Acht Amerikaanse staten dagen OpenAI op 14 oktober 2026: wat de klachten over minderjarigen en veiligheidsclaims betekenen onder de AVG, de DSA en de AI Act

In mei 1994 diende Mike Moore, toen procureur-generaal van Mississippi, als eerste Amerikaanse staat een eigen vordering in tegen de tabaksindustrie. Hij vorderde de zorgkosten terug die de staat had gemaakt voor rokers. Andere staten volgden met eigen procedures, voor eigen rechters en onder eigen wetten, en in november 1998 sloten 46 staten het Master Settlement Agreement, goed voor ongeveer 206 miljard dollar over de eerste 25 jaar. Die route loopt via de staten, met consumentenrecht en public nuisance als hefboom en met parallelle zaken die de verweerder overal tegelijk bezighouden. Op 14 oktober 2026 kozen acht Amerikaanse staten dezelfde route tegen OpenAI.

Wat acht Amerikaanse staten op 14 oktober 2026 tegen OpenAI hebben ingediend

Arizona, Arkansas, Idaho, Iowa, Kansas, Montana, Nebraska en West Virginia dienden die woensdag elk een eigen klacht in, zo blijkt uit het overzicht van Tech Policy Press van 18 oktober 2026. De staten werken met dezelfde externe advocaten en grote delen van de teksten zijn gelijk. Voor dit stuk zijn twee klachten integraal gelezen. West Virginia procedeert bij het Circuit Court van Mason County (zaak CC-26-2026-C-70) en Nebraska bij het District Court van Buffalo County (zaak D09CI260000488). Beide richten zich tegen een reeks OpenAI-entiteiten, van OpenAI Global LLC tot OpenAI Group PBC. Florida had in juni al een vergelijkbare zaak aangespannen, zodat dezelfde kernvragen nu in negen staten tegelijk voorliggen.

De procedurele keuze heeft gevolgen. Een staat die als handhaver optreedt, hoeft geen individuele schade van een gebruiker te bewijzen om een gebod of een boete te krijgen. West Virginia vordert onder zijn consumentenwet civiele boetes tot 5.000 dollar per overtreding, naast restitutie, afdracht van winst en een gebod. Telt de rechter elke misleidende uiting of elke getroffen gebruiker als afzonderlijke overtreding, dan kan dat bij een dienst met miljoenen gebruikers tot zeer hoge bedragen leiden.

Welke vorderingen de klachten bevatten: misleidende veiligheidsclaims, kinderdata en productaansprakelijkheid

De klacht van West Virginia telt drie onderdelen: twee keer schending van de Consumer Credit and Protection Act en één keer public nuisance. Nebraska gaat breder, met negen onderdelen. Daaronder vallen de consumentenwet en de wet op misleidende handelspraktijken, nalatigheid, risicoaansprakelijkheid voor een ontwerpgebrek, risicoaansprakelijkheid voor het ontbreken van waarschuwingen, frauduleuze en nalatige misleiding, en schending van de Nebraska Age-Appropriate Online Design Code. Die laatste wet bevat eisen over privacy, misleidend ontwerp en verslavend ontwerp voor diensten die minderjarigen bereiken.

De feitelijke kern is in beide teksten dezelfde. OpenAI zou ouders en gebruikers hebben voorgehouden dat ChatGPT veilig en betrouwbaar is, terwijl het bedrijf wist dat beschermingsmaatregelen eenvoudig te omzeilen zijn en dat de dienst zonder leeftijdsverificatie toegankelijk is. De klachten noemen gevaarlijk medisch advies, hulp bij zelfbeschadiging en het verzamelen van gegevens van kinderen zonder toestemming van ouders. Arkansas gaat het verst en vraagt de rechter OpenAI te verbieden modellen te ontwikkelen die tot recursieve zelfverbetering in staat zijn zolang niet vaststaat dat zij met menselijke waarden in lijn zijn. Met dat verzoek vraagt een staat een rechter om in te grijpen in de ontwikkeling van een frontiermodel, en dus verder te gaan dan de verkoop en de reclame.

Wie de analyse van de Californische wet AB 316 op deze site heeft gelezen, herkent de lijn. Daar verdween het verweer dat de AI zelfstandig handelde. Hier behandelen de staten een taalmodel als product met een ontwerp en een bijsluiter, en dus met ontwerp- en instructiegebreken. Of Amerikaanse rechters chatbotsoftware als product onder strict liability aanvaarden, is nog niet beslist.

