AI-aansprakelijkheid in Nederland: wie betaalt als het AI-systeem schade veroorzaakt?

Driekwart van de Nederlandse organisaties heeft de aansprakelijkheid bij AI-schade niet vastgelegd. Tegelijkertijd is het juridische landschap in beweging: de EU AI Act, de herziene Product Liability Directive, het ingetrokken Europese AI Liability-voorstel en ons eigen Burgerlijk Wetboek bepalen samen wie de rekening krijgt. Een complete gids voor directies, juridische teams en compliance officers — met concrete cijfers, een rolverdeling per scenario en een 10-puntige contractuele controlelijst.

De cijfers: een governance-gap die hard groeit

Onderzoeksbureau Dynamic People ondervroeg in mei 2026 in totaal 317 Nederlandse IT- en businessbeslissers. De uitkomsten laten zien dat het zelfvertrouwen rond AI-governance niet wordt gedragen door de werkelijkheid:

Het patroon is bekend uit eerdere governance-studies: perceptie loopt voor op praktijk. Het verschil tussen 59% (denkt klaar te zijn) en 36% (heeft het vastgelegd) — een gat van 23 procentpunt — vertelt het echte verhaal. Bestuurders rekenen op beschermingsmechanismen die in werkelijkheid niet contractueel zijn dichtgezet. Wanneer zich het eerste materiële AI-incident voordoet — een onterechte afwijzing van een kredietaanvraag, een onjuiste medische triage, een hallucinerend juridisch advies — komt die discrepantie ongenadig boven water.

Het juridische kader anno 2026: vier sporen, één eindverantwoordelijkheid

Veel commentaren wijzen reflexmatig naar de EU AI Act als antwoord op de aansprakelijkheidsvraag. Dat is onjuist. De AI Act regelt publiekrechtelijke verplichtingen (Art. 8-15), toezicht (Art. 70 e.v.) en boetes (Art. 99) — maar laat civielrechtelijke aansprakelijkheid grotendeels ongemoeid. Wie civielrechtelijk aanspreekt wie, wordt in Nederland bepaald door vier elkaar overlappende sporen:

1. Productaansprakelijkheid: de herziene PLD (2024/2853)

De nieuwe Europese Product Liability Directive (richtlijn 2024/2853), aangenomen in oktober 2024, kwalificeert AI-systemen en software expliciet als "producten". Lidstaten — Nederland incluis — moeten de richtlijn vóór 9 december 2026 implementeren. De PLD introduceert:

• Een risicoaansprakelijkheid (strict liability) voor schade door gebrekkige AI.
• Een bewijslastverlichting voor benadeelden bij technisch complexe systemen.
• Een discovery-recht: gedaagde producenten moeten technische documentatie vrijgeven.
• Een ruimere definitie van "producent": inclusief degene die een AI-systeem substantieel wijzigt.

Voor Nederlandse organisaties die foundation models fine-tunen of integreren in eigen diensten, betekent dat laatste een fundamentele verschuiving: u kunt — zonder dat u het zelf doorheeft — opschuiven van "gebruiker" naar "producent".

2. Het Burgerlijk Wetboek: oude regels op nieuwe technologie

Bij gebrek aan een specifieke AI-aansprakelijkheidswet vallen Nederlandse rechters terug op het bestaande Burgerlijk Wetboek. Vier bepalingen zijn dominant:

• Art. 6:162 BW — onrechtmatige daad. De algemene grondslag wanneer geen specifieker regime van toepassing is.
• Art. 6:170 BW — aansprakelijkheid van de werkgever voor ondergeschikten. Relevant wanneer een medewerker AI inzet binnen taakuitoefening.
• Art. 6:171 BW — aansprakelijkheid voor niet-ondergeschikten (opdrachtnemers). Relevant bij ingehuurde AI-leveranciers.
• Art. 6:185 BW — productaansprakelijkheid (implementatie oude PLD; wordt herzien).

Nederlandse rechters worstelen met het causaal verband: hoe bewijs je dat juist het AI-systeem — en niet de menselijke beoordelaar — de schade heeft veroorzaakt? De bewijslastverlichting uit de nieuwe PLD vult dat gat deels op, maar lost het niet op voor diensten die buiten het productbegrip vallen.

3. Het gat: de ingetrokken AI Liability Directive

De Europese Commissie heeft het voorstel voor een aparte AI Liability Directive(AILD) in september 2025 ingetrokken. Daarmee verdween het beoogde harmoniserende kader voor schadeclaims bij niet-producten — denk aan AI-as-a-service, advies-AI en algoritmische besluitvorming zonder fysiek product. Voor Nederlandse claimanten betekent dat: terug naar art. 6:162 BW, met alle bewijslast-uitdagingen van dien. Voor aanbieders is dat goed nieuws op de korte termijn, maar slecht nieuws voor rechtszekerheid op de lange termijn.

