Artificiële Intelligentie & Recht
Innovation, Quantum-AI Technology & Law
0

Blog over Kunstmatige Intelligentie, Quantum, Deep Learning, Blockchain en Big Data Law

Blog over juridische, sociale, ethische en policy aspecten van Kunstmatige Intelligentie, Quantum Computing, Sensing & Communication, Augmented Reality en Robotica, Big Data Wetgeving en Machine Learning Regelgeving. Kennisartikelen inzake de EU AI Act, de Data Governance Act, cloud computing, algoritmes, privacy, virtual reality, blockchain, robotlaw, smart contracts, informatierecht, ICT contracten, online platforms, apps en tools. Europese regels, auteursrecht, chipsrecht, databankrechten en juridische diensten AI recht.

Nieuwe productaansprakelijkheid voor software: wat richtlijn (EU) 2024/2853 richting 9 december 2026 doet met exoneratie, bewijslast en AI-dekking

In 1598 stelde de Amsterdamse vroedschap de Kamer van Assurantie en Averij in, een eigen college voor geschillen over zeeverzekering en averij-grosse; het archief daarvan berust bij het Stadsarchief Amsterdam, dat de geschiedenis van die kamer heeft beschreven. Zeeverzekering was in die handel gebruikelijk genoeg om een eigen college te rechtvaardigen; hoe vaak een reis werkelijk op de dekking afketste, laat het archief zich niet in één zin uit. Mijn lezing daarvan, en het uitgangspunt van dit stuk: de bereidheid om risico over te nemen bepaalt vaak eerder wat er gebeurt dan de norm die het risico verdeelt. Dat is een interpretatie, geen rechtsregel.

Op een groen lakense tafel staat een messing barometer op een houten voet naast een geopende instrumentkoffer met rood fluweel, messing zegelstempels, een passer en een scharlaken lakzegel.

Die verhouding tussen norm en dekking komt dit najaar terug. Op 9 december 2026 verstrijkt de termijn waarbinnen de lidstaten richtlijn (EU) 2024/2853 moeten hebben omgezet; de richtlijn ziet op producten die na die datum in de handel worden gebracht of in gebruik worden gesteld, en de Nederlandse omzetting moet landen in afdeling 6.3.3 van Boek 6 BW. De stand van dat wetgevingstraject stel ik hier niet vast; controleer die bij het betreffende wetsdossier. Softwareschade viel ook onder het oude regime niet buiten het aansprakelijkheidsrecht — wanprestatie en onrechtmatige daad bleven beschikbaar, en over het productbegrip werd al jaren geprocedeerd — maar de richtlijn noemt software nu uitdrukkelijk een product en beëindigt die discussie. Aan de andere kant van de oceaan beweegt de verzekeringsmarkt intussen de andere kant op. Het CSIS-stuk van 4 september 2026 meldt dat Amerikaanse staatstoezichthouders meer dan tachtig procent van de door verzekeraars ingediende verzoeken hebben goedgekeurd om AI-gerelateerde schade van dekking uit te sluiten. Dat is een percentage van ingediende verzoeken, niet van alle polissen, en het is een Amerikaans gegeven dat niets bewijst over de Nederlandse markt. Wel een aanwijzing dat verzekeraars dit risico anders waarderen dan wetgevers.


Wat richtlijn (EU) 2024/2853 op 9 december 2026 verandert aan het productbegrip

De richtlijn vervangt richtlijn 85/374/EEG uit 1985, die op tastbare zaken was geschreven. Artikel 4 rekent software nu uitdrukkelijk tot de producten, naast elektriciteit, grondstoffen en digitale fabricagebestanden. Een AI-systeem valt daarmee onder hetzelfde risicoaansprakelijkheidsregime als een remleiding: de benadeelde hoeft geen verwijtbaarheid aan te tonen, alleen gebrekkigheid, schade en het verband daartussen.

Twee keuzes in de tekst raken AI-leveranciers dieper dan de definitie zelf. Artikel 7 betrekt bij de beoordeling van gebrekkigheid het vermogen van een product om na ingebruikneming te blijven leren, en de veiligheidsrelevante cyberbeveiligingseisen. Een model dat in productie doorleert, wordt dus niet uitsluitend beoordeeld naar de toestand op de leverdatum. Artikel 11, tweede lid, snijdt vervolgens één specifiek verweer af: de producent kan zich er niet op beroepen dat het gebrek nog niet bestond toen het product in de handel werd gebracht, wanneer de gebrekkigheid voortkomt uit een gerelateerde dienst, uit software of een update, uit het uitblijven van een voor de veiligheid noodzakelijke update, of uit een substantiële wijziging, voor zover dat binnen de zeggenschap van de producent viel. Het ontwikkelingsrisicoverweer — dat de stand van wetenschap en techniek het gebrek destijds niet kon blootleggen — blijft daarnaast bestaan; die twee verweren worden in commentaren regelmatig door elkaar gehaald. Wie onderhoud als abonnement verkoopt, houdt dus zeggenschap die het eerste verweer raakt, niet het tweede.


