Wie is aansprakelijk als een AI-antwoord fout is?

Er is geen eenduidig antwoord op de vraag wie aansprakelijk is als een AI-antwoord fout blijkt. Dat hangt af van wie welke rol speelde, wat er contractueel is afgesproken, welke schade is ontstaan en welke regels op de situatie van toepassing zijn. De modelaanbieder kan een rol hebben, maar ook de softwareleverancier, integrator, organisatie die het systeem inzet en soms de medewerker die een besluit neemt op basis van de uitkomst.

Voor een klant of andere benadeelde partij is “de AI deed het” doorgaans geen afdoende verklaring. Een organisatie kiest ervoor een AI-systeem in een proces te gebruiken en blijft verantwoordelijk voor de manier waarop dat systeem wordt ingezet. Dat betekent niet automatisch dat alle aansprakelijkheid bij die organisatie ligt. Achter de schermen kan de verantwoordelijkheid worden verdeeld over verschillende partijen in de keten.

Wie zit er in de keten?

Bij een AI-dienst zijn vaak meerdere partijen betrokken. De modelaanbieder levert bijvoorbeeld het taalmodel of een API. Een softwareleverancier bouwt daar een toepassing omheen. Een integrator koppelt die toepassing vervolgens aan bedrijfsdata, processen en systemen. Uiteindelijk gebruikt een organisatie de oplossing richting medewerkers, klanten of andere partijen.

Die rollen kunnen overlappen. Een organisatie kan zelf integrator zijn, terwijl een softwareleverancier ook een eigen model gebruikt. Daarom is het belangrijk om niet alleen naar het AI-model te kijken, maar naar de volledige toepassing: welke data worden gebruikt, welke instructies krijgt het systeem, welke bronnen kan het raadplegen en welke acties mag het uitvoeren?

Bij systemen die onder specifieke Europese AI-regels kunnen vallen, spelen daarnaast verplichtingen rond risicobeheersing, transparantie en toezicht. Voor een praktische introductie kun je ook AI Act voor het mkb raadplegen.

Waarom “de AI deed het” geen verweer is

Wanneer een chatbot verkeerde informatie aan een klant geeft, zal die klant meestal zaken doen met jouw organisatie en niet met de onderliggende modelaanbieder. Heb je de chatbot namens je bedrijf laten communiceren, dan kan de fout daarom eerst bij jouw organisatie terechtkomen.

Dat geldt vooral wanneer het systeem een taak uitvoert die normaal onderdeel is van jouw dienstverlening. Denk aan productinformatie, klantadvies, berekeningen, instructies of beslissingen binnen een bedrijfsproces. Naarmate de gevolgen van een fout groter zijn, wordt het belangrijker dat je controlemaatregelen toepast.

Een disclaimer verandert dat niet automatisch. Een mededeling dat “AI fouten kan maken” kan nuttige informatie voor de gebruiker zijn, maar vormt geen algemene vrijstelling van verantwoordelijkheid. Een organisatie die weet dat een toepassing onbetrouwbaar is voor een bepaalde taak kan niet zonder meer alle gevolgen bij de gebruiker neerleggen.

Wanneer kan een fout bij jouw organisatie terechtkomen?

Een fout kan eerder aan de gebruikende organisatie worden toegerekend wanneer het systeem voor een ongeschikte taak is ingezet, onvoldoende is getest of zonder passende controle zelfstandig beslissingen mag nemen. Hetzelfde geldt wanneer bekende beperkingen worden genegeerd of wanneer medewerkers structureel op AI-uitkomsten vertrouwen zonder verificatie.

Ook de inrichting van het systeem telt mee. Een generiek taalmodel dat vrij mag antwoorden uit zijn trainingskennis brengt andere risico’s mee dan een systeem dat antwoorden baseert op gecontroleerde bedrijfsbronnen. Met retrieval-augmented generation kun je antwoorden beter aan eigen documenten koppelen, maar ook dat voorkomt fouten niet volledig. Zie hiervoor RAG zonder hallucinatie.