4. AVG art. 82 en sectorale regelgeving

Wanneer AI-schade voortvloeit uit verwerking van persoonsgegevens — bijvoorbeeld een onterechte afwijzing op basis van geautomatiseerde besluitvorming (art. 22 AVG) — biedt art. 82 AVG een zelfstandige grondslag voor materiële én immateriële schadevergoeding. In sectoren als financiële dienstverlening (DORA, Wft), zorg (Wkkgz, MDR) en kritieke infrastructuur (NIS2) stapelen sectorale aansprakelijkheden zich daar bovenop.

Rolverdeling onder de AI Act: aanbieder, gebruiker, of allebei?

De cruciale eerste vraag bij elke AI-implementatie is de kwalificatievraag. De EU AI Act onderscheidt zes rollen, waarvan twee in de praktijk dominant zijn:

De valkuil zit in Art. 25. Een organisatie wordt opnieuw als aanbieder gekwalificeerd zodra zij (a) een hoog-risico AI-systeem onder eigen merknaam op de markt brengt, (b) een substantiële wijziging aanbrengt, of (c) het beoogde doel wezenlijk verandert. Veel Nederlandse bedrijven die menen "alleen ChatGPT te gebruiken", verzuimen deze her-kwalificatie te toetsen. Het gevolg: aanbieder-verplichtingen zonder aanbieder-budget en zonder aanbieder-verzekering.

Vier scenario's: wie betaalt in de praktijk?

Scenario 1 — Een recruitment-AI wijst een sollicitant ten onrechte af

De sollicitant kan zich beroepen op art. 22 AVG (geautomatiseerde besluitvorming), het verbod op discriminatie (AWGB, Art. 5 AI Act bij sociaal-scoring) en — bij vermogensschade — op art. 6:162 BW. De werkgever (deployer) draagt primair de aansprakelijkheid op grond van art. 6:170 BW; regres op de aanbieder is mogelijk wanneer trainingsdata aantoonbaar gebrekkig waren (PLD na dec 2026). Zie ook onze HR & AI Recruitment-gids.

Scenario 2 — Een diagnostische AI stelt een onjuiste medische diagnose

De zorginstelling is primair aansprakelijk onder de Wkkgz. De producent valt onder de herziene PLD én onder de Medical Device Regulation (MDR). De behandelend arts blijft eindverantwoordelijk voor het besluit — "menselijk toezicht" in de zin van Art. 14 AI Act en Art. 22 AVG is geen vrijbrief voor automation bias.

Scenario 3 — Een GenAI-chatbot publiceert reputatieschade veroorzakende uitspraken

Klassieke onrechtmatige daad (art. 6:162 BW). De deployer (de organisatie die de chatbot publiek aanbiedt) is in beginsel aansprakelijk; de foundation-model-aanbieder kan zich meestal beroepen op contractuele exoneraties. Voor publieke aansprakelijkheid kunnen bovendien de transparantieplichten van Art. 50 AI Act doorslaggevend zijn: wie verzuimt AI-output als AI-output te labelen, verzwaart zijn positie aanzienlijk.

Scenario 4 — Een AI-leverancier wijzigt zonder waarschuwing het model

Een onderschat scenario. Zonder versiebeheer en zonder contractuele meldplicht bij modelwijzigingen zijn deployers blootgesteld aan plotseling veranderend gedrag van het systeem. Onder Art. 16 lid f AI Act is de aanbieder verplicht zulke wijzigingen gedocumenteerd door te geven; in contracten ontbreekt deze clausule echter vrijwel altijd.

De 10-puntige contractuele controlelijst voor AI-inkoop

VeriAi gebruikt onderstaande lijst bij AI Act-implementaties en leverancierscontracten. Geen van de tien punten is optioneel.

1. Rolkwalificatie: expliciete vaststelling van aanbieder/gebruiker-status onder Art. 3 AI Act, inclusief Art. 25-toets.
2. Risicoclassificatie: verwijzing naar bijlage III AI Act, met heroverwegingsmoment bij gebruikswijziging.
3. Data-garanties: kwaliteit, representativiteit, bias-testing, en — bij personenverwerking — AVG-verwerkersovereenkomst.
4. Transparantie-toezeggingen: beschikbaarheid van technische documentatie (Art. 11) en model cards.
5. Versie- en wijzigingsbeheer: meldplicht bij model-updates, security-patches en functionele wijzigingen.
6. Meldplicht incidenten: uniforme 72-uurs meldketen (Art. 73 AI Act, art. 33 AVG, NIS2).
7. Audit-recht: recht op onafhankelijke AI audit en toegang tot logs.
8. Aansprakelijkheidsplafonds: realistisch ten opzichte van potentiële schade — afwijken van "12 maanden licentiekosten" is regel, geen uitzondering.
9. Vrijwaringen: IP-vrijwaring (trainingsdata!), datalek-vrijwaring, en regulatory-vrijwaring (boetes onder Art. 99 AI Act).
10. Exit- en data-portabiliteit: garanties voor model-export of geleidelijke afbouw bij contractbeëindiging.

