Generatieve AI kan heel overtuigend klinken, maar dat betekent nog niet altijd dat de output ook klopt. Denk aan een chatbot die een klant onjuist informeert, of een interne legal tool die verwijst naar een contractclausule die simpelweg niet bestaat. Het zijn scenario’s die vandaag de dag vaker voorkomen dan men zou verwachten. En zodra op die output wordt vertrouwd en daardoor schade ontstaat, komt de aansprakelijkheidsvraag in beeld.
Wie dan precies aansprakelijk is voor foutieve AI-output, laat zich overigens meestal niet in één zin beantwoorden. Dat hangt af van de omstandigheden van het geval, de wijze waarop het systeem is ingericht en gebruikt, de contractuele verhoudingen tussen partijen en de vraag wie het risico in redelijkheid had moeten beheersen. Juist bij AI is die analyse vaak minder eenvoudig dan bij traditionele software of klassieke menselijke besluitvorming.
Waarom aansprakelijkheid voor AI-output een actueel thema is
Generatieve AI-systemen kunnen zogeheten hallucinaties produceren. De output lijkt dan heel plausibel en bruikbaar, maar is feitelijk onjuist of soms zelfs geheel verzonnen is. Hoe dieper dergelijke systemen worden geïntegreerd in bedrijfsprocessen, hoe groter het juridische en operationele belang van die beperking wordt.
Hoewel niet iedere onjuistheid in AI-output meteen tot aansprakelijkheid zal leiden, kan foutieve output in de praktijk wel degelijk aanleiding geven tot complexe discussies over verantwoordelijkheid en risicoverdeling. Voor veel organisaties is het onderwerp daarmee niet meer alleen relevant vanuit IT-perspectief, maar ook vanuit governance en aansprakelijkheid.
Wat maakt AI juridisch complexer dan traditionele software?
De aansprakelijkheidsvraag rond AI is mede complex omdat moderne AI-systemen niet altijd werken als traditionele, volledig voorspelbare software. Veel systemen zijn getraind op grote hoeveelheden data en genereren output op basis van statistische patronen en waarschijnlijkheden, niet op basis van een vast beslisschema dat voor iedere uitkomst eenvoudig te reconstrueren is.
Dat maakt de juridische beoordeling lastiger. Bij klassieke aansprakelijkheidsvragen wordt doorgaans gekeken naar menselijke keuzes, concrete fouten, een gebrekkig product of een duidelijke normschending. Bij AI is dat minder rechtlijnig. De schade kan bijvoorbeeld samenhangen met trainingsdata, modelontwerp, gebrekkige instructies, onjuist gebruik, onvoldoende menselijk toezicht of een combinatie daarvan. Ook kan het lastig zijn om precies vast te stellen welke schakel in de keten doorslaggevend is geweest voor de foutieve uitkomst.
Juridisch kader: AI Act, contract en algemene aansprakelijkheidsregels
De Europese AI Act introduceert een nieuw kader voor AI-toepassingen binnen de EU. Dat kader is risicogebaseerd en legt afhankelijk van de rol en de toepassing verschillende verplichtingen op. Daarmee ontstaat echter geen volledig nieuw civielrechtelijk aansprakelijkheidsstelsel. Bestaande regels over wanprestatie, onrechtmatige daad, zorgplicht en sectorspecifieke normen blijven dus gewoon relevant.
Voor organisaties betekent dit dat zij de aansprakelijkheidsvraag niet uitsluitend vanuit AI-regelgeving moeten benaderen. De vraag of sprake is van aansprakelijkheid zal in de praktijk vaak worden beoordeeld aan de hand van bestaande privaatrechtelijke kaders, aangevuld met relevante publiekrechtelijke normen. De AI Act kan daarbij indirect gewicht krijgen, bijvoorbeeld omdat niet-naleving meeweegt in de beoordeling van zorgvuldigheid of normschending.
Wie kan er allemaal aansprakelijk zijn?
Een AI-systeem zelf is, naar Nederlands recht, geen drager van rechten en plichten. Aansprakelijkheid rust dus altijd op de desbetreffende natuurlijke personen of rechtspersonen.
In de praktijk komen meerdere partijen in beeld:
De leverancier of producent kan aansprakelijkheidsrisico lopen wanneer de schade samenhangt met een ontwerpfout, gebrekkige software, ondeugdelijke documentatie, problematische trainingsdata, onvoldoende beveiligingsmaatregelen of gebrekkige waarschuwingen over beperkingen van het systeem.
De gebruiker, afnemer of exploitant kan in beeld komen wanneer een AI-systeem onjuist wordt ingezet, onvoldoende wordt gecontroleerd, buiten het beoogde doel wordt gebruikt of zonder passende menselijke verificatie wordt toegepast in gevoelige processen.