Voor acties met financiële, juridische of andere ingrijpende gevolgen is menselijke goedkeuring vaak een belangrijke beheersmaatregel. Het artikel Wanneer moet een mens goedkeuren? behandelt hoe je zulke beslissingen structureel kunt afbakenen.

Wat kun je contractueel regelen?

Contracten tussen de partijen in de AI-keten zijn belangrijk omdat daarin kan worden vastgelegd wie waarvoor verantwoordelijk is. Denk aan de verdeling van verantwoordelijkheden, garanties over de dienstverlening, aansprakelijkheidsbeperkingen, vrijwaringen en serviceniveaus.

Een leverancier kan bijvoorbeeld aangeven waarvoor een dienst wel en niet bedoeld is, welke beschikbaarheid wordt nagestreefd en welke ondersteuning wordt geleverd bij incidenten. Een integrator kan afspraken maken over configuratie, beveiliging en testen. De gebruikende organisatie kan verantwoordelijk blijven voor menselijke controle en de uiteindelijke inzet binnen het bedrijfsproces.

Contractuele beperkingen zijn echter niet onbeperkt. Niet iedere vorm van aansprakelijkheid kan in iedere situatie geldig worden uitgesloten. Bovendien kunnen contractuele afspraken tussen leverancier en afnemer niet automatisch bepalen welke rechten een derde of consument heeft.

Ook Europese regels rond productaansprakelijkheid ontwikkelen zich verder en kunnen onder omstandigheden software omvatten. Welke regels precies gelden en wanneer zij van toepassing zijn, moet voor de concrete situatie worden gecontroleerd.

Hoe verklein je het risico in de praktijk?

Aansprakelijkheidsrisico wordt niet alleen met contracten beheerst. De technische en organisatorische inrichting van het systeem is minstens zo belangrijk.

Gebruik bronvermelding: laat een systeem waar mogelijk tonen waarop een antwoord is gebaseerd, zodat gebruikers belangrijke informatie kunnen controleren.
Bouw menselijke controle in: laat risicovolle uitkomsten beoordelen voordat ze naar buiten gaan of tot een actie leiden.
Gebruik eerlijke disclaimers: maak duidelijk wat een AI-systeem wel en niet kan zonder te suggereren dat daarmee iedere verantwoordelijkheid verdwijnt.
Log relevante gebeurtenissen: leg vast welke input, bronnen, modelversies en acties een rol speelden, voor zover dat juridisch en technisch verantwoord kan.
Meet kwaliteit: test regelmatig of antwoorden correct, relevant en voldoende onderbouwd blijven. Monitoring van alleen uptime is daarvoor onvoldoende. Zie ook AI-monitoring.
Maak een escalatieroute: bepaal wanneer een medewerker, specialist of jurist een zaak moet overnemen.

Deze maatregelen garanderen niet dat fouten verdwijnen. Ze helpen wel aantonen dat risico’s systematisch zijn beoordeeld en dat een organisatie niet blind op modeluitkomsten vertrouwt.

Welke vragen moet je met leverancier en jurist bespreken?

Welke partij is verantwoordelijk voor het model, de applicatie, de integratie en de uiteindelijke beslissing?
Voor welke toepassingen garandeert de leverancier dat het systeem bedoeld is?
Welke garanties worden gegeven over werking, beschikbaarheid, beveiliging en ondersteuning?
Welke aansprakelijkheidsbeperkingen en vrijwaringen zijn opgenomen?
Wat gebeurt er wanneer een fout van het model schade veroorzaakt bij een klant of andere derde?
Wie onderzoekt een incident en welke logs of andere gegevens zijn daarvoor beschikbaar?
Welke AI-uitkomsten moeten door een mens worden gecontroleerd?
Welke risico’s blijven expliciet bij jouw organisatie liggen?
Welke wettelijke of sectorspecifieke eisen gelden voor de toepassing?

Laat je juridisch toetsen

Neuralex geeft geen juridisch advies. Bij aansprakelijkheid rond AI moet een jurist beoordelen welke regels, contracten en verantwoordelijkheden voor jouw specifieke organisatie en toepassing gelden. Laat vooral toepassingen met financiële, juridische, veiligheids- of andere ingrijpende gevolgen vooraf juridisch toetsen.