Bestuurlijke aansprakelijkheid: het zelden gestelde, vaakst onderschatte risico

Onder art. 2:9 BW kunnen bestuurders persoonlijk aansprakelijk worden gehouden voor onbehoorlijk bestuur. Een AI-incident waarvoor de organisatie aantoonbaar geen AI-governance heeft ingericht — geen AI-register, geen risicobeoordeling, geen menselijk toezicht — kan kwalificeren als ernstig verwijt. Daar bovenop komt de bestuurlijke aansprakelijkheid uit NIS2 (art. 20 NIS2): leidinggevenden zijn persoonlijk aansprakelijk voor het toezicht op cybersecurity-maatregelen, inclusief die rondom AI-systemen.

Verzekeren: een markt in beweging

Sinds 2025 bieden Nederlandse en internationale verzekeraars (waaronder Munich Re, AIG en diverse beurs-makelaars) specifieke AI-aansprakelijkheidsmodules aan. Standaard-bedrijfsaansprakelijkheidspolissen blijken in de praktijk vaak ontoereikend: algoritmische besluiten vallen niet onder "product", hallucinaties niet onder "materiële schade", en bias niet onder "onrechtmatige daad zoals gangbaar gedekt". Drie vragen om uw makelaar deze week te stellen:

1. Vallen schadeclaims uit geautomatiseerde besluitvorming (art. 22 AVG) onder onze huidige dekking?
2. Is supply chain-schade door derde-partij AI-modellen verzekerd?
3. Wat is de dekkingspositie bij regulatory fines (AI Act, AVG, sectoraal)?

Vijf stappen die uw organisatie deze maand kan zetten

Veelgestelde vragen

Geldt de EU AI Act ook voor onze aansprakelijkheid?

De AI Act regelt publiekrechtelijke verplichtingen (boetes tot €35 miljoen of 7% wereldwijde omzet onder Art. 99), maar laat civiele aansprakelijkheid bij derden grotendeels aan nationaal recht. In Nederland zijn dat het BW (art. 6:162, 6:170-171, 6:185), de geïmplementeerde PLD en art. 82 AVG. Zie ook onze analyse van AI Act-boetes.

Waarom is de AI Liability Directive ingetrokken?

De Europese Commissie trok het voorstel in september 2025 in vanwege onvoldoende politieke steun en overlap met de herziene PLD. Het gevolg is een lappendeken: producten vallen onder de nieuwe PLD, diensten en pure software-as-a-service vallen terug op nationaal onrechtmatige-daadrecht — met aanzienlijk hogere bewijslast voor benadeelden.

Kunnen wij aansprakelijkheid volledig contractueel afdekken?

Nee. Contracten regelen verhoudingen tussen partijen, maar derden (benadeelde consumenten, sollicitanten, patiënten) kunnen u direct aanspreken op grond van het BW of de AVG. Contractuele exoneraties richting consumenten zijn bovendien beperkt door art. 6:236 BW (zwarte lijst). Aansprakelijkheid is een combinatie van contract, governance en verzekering.

Hoe verhoudt zich dit tot ISO 42001?

ISO/IEC 42001 verplicht een AI Management System waarin rollen, verantwoordelijkheden en risicobeheersing gestructureerd worden vastgelegd. Een ISO 42001-implementatie is geen juridisch schild, maar verlaagt wel het risico op een "ernstig verwijt" onder art. 2:9 BW en ondersteunt het bewijs van zorgvuldig handelen onder art. 6:162 BW.

Hoe VeriAi helpt

VeriAi voert onafhankelijke AI-aansprakelijkheidsscans uit waarin uw AI-portefeuille, contracten, governance-structuur en verzekeringsdekking integraal worden getoetst aan de EU AI Act, de herziene PLD, het BW en AVG. Het resultaat is een concreet remediatieplan met juridische, contractuele en organisatorische maatregelen — en een eenduidig antwoord op de vraag: wie betaalt als het AI-systeem schade veroorzaakt? Begin met een gratis 15-minuten quickscan of bekijk onze diensten.