soort advertenties verschijnen. Ten tweede: het roept vragen op over hoe grondig Meta advertenties überhaupt controleert.

Kun je je voorstellen dat een klant jouw advertentie ziet, direct gevolgd door een advertentie voor een deepfake-tool? Dat is niet het gezelschap waarin je als ondernemer wilt verkeren.

Advertentiebeleid is niet hetzelfde als handhaving

Meta heeft uitgebreid advertentiebeleid dat seksueel materiaal verbiedt. Dat staat keurig op papier. Maar dit incident — en het is niet het eerste; eerder dit jaar klaagde Meta zelf nog een vergelijkbare app-maker aan die meer dan 87.000 advertenties had geplaatst — laat zien dat er een gat zit tussen beleid en praktijk.

Ik denk dat dit een structureel probleem is, geen incident. Als 32 advertenties met expliciet maskerende technieken doorheen glippen, dan is de vraag: hoeveel andere problematische advertenties passeren de controle zonder dat iemand het merkt?

De EU AI Act: nieuwe regels sinds augustus 2026

De timing van dit incident is opvallend. Per 2 augustus 2026 — dus nog geen drie weken geleden — zijn de transparantieverplichtingen van de EU AI Act officieel van kracht geworden. Artikel 50 van die wet is specifiek relevant hier.

Wat zegt Artikel 50?

Organisaties die AI-systemen inzetten om deepfake-content te genereren of te manipuleren, zijn nu verplicht om duidelijk te maken dat die content kunstmatig is. Dat betekent: technische markeringen zoals watermerken of metadata die aangeven dat iets AI-gegenereerd is.

De definitie van een "deepfake" in de AI Act is breed: elk AI-gegenereerd of AI-gemanipuleerd beeld, audio- of videomateriaal dat lijkt op bestaande personen en dat iemand ten onrechte als authentiek zou kunnen beschouwen.

Wat betekent dit voor jou als ondernemer?

Als je AI-gegenereerde beelden gebruikt in je eigen advertenties — en steeds meer bedrijven doen dat voor productfoto's, social media-content of campagnebeelden — dan val je onder deze transparantieverplichting. Je hoeft geen deepfake-app te maken om hiermee te maken te krijgen. Een AI-gegenereerde productfoto op Instagram kan er al onder vallen.

De boetes zijn niet mals: tot 15 miljoen euro of 3% van de wereldwijde omzet. Dat is geen bedrag waar je als MKB-ondernemer makkelijk overheen stapt.

Het grotere plaatje: platformverantwoordelijkheid

Wat mij bezighoudt bij dit verhaal, is de bredere vraag over platformverantwoordelijkheid. De Digital Services Act (DSA) verplicht grote platforms al om illegale content actief te modereren en te filteren. Toch zien we keer op keer dat actie pas volgt na externe druk — van journalisten, van juristen, van de publieke opinie.

In Nederland loopt overigens een discussie over aparte deepfake-wetgeving. Het kabinet vindt vooralsnog dat bestaand recht — auteursrecht, strafrecht, privacywetgeving — in combinatie met de DSA en AI Act voldoende handvatten biedt. Of dat klopt, zal de praktijk moeten uitwijzen.

Stel dat je als ondernemer een concurrent hebt die met AI-gegenereerde beelden jouw product of medewerkers nabootst in advertenties. Dan wil je weten dat het platform waar die advertenties draaien, daar effectief tegen optreedt. Dit incident laat zien dat die zekerheid er nu niet altijd is.

Een signaal, geen incident

Voor mij is dit vooral een signaal dat de moderatiesystemen van grote platforms niet meegroeien met de mogelijkheden van AI-tools. De technieken om controles te omzeilen worden slimmer — denk aan de neutrale omslagbeelden die Kromix gebruikte — terwijl de detectie achterblijft.

Als ondernemer zou ik twee dingen in de gaten houden. Eén: waar jouw eigen advertenties verschijnen en in welke context. Twee: of je eigen gebruik van AI-gegenereerde content voldoet aan de nieuwe transparantie-eisen van de AI Act. Niet omdat je iets verkeerds doet, maar omdat de regels net zijn veranderd en de handhaving eraan komt.

Wat mij betreft is het veelzeggend dat het een journalist was die dit stopte, niet het algoritme.