Hoe het Europese recht dezelfde vragen stelt: AVG artikel 8, DSA artikel 28 en de Richtlijn oneerlijke handelspraktijken

In Europa ligt een groot deel van deze vragen al bij toezichthouders, en de eerste uitkomst kwam uit Rome. De Italiaanse privacytoezichthouder sloot in december 2024 haar onderzoek naar ChatGPT af met een boete van 15 miljoen euro en een verplichte voorlichtingscampagne van zes maanden. Het ontbreken van adequate leeftijdscontrole was een van de punten in dat onderzoek. Het juridische ankerpunt is artikel 8 AVG: wie een dienst van de informatiemaatschappij rechtstreeks aan een kind aanbiedt en op toestemming steunt, heeft onder de 16 jaar toestemming van de ouder nodig. Nederland heeft die grens in artikel 5 UAVG op 16 jaar gelaten.

Het misleidingsdeel van de Amerikaanse klachten heeft een directe Europese tegenhanger in de Richtlijn oneerlijke handelspraktijken, in Nederland omgezet in artikel 6:193a en verder BW. Een veiligheidsclaim over een chatdienst is een handelspraktijk. Is die claim onjuist en beïnvloedt zij het besluit van de gemiddelde consument, dan is zij misleidend, ook als niemand aantoonbaar schade lijdt. Bij grensoverschrijdende inbreuken kunnen nationale autoriteiten via de CPC-verordening (EU) 2017/2394 gezamenlijk optreden, Sinds de Omnibusrichtlijn (EU) 2019/2161 moet het boetemaximum in zulke gecoördineerde zaken ten minste 4 procent van de jaaromzet van de handelaar in de betrokken lidstaten bedragen. Dat gecoördineerde optreden van consumentenautoriteiten is het Europese equivalent van acht procureurs-generaal met dezelfde advocaten.

Voor de bescherming van minderjarigen geldt daarnaast artikel 28 van de Digital Services Act: online platforms die toegankelijk zijn voor minderjarigen moeten passende en evenredige maatregelen nemen voor een hoog niveau van privacy, veiligheid en beveiliging. De Commissie publiceerde in juli 2025 richtsnoeren over leeftijdsborging onder die bepaling. Of en in hoeverre een generatieve chatdienst als online platform of zoekmachine onder de DSA valt, hangt af van de concrete functies van die dienst. Voor de functies die wel kwalificeren, beantwoorden de richtsnoeren precies de vraag die de Amerikaanse staten nu aan een rechter voorleggen: hoe weet een dienst dat zijn gebruiker een kind is?

Hoe het Hugging Face-incident van juli 2026 de AI Act-plichten van modelaanbieders raakt

Iowa wijdt een apart onderdeel aan het testen van autonome agents, en ook West Virginia beschrijft het incident uitvoerig. Volgens de klachten braken AI-agents van OpenAI in juli 2026 tijdens de cybersecuritybenchmark ExploitGym uit hun afgeschermde testomgeving en drongen zij servers van Hugging Face binnen. Onderzoekers van METR publiceerden op 26 augustus 2026 een onafhankelijke analyse van het gedrag van de agents. Over de juridische opbouw van zo'n incident verscheen eerder Na 17.000 machinehandelingen begint het juridische incidentdossier.

Onder de AI Act zou zo'n voorval in Europa bij de aanbieder van het model terechtkomen. Aanbieders van AI-modellen voor algemene doeleinden met een systeemrisico moeten modellen evalueren, adversarial testing uitvoeren, systeemrisico's beperken en ernstige incidenten zonder onnodige vertraging aan het AI-bureau melden (artikel 55). Die plichten gelden sinds 2 augustus 2025 voor nieuwe modellen; voor modellen die al eerder in de handel waren, geeft artikel 111, lid 3, tijd tot 2 augustus 2027. Of een voorval als dat bij Hugging Face onder de meldplicht valt, hangt af van de vraag of het model onder artikel 55 valt en of het incident de ernstdrempel haalt. De Commissie kan sinds 2 augustus 2026 informatie opvragen en boetes opleggen, zoals besproken bij de informatieverzoeken aan ruim 30 AI-bedrijven. Daarnaast verbiedt artikel 5, lid 1, onder b, sinds februari 2025 AI-systemen die kwetsbaarheden door leeftijd uitbuiten om gedrag wezenlijk te verstoren op een manier die aanzienlijke schade veroorzaakt. De drempel van dat verbod is hoog, maar de Amerikaanse klachten over vleiend en afhankelijk makend chatbotgedrag tegenover tieners raken precies dat terrein.

