C2PA: het digitale 'ingrediëntenlabel' voor foto's, video's en AI-beelden
Stel je voor dat elke foto en video op internet een bijsluiter had, net als een pak melk in de supermarkt: waar komt dit vandaan, wie heeft het gemaakt, en is er onderweg iets aan veranderd? Dat is in essentie wat de C2PA-standaard probeert te doen. C2PA staat voor Coalition for Content Provenance and Authenticity, een technische afspraak tussen grote techbedrijven en mediaorganisaties om digitale bestanden te voorzien van een soort onvervalsbaar herkomstlabel.
Het label zelf heet Content Credentials en is te herkennen aan een klein pictogram (vaak een 'cr'-icoontje) dat je bij een afbeelding kunt aanklikken. Klik je erop, dan zie je bijvoorbeeld: gemaakt met een Sony-camera op 3 maart, bewerkt in Photoshop, gedeeltelijk gegenereerd met AI. Het gaat er niet om of een foto 'waar' is in de zin van wat erop staat, maar om de herkomst en bewerkingsgeschiedenis inzichtelijk te maken, in een tijd waarin AI-beelden en deepfakes steeds moeilijker van echte opnames te onderscheiden zijn.
Wat is het precies?
Technisch gezien is C2PA geen app of dienst, maar een open specificatie: een set regels waaraan software en apparaten zich kunnen houden. Het proces werkt in grote lijnen zo.
Wanneer een foto of video wordt gemaakt of bewerkt, kan het apparaat of programma een zogeheten manifest toevoegen: een stukje metadata met beweringen ('assertions') over het bestand, zoals de gebruikte camera, het tijdstip, GPS-locatie (optioneel), en welke bewerkingen zijn toegepast. Elke stap in de levenscyclus van een bestand, van opname tot export vanuit een fotobewerkingsprogramma, kan zo'n aantekening toevoegen, waardoor er een keten van 'ingrediënten' ontstaat: het eindresultaat verwijst terug naar eerdere versies.
Om te voorkomen dat iemand deze informatie later vervalst, wordt het manifest cryptografisch ondertekend met een digitale handtekening, vergelijkbaar met de beveiliging die ook bankieren op internet betrouwbaar maakt. Daarnaast wordt een hash (een soort digitale vingerafdruk) van het beeldbestand zelf opgeslagen. Wijzig je ook maar één pixel zonder dit via een erkende, C2PA-ondersteunende toepassing te doen, dan komt de hash niet meer overeen en wordt zichtbaar dat het bestand is aangepast buiten de geregistreerde keten om.
De handtekeningen zijn te herleiden tot certificaten die zijn uitgegeven aan bedrijven en instanties die zich aan de C2PA-regels houden, vergelijkbaar met het slotje bij een beveiligde website. Zo kan een kijker, of eigenlijk de software die het label weergeeft, controleren of de claim 'gemaakt door Reuters' daadwerkelijk van een geverifieerde Reuters-sleutel afkomstig is.
Wat wil men ermee bereiken?
De directe aanleiding voor C2PA is de groeiende zorg over desinformatie: manipulatieve foto's, gemonteerde video's en, recenter, volledig door AI gegenereerde beelden die nauwelijks meer te onderscheiden zijn van echte opnames. Traditioneel forensisch onderzoek naar vervalsingen (op zoek naar compressie-artefacten of belichtingsfouten) wordt steeds lastiger nu AI-modellen realistischer worden.
C2PA kiest een andere invalshoek: in plaats van achteraf te bewijzen dat iets nep is, wil het vooraf een controleerbare herkomst meegeven aan content die dat wil laten zien. Het doel is niet om te garanderen dat een foto 'de waarheid' toont, maar om transparantie te bieden over wie het gemaakt heeft, met welk apparaat of model, en welke bewerkingsstappen zijn doorlopen. Een journalist kan zo aantonen dat een foto rechtstreeks van de cameraopname komt, een AI-bedrijf kan verplicht of vrijwillig aangeven dat een beeld synthetisch is, en platforms kunnen dat label gebruiken om content van waarschuwingen of labels te voorzien.
Een tweede, minder besproken doel is praktisch: fotografen, nieuwsredacties en stockfoto-bureaus willen makkelijker eigenaarschap en makerschap kunnen aantonen, ook los van desinformatie-vraagstukken.
