Wie is aansprakelijk als AI een fout maakt?

Dit is de vraag die in elk directiegesprek over AI opduikt, meestal na een minuut of veertig, en het is de vraag waarin leveranciers het meest geoefend zijn om hem niet te beantwoorden. De ontwijking is altijd een variant van "het model geeft een aanbeveling, het uiteindelijke besluit blijft bij de gebruiker." Die zin doet enorm veel werk, en het loont om uit te pakken wat hij voor jou betekent.

De AI is geen partij in wat dan ook

Begin bij het punt dat de helft van de verwarring opruimt. Een AI-systeem heeft geen rechtspersoonlijkheid. Het kan niet worden aangesproken, kan geen verplichtingen dragen, en kan in juridische zin geen schuld hebben. Als een model een verkeerde uitkomst produceert die schade veroorzaakt, is de aansprakelijkheidsvraag niet "had de AI het mis" maar "welke mens of welk bedrijf schoot tekort in een plicht die hij had."

Die herformulering doet ertoe omdat hij je vertelt waar je moet kijken. Er zijn maar drie kandidaten, en het zijn elke keer dezelfde drie.

Een lege rechtszaal. De vraag is niet of iemand aansprakelijk is, maar wie van drie partijen.

De drie kandidaten

Jij, als de organisatie die het inzet. Dit is de standaard en verreweg het meest voorkomende antwoord. Als jouw bedrijf een gereedschap gebruikte om een besluit te nemen of te ondersteunen dat een klant, medewerker of derde raakt, is jouw bedrijf aanspreekbaar op dat besluit. Onder gewone Nederlandse civiele aansprakelijkheid verandert het feit dat je het werk aan software hebt uitbesteed niets aan je zorgplicht. Je staat in dezelfde positie als wanneer je het aan een onervaren junior had uitbesteed: nog steeds jouw verantwoordelijkheid, nog steeds jouw probleem.

Je leverancier. Het bedrijf dat je het gereedschap verkocht kan aansprakelijk zijn, maar meestal alleen voor wat het daadwerkelijk heeft beloofd. Dit is waar de meeste bedrijven op het slechtst denkbare moment ontdekken dat het contract dat ze tekenden vrijwel alles uitsluit. De leverancier garandeert dat de software functioneert, niet dat de uitkomsten kloppen, en tussen die twee zit een groot verschil.

De modelaanbieder. De organisatie achter het onderliggende general-purpose model heeft verplichtingen onder de AI Act, maar die gaan over documentatie, transparantie en, boven een rekendrempel, het testen op systeemrisico. Die verplichtingen gelden grotendeels richting toezichthouders en partijen die het model verder verwerken, niet richting jou als eindgebruiker met een gedupeerde klant. Praktisch gesproken gaat een MKB-bedrijf geen schade verhalen op een aanbieder van een basismodel.

In de overgrote meerderheid van echte gevallen is het antwoord op "wie is aansprakelijk" dus: jij.

De drie kandidaten naast elkaar

Lees die tabel van boven naar beneden en het patroon is lastig te missen: de aansprakelijkheid concentreert zich bij de partij die hem het minst kan wegcontracteren, en dat ben jij. Dat is geen weeffout in het systeem; het volgt uit het feit dat jij degene bent die koos om het gereedschap op een echte klant te gebruiken.

Waarom de AI Act deze vraag niet beantwoordt

Een veelgemaakte leesfout is dat de AI Act de aansprakelijkheid regelt. Dat doet hij niet. De AI Act is een productveiligheids- en markttoelatingsverordening: hij zegt wat een systeem moet doen voordat het op de markt mag of in gebruik genomen mag worden, wie wat moet documenteren, en wat de boetes zijn bij niet-naleving. Die boetes zijn verschuldigd aan een toezichthouder. Het is geen schadevergoeding aan een gedupeerde.

Civiele aansprakelijkheid, de vraag wie jouw klant betaalt als er iets misgaat, loopt nog steeds via gewoon nationaal recht. De AI Act verandert het plaatje indirect, en op een manier die het begrijpen waard is: als je documentatie had moeten bijhouden, menselijk toezicht had moeten borgen of een conformiteitsbeoordeling had moeten doen en je deed dat niet, dan is dat verzuim bewijs dat je een zorgvuldigheidsnorm niet hebt gehaald. Niet-naleving schept op zichzelf geen aansprakelijkheid, maar het maakt jezelf verdedigen aanzienlijk moeilijker.

Twee mensen in gesprek. Een aanwijsbaar persoon die het besluit kan uitleggen is het praktische antwoord.

Het praktische antwoord: een persoon die het besluit kan uitleggen

Dit is het deel dat je daadwerkelijk beschermt, en het is organisatorisch in plaats van juridisch.

Bij elk door AI ondersteund besluit dat iemand raakt, hoort een aanwijsbaar persoon te zijn die kan uitleggen waarom dat besluit is genomen. Niet "het systeem gaf een signaal," maar de redenering, de invoer, en waarom de mens het ermee eens was. Dat is wat human on the loop in de praktijk betekent: geen persoon die theoretisch had kunnen ingrijpen, maar iemand die daadwerkelijk heeft gekeken en zich over de uitkomst kan verantwoorden.

Dit is het verschil tussen twee heel verschillende gesprekken. In het eerste klaagt een klant en leg jij uit dat een persoon de zaak heeft bekeken, de aanbeveling van het systeem heeft gezien, en om deze redenen zo heeft besloten. In het tweede leg je uit dat het systeem heeft besloten en dat niemand heeft gekeken. Het eerste is een verdedigbare positie en vaak een oplosbare klacht. Het tweede is geen van beide, hoe goed het model ook was.

Vier dingen om te regelen voordat je ze nodig hebt

Een: lees de aansprakelijkheidsclausule voor het tekenen, niet na een incident. Kijk specifiek naar wat de leverancier garandeert over uitkomsten, tegenover wat hij garandeert over beschikbaarheid. Garandeert hij niets over juistheid, dan is dat normaal, en betekent het dat het risico bij jou ligt. Reken dat mee in de prijs.

Twee: schrijf op welke besluiten nooit volledig geautomatiseerd mogen worden. Een sollicitant afwijzen, een claim weigeren, de voorwaarden van een klant wijzigen. Zet het in je AI-beleid, zodat het niet afhangt van iemands inschatting op een drukke middag.

Drie: leg de menselijke controle vast. Geen zwaar auditsysteem. Een notitie van wie wat wanneer heeft gecontroleerd. Wordt het nooit relevant, dan ben je per besluit een paar seconden kwijt. Wordt het een keer relevant, dan is het het verschil tussen de twee gesprekken hierboven.

Vier: controleer je verzekering. Beroepsaansprakelijkheidspolissen verschillen sterk in hoe ze omgaan met schade uit geautomatiseerde besluitondersteuning, en het moment om daarachter te komen is niet tijdens een schademelding.

Over deze pagina

Dit is een beschrijving van hoe aansprakelijkheid is opgebouwd, geen juridisch advies voor een specifiek geval. De verwijzingen naar de AI Act betreffen zijn aard als productveiligheidsverordening met bestuurlijke boetes in plaats van een civiel aansprakelijkheidsregime; het punt dat niet-naleving werkt als bewijs en niet als automatische aansprakelijkheid is de correcte formulering en staat er bewust zo. Voor iets concreets: betrek je eigen jurist. Geschreven door Radicals eigen team; er is geen klantdata gebruikt.