Artikel 9 en 10 verplaatsen het bewijsrisico, binnen duidelijke waarborgen

Het scherpste deel van de richtlijn staat in de procesregels. Artikel 9 laat de rechter de gedaagde bevelen relevant bewijs openbaar te maken zodra de eiser feiten en bewijs heeft aangedragen die zijn vordering aannemelijk maken. Dat is geen verplichting om het hele dossier publiek te maken: de rechter toetst noodzakelijkheid en evenredigheid en beschermt vertrouwelijke informatie en bedrijfsgeheimen. Aan het uitblijven ervan verbindt artikel 10 wel het weerlegbare vermoeden dat het product gebrekkig was. Hetzelfde vermoeden geldt bij schending van een dwingende veiligheidseis die juist tegen de geleden schade beoogt te beschermen, en bij een kennelijke storing tijdens redelijkerwijs te verwachten gebruik. Voor het causaal verband bestaat een eigen vermoeden zodra vaststaat dat het product gebrekkig is en de schade daar typisch bij past. Loopt de eiser door technische of wetenschappelijke complexiteit tegen buitensporige bewijsproblemen aan, dan kan de rechter met aannemelijkheid volstaan. Complexiteit alleen is daarvoor niet genoeg: de eiser moet de gebrekkigheid of het causaal verband concreet waarschijnlijk maken. Alle vermoedens blijven weerlegbaar.

Die regels zijn geschreven voor het probleem dat een gedupeerde bij een AI-systeem heeft: trainingsdata, evaluatielogs en wijzigingsgeschiedenis liggen bij de leverancier. De richtlijn maakt van die informatieasymmetrie een procesrisico voor wie de informatie beheert. Dat is een ander mechanisme dan de norm die op 2 september 2026 in Amsterdam voorlag in de collectieve actie tegen Uber over artikel 22 AVG, waar het gaat om geautomatiseerde besluitvorming over personen; hier gaat het om schade door een gebrekkig product, ongeacht of er een besluit aan te pas kwam.


Waar de richtlijn ophoudt: welke schade wel en niet vergoedbaar is

Op dit punt wordt veel commentaar te ruim. Artikel 6 beperkt de vergoedbare schade tot overlijden, lichamelijk letsel en medisch erkende psychische schade, tot schade aan zaken die niet uitsluitend beroepsmatig worden gebruikt, en tot vernietiging of beschadiging van gegevens die niet beroepsmatig worden gebruikt. Die twee categorieën lopen niet gelijk: een zaak met gemengd gebruik valt er wél onder, gegevens die mede beroepsmatig worden gebruikt niet. Schade aan het gebrekkige product zelf valt erbuiten, en artikel 6, eerste lid, onder b, sluit ook schade aan een samengesteld product uit wanneer het gebrekkige onderdeel daarin is geïntegreerd of daarmee is verbonden door de producent van dat samengestelde product, of onder diens zeggenschap. Zuivere vermogensschade van een onderneming valt buiten de richtlijn. Voor productiestilstand, een misgelopen order of de herstelkosten na een verkeerde modeluitkomst moet een onderneming het zoeken in het contract of in het commune aansprakelijkheidsrecht.

Houd daarbij drie dingen uit elkaar. De eigen vordering van een benadeelde natuurlijke persoon tegen de producent volgt uit de richtlijn en kan contractueel niet worden ingeperkt. Of een onderneming die schade daarna op haar leverancier kan afwentelen, is een kwestie van vrijwaring en regres, en daar werkt een aansprakelijkheidscap in beginsel wel. Of er geld is om te betalen, staat los van beide: een polis vergoedt wat zij dekt, niet automatisch het bedrag boven een cap.


Waarom generatieve AI moeizaam scoort op de negen criteria van Berliner

De verzekeringskant heeft een begrippenkader dat juristen zelden gebruiken. Baruch Berliner formuleerde in 1982 negen criteria voor verzekerbaarheid, waaronder de bepaalbaarheid van de kans, de onafhankelijkheid van schadegevallen, een te overzien maximaal verlies en de afwezigheid van morele risico's. The Geneva Association paste dat raamwerk in 2025 toe op generatieve AI: op drie criteria scoort het risico slecht en op vijf staat het onder druk, met informatieasymmetrie als terugkerende oorzaak. Het rapport noemt die beoordeling contextafhankelijk en beschrijft ook verzekeraars die dekking juist uitbreiden. Van een algehele terugtrekking is geen sprake. Wat opvalt: dezelfde asymmetrie die de actuaris terughoudend maakt, is precies waar artikel 9 en 10 op ingrijpen. De wetgever verlegt het risico naar wie de informatie heeft; de verzekeraar prijst datzelfde informatiegebrek in.