De dienstverlener die AI-output doorgeeft aan klanten of eindgebruikers kan eveneens risico lopen wanneer output naar buiten wordt gebracht op een manier die het vertrouwen wekt dat deze inhoudelijk is gevalideerd of geschikt is om op te vertrouwen.
In veel gevallen zal de aansprakelijkheidsvraag dus niet neerkomen op één enkele partij. Denkbaar is dat meerdere schakels in de keten een rol hebben gespeeld, ieder vanuit een eigen verantwoordelijkheid.
Contractuele aansprakelijkheid richting AI-leveranciers
Een belangrijk vertrekpunt is de contractuele verhouding met de leverancier van de AI-oplossing. In standaardvoorwaarden van technologie- en cloudleveranciers worden aansprakelijkheidsrisico’s vaak vergaand beperkt.
Voor afnemers betekent dit dat het risico niet automatisch bij de leverancier terechtkomt wanneer output onjuist blijkt. Juist daarom verdienen de contractuele afspraken bij de inkoop van AI extra aandacht.
Bij grote aanbieders is de contractuele speelruimte overigens vaak beperkt. Maar bij gespecialiseerde leveranciers of de wat kleinere partijen bestaat doorgaans meer ruimte om goede afspraken te maken.
Aansprakelijkheid richting klanten en eindgebruikers
Minstens zo relevant is natuurlijk de vraag hoe de aansprakelijkheid richting klanten of eindgebruikers is ingericht. Wie AI inzet als onderdeel van de eigen dienstverlening, kan zich namelijk niet zonder meer verschuilen achter het argument dat de fout “uit het systeem” kwam. Zeker niet wanneer de output wordt gepresenteerd als bruikbare of gevalideerde informatie.
Disclaimers kunnen wellicht helpen, maar zijn zelden afdoende als enige maatregel. Een algemene waarschuwing dat AI fouten kan maken, zal in veel gevallen dus onvoldoende zijn wanneer de context juist uitnodigt tot vertrouwen op de output. Het komt daarom meestal aan op de combinatie van contractuele afspraken en duidelijke communicatie.
Denk daarbij aan:
- een heldere afbakening van de rol van AI in de dienstverlening;
- expliciete algemene voorwaarden over gebruik en interpretatie van output;
- transparantie over de mate van automatisering;
- verificatiestappen voordat output extern wordt gebruikt;
- interne escalatieprocedures bij twijfelachtige of risicovolle output.
Welke maatregelen passend zijn, hangt natuurlijk af van de aard van de toepassing.
AI governance en organisatorische beheersmaatregelen
Het beperken van risico’s begint niet pas op het moment dat een claim wordt ingediend, maar al bij de manier waarop de organisatie is ingericht. Contracten zijn daarbij belangrijk, maar vormen slechts een deel van het geheel. Uiteindelijk gaat het erom of een organisatie haar AI-governance zo heeft ingericht dat voorzienbare risico’s tijdig worden onderkend en zoveel mogelijk worden beheerst.
Dat begint met een inventarisatie van gebruikte AI-toepassingen. Welke tools worden ingezet? Voor welke doeleinden? En met welke data? Vervolgens ligt een risicogebaseerde aanpak voor de hand. Niet iedere toepassing vraagt om hetzelfde controleniveau.
Nieuwe richtlijn productaansprakelijkheid en AI
Voor de aansprakelijkheidsvraag is ook de herziene Richtlijn productaansprakelijkheid (EU) 2024/2853 relevant. Daarin worden software en AI-systemen uitdrukkelijk onder het productbegrip gebracht. Dat kan er bijvoorbeeld toe leiden dat producenten op grond van risicoaansprakelijkheid worden aangesproken wanneer een AI-systeem gebrekkig is. Daarnaast bevat de richtlijn regels die de bewijspositie in technisch complexe zaken kunnen verlichten.
Aansprakelijkheid voor AI-output vraagt om actie
De juridische risico’s rond AI-output laten zich niet met een simpele disclaimer ondervangen. In de praktijk vraagt dit om een samenhangende aanpak, waarin contracten, governance, interne processen en toezicht op elkaar aansluiten.
Voor organisaties die AI inzetten, is het daarom zaak om niet pas in actie te komen zodra een incident zich voordoet. Juist door vooraf duidelijke kaders te stellen, verantwoordelijkheden scherp te beleggen en passende beheersmaatregelen te treffen, kunnen veel discussies achteraf worden voorkomen.
Wil je in kaart brengen waar de belangrijkste AI-risico’s binnen jouw organisatie liggen, of bezien hoe aansprakelijkheid contractueel en organisatorisch het best kan worden ondervangen? Wij denken graag met je mee.