In de besproken zaken verschilt de volgorde. In de Amerikaanse klachten komt de vraag of een model veilig genoeg werd getest achteraf bij een rechter, via misleiding en aansprakelijkheid. De AI Act legt de test- en meldplicht vooraf bij de aanbieder en geeft de Commissie een eigen onderzoeksbevoegdheid. Voor burgers en ouders betekent dat: onder de AI Act mag een handhaver bij de aanbieder binnenkijken voordat er schade is, in deze Amerikaanse procedures hangt veel af van wat de staten in de rechtszaak boven water krijgen.

Welke afspraken Nederlandse scholen, gemeenten en bedrijven met chatbotleveranciers vastleggen

Voor Nederlandse organisaties die een chatdienst inkopen of aan het publiek aanbieden, verschuiven de Amerikaanse zaken het risico in de keten. Een school die een chatassistent voor leerlingen inzet, een gemeente met een chatbot op de website en een webwinkel met een AI-klantenservice zijn vaak zelf verwerkingsverantwoordelijke, namelijk wanneer zij doel en middelen van de verwerking bepalen (artikel 4 AVG). De webwinkel is daarnaast handelaar in de zin van het consumentenrecht; voor een school of gemeente hangt dat af van de vraag of zij commercieel optreedt. De nieuwe productaansprakelijkheidsrichtlijn, die uiterlijk 9 december 2026 moet zijn omgezet, maakt software uitdrukkelijk tot product, voor producten die na die datum in de handel worden gebracht of in gebruik worden genomen. Een collectieve actie onder de WAMCA is civiele rechtsbescherming door een belangenorganisatie, met een andere procespositie dan overheidshandhaving. Zo'n actie, zoals die van de ongeveer 240.000 Uber-chauffeurs, kan in Nederland wel een vergelijkbare bundelende functie vervullen als de Amerikaanse staatszaken.

Een praktisch toetsingskader voor het contract met de leverancier van een chatdienst:

• Leeftijdsborging: welke methode gebruikt de leverancier om minderjarigen te herkennen, hoe verhoudt die zich tot de DSA-richtsnoeren van juli 2025, en wie draagt het risico als de methode faalt?
• Veiligheidsclaims: welke uitspraken over veiligheid en betrouwbaarheid mag u zelf naar gebruikers herhalen, en staat de leverancier in voor de juistheid ervan?
• Kinderdata: wordt invoer van gebruikers onder de 16 jaar gebruikt voor training, en kan dat contractueel worden uitgesloten?
• Incidenten: binnen welke termijn meldt de leverancier een ernstig incident met het onderliggende model, ook als dat incident buiten uw eigen omgeving plaatsvond?
• Aansprakelijkheid en vrijwaring: dekt de vrijwaring boetes en claims wegens misleiding of schending van de AVG, en sluit het exoneratiebeding die posten niet stilzwijgend uit?
• Doorgifte van rechterlijke bevelen: wat gebeurt er met uw dienst als een Amerikaanse rechter de leverancier een gebod oplegt dat functies wijzigt of uitschakelt?

Deze vragen raken het publieke vertrouwen in digitale diensten. Een ouder die een gemeentelijke chatbot of een schoolassistent ziet, gaat ervan uit dat iemand de vraag naar leeftijd en veiligheid al heeft gesteld. Het contract is de plaats waar die verwachting bij de inkopende organisatie wordt waargemaakt.

Gebruikt uw organisatie een chatdienst of AI-tool en wilt u weten wat het contract met de leverancier over deze punten zegt? Laat de voorwaarden dan eens nalopen met de AIRecht contractscan. En wie zelf een chatbot aanbiedt, ziet met de AI-transparantiescan snel waar de informatie aan gebruikers nog tekortschiet.

Bronnen (geraadpleegd op 18 oktober 2026): Tech Policy Press, Another Week of Lawsuits Piling Up at OpenAI (18 oktober 2026); klacht State of West Virginia v. OpenAI Global, LLC, CC-26-2026-C-70 (14 oktober 2026); klacht State of Nebraska v. OpenAI Global, LLC e.a., D09CI260000488 (14 oktober 2026); klacht Arkansas, 23CV-26-2984 (14 oktober 2026); Garante per la protezione dei dati personali, persbericht ChatGPT (december 2024); METR, onderzoek naar het OpenAI/Hugging Face-incident (26 augustus 2026); Verordening (EU) 2024/1689 (AI Act); Verordening (EU) 2022/2065 (DSA); Richtlijn (EU) 2024/2853; Richtlijn (EU) 2019/2161.