Dat dekking gedrag stuurt, laat zich historisch illustreren, al is de causaliteit zelden zuiver. Het CSIS-stuk wijst op het wegvallen van P&I-dekking rond de Iraanse olie-export in 2012. Daar trok de markt zich niet buiten de wet om terug: de EU-sanctiemaatregelen van 2012 verboden juist verzekering en herverzekering. Verzekering versterkte daar de wettelijke maatregel. Het intrekken van war-risk-dekking voor de Straat van Hormuz op 5 maart 2026 ligt dichter bij een zuivere marktbeslissing. Geen van beide bewijst dat de verzekeraar de wetgever vervangt.


Artikel 6:192 BW en de grens van het exoneratiebeding

Voor de Nederlandse praktijk is de aansluiting eenvoudig. De productaansprakelijkheid staat in afdeling 6.3.3 van Boek 6 BW, en artikel 6:192 lid 1 BW bepaalt dat die aansprakelijkheid niet kan worden uitgesloten of beperkt. De nieuwe richtlijn houdt dat verbod in stand. Zodra software onmiskenbaar binnen die afdeling valt, kan een leverancier zich tegenover een benadeelde natuurlijke persoon niet meer beroepen op de gebruikelijke beperking tot twaalf maanden vergoeding. Veel contracten verwijzen al naar wat de wet niet laat uitsluiten; voor softwareleveranciers was de reikwijdte daarvan tot nu toe onzeker, en voor deze categorie schade is zij dat na 9 december 2026 niet meer.

Wat de AI-verordening hier niet doet, is minstens zo belangrijk. Verordening (EU) 2024/1689 regelt markttoegang, conformiteit en toezicht, en kent de gedupeerde geen recht op schadevergoeding toe. Het voorstel dat dat gat moest vullen, de AI-aansprakelijkheidsrichtlijn, stond in het werkprogramma van de Commissie van 11 februari 2025 op de lijst van in te trekken voorstellen en is daadwerkelijk ingetrokken: de intrekking van COM(2022) 496 is bekendgemaakt in mededeling C/2025/5423 van 6 oktober 2025. Wat er ondertussen ligt, is het nationale civiele recht plus deze productaansprakelijkheidsrichtlijn.


Zes vragen voor uw leverancier en uw makelaar vóór 9 december 2026

  1. Bevat de polis van uw AI-leverancier een uitsluiting voor AI-gerelateerde schade, en sinds welke verlengingsdatum? Vraag de clausule op, niet de samenvatting.
  2. Staat naast de aansprakelijkheidscap een verzekeringsinstandhoudingsverplichting die AI- en cyberrisico's met zoveel woorden noemt, met een verzekerd bedrag en een dekkingsgebied? Cap en polis zijn twee losse vragen; leg ze allebei vast.
  3. Wie houdt de zeggenschap over updates en gerelateerde diensten? Dat bepaalt of het verweer van artikel 11, tweede lid, is afgesneden, en die vraag hoort in het onderhoudsartikel thuis, niet in een bijlage.
  4. Welke logs, evaluatieresultaten en wijzigingsgeschiedenis bewaart de leverancier, hoe lang, en kunt u die opvragen? Artikel 9 maakt van bewaartermijnen een aansprakelijkheidsvraag, met bescherming van bedrijfsgeheimen erbij.
  5. Welk deel van uw AI-toepassingen kan schade aan natuurlijke personen veroorzaken? Voor dat deel geldt het dwingende regime; voor de rest bepalen het contract en het commune aansprakelijkheidsrecht samen wat u kunt afspreken.
  6. Geldt het contract ook voor systemen die vóór 9 december 2026 in de handel zijn gebracht? De richtlijn ziet op producten die daarna in de handel komen of in gebruik worden gesteld, dus een bestaand systeem kan door een substantiële wijziging alsnog binnen de reikwijdte komen.

Deze vragen lijken op de inventarisatie die de Cyberbeveiligingswet en de AVG sinds augustus 2026 naast elkaar vragen, met een ander doel: daar melden binnen 24 of 72 uur, hier de vraag wie over twee jaar de rekening draagt. Hetzelfde patroon zagen we toen exportcontrole de API bereikte en het contract zweeg, en toen Amerikaanse inkoopregels post-quantumcryptografie rechtstreeks in federale contractclausules brachten. Het instrument verandert eerder dan de modelovereenkomst.

Wilt u weten of uw eigen leveranciers- of afnemerscontract hiertegen bestand is, loop uw aansprakelijkheids-, vrijwarings- en verzekeringsbepalingen dan eens langs met de contractscan. Zit uw vraag eerder aan de voorkant, bij wat u over uw AI-systeem moet kunnen uitleggen en vastleggen, dan is de AI-transparantiescan het handigere beginpunt. Houd uw contract of uw systeembeschrijving bij de hand, dan levert het meteen iets op.


Bronnen

Publieke stand van zaken gecontroleerd op 7 september 2026.

AI-rechtMauritz Kopproductaansprakelijkheid, AI-aansprakelijkheid, exoneratie, verzekering, AI Act, contractrecht