Voorbeelden uit de praktijk
C2PA is inmiddels van papieren specificatie naar concrete producten gegaan, al blijft de schaal nog beperkt.
- Leica M11-P (2023): de eerste camera die Content Credentials rechtstreeks in de hardware ondertekent op het moment van opname, zodat de herkomstclaim al bij de sluiterklik ontstaat in plaats van pas later in software.
- Adobe Photoshop en Firefly: Adobe was medeoprichter van de voorloper Content Authenticity Initiative (2019) en voegt Content Credentials toe aan bestanden die zijn bewerkt of gegenereerd met zijn AI-tool Firefly.
- OpenAI: afbeeldingen die worden gegenereerd met DALL·E 3 en via ChatGPT krijgen sinds 2024 C2PA-metadata mee, als signaal dat het om AI-gegenereerd beeldmateriaal gaat.
- Truepic: een van de oprichtende partijen, gespecialiseerd in 'verified capture'-apps die worden gebruikt in journalistiek en bijvoorbeeld bij het documenteren van verzekeringsschades, waarbij herkomst van bewijsmateriaal cruciaal is.
- BBC: bracht zijn eigen Project Origin in, gericht op herkomstverificatie van nieuwsbeelden, en is een van de partijen die met C2PA experimenteert binnen redactionele workflows zoals BBC Verify.
Ook grote platforms verkennen het gebruik van C2PA-metadata (naast eigen watermerktechnieken) om AI-gegenereerde content te herkennen en te labelen, al verschilt de mate waarin dit consistent en zichtbaar voor gebruikers gebeurt sterk per platform en verandert dit beleid regelmatig.
Hoe ver is de techniek?
De eerste versie van de technische specificatie verscheen begin 2022, gevolgd door meerdere updates. De ontwikkeling gaat in relatief hoog tempo, mede doordat de opkomst van generatieve AI de urgentie heeft vergroot.
Toch is de praktische adoptie nog beperkt. Het overgrote deel van foto's en video's op internet heeft geen Content Credentials, simpelweg omdat het merendeel van camera's, telefoons en bewerkingsapps nog geen ondersteuning biedt. Ook consumenten kennen het pictogram nauwelijks; zonder brede herkenning heeft een echtheidslabel weinig nut.
Een technisch obstakel is de kwetsbaarheid van metadata: een simpele screenshot, het opnieuw comprimeren van een bestand, of het uploaden naar een sociaal netwerk dat metadata verwijdert, kan het hele herkomstlabel laten verdwijnen. Hieraan wordt gewerkt via zogeheten 'durable credentials', waarbij bijvoorbeeld een onzichtbaar watermerk of een online opzoekbare koppeling het label ook laat overleven na bewerking, maar dit is nog volop in ontwikkeling en niet overal betrouwbaar.
Daarnaast blijft er een fundamentele beperking: C2PA bewijst herkomst, geen waarheid. Een kwaadwillende partij kan nog altijd een misleidende foto maken en er, met toegang tot geldige certificaten, een schijnbaar betrouwbaar label aan hangen, of juist besluiten geen label toe te voegen. Het systeem werkt dus vooral als aanvullend vertrouwenssignaal, niet als absolute garantie.
Wie werken eraan?
C2PA werd in 2021 opgericht als samenwerking tussen onder meer Adobe, Arm, BBC, Intel, Microsoft en Truepic, voortbouwend op twee eerdere initiatieven: Adobe's Content Authenticity Initiative en het door de BBC geleide Project Origin, waarbij ook Microsoft, de Canadese omroep CBC en The New York Times betrokken waren. Sindsdien zijn onder meer Sony, Google en OpenAI aangesloten bij het stuurcomité, en doen ook cameramerken als Nikon en Canon en persbureaus mee aan pilots.
De governance van de standaard ligt bij de Joint Development Foundation, een onderdeel van de Linux Foundation dat wordt gebruikt voor het beheer van open technische specificaties. Dat betekent dat C2PA, net als bijvoorbeeld internetprotocollen, in principe voor iedereen vrij te implementeren is, in plaats van eigendom te zijn van één bedrijf.
Landen of overheden spelen vooralsnog een kleinere, meer volgende rol: beleidsmakers in de Europese Unie en de Verenigde Staten volgen initiatieven als C2PA met interesse in de context van wetgeving rond AI-transparantie en desinformatie, maar C2PA zelf is en blijft in de eerste plaats een industriestandaard, geen overheidsverplichting.