Bestuurdersaansprakelijkheid bij AI: wanneer bent u aansprakelijk?

Gepubliceerd op 30 november 2025 · Laatst bijgewerkt op 30 oktober 2026

Als bestuurder bent u verantwoordelijk voor de AI-systemen die uw bedrijf inzet, ook als een leverancier ze heeft gebouwd. Persoonlijk aansprakelijk tegenover de vennootschap bent u pas als u een ernstig verwijt valt, bijvoorbeeld omdat u bekende risico’s negeerde (artikel 2:9 BW). Een fout van het systeem alleen is daarvoor niet genoeg.

Rechtspraak over bestuurdersaansprakelijkheid voor AI is er nog nauwelijks. De rechter past de bestaande maatstaf toe, en die kijkt naar het proces: wist het bestuur welke risico’s het systeem meebracht, en heeft het die beheerst? Hieronder leest u hoe die maatstaf werkt, wat de Europese AI-verordening van uw organisatie vraagt en hoe u kunt aantonen dat u zorgvuldig heeft gehandeld.

Wanneer is een bestuurder aansprakelijk voor een AI-fout?

Iedere bestuurder moet zijn taak behoorlijk vervullen (artikel 2:9 lid 1 BW). Schiet het bestuur tekort, dan is een bestuurder alleen persoonlijk aansprakelijk als hem een ernstig verwijt kan worden gemaakt. Bestaat het bestuur uit meer personen, dan is in beginsel ieder van hen aansprakelijk voor het geheel. Een bestuurder ontloopt dat alleen als hem geen ernstig verwijt treft en hij niet nalatig is geweest in het treffen van maatregelen om de gevolgen af te wenden (artikel 2:9 lid 2 BW).

Welke maatstaf hanteert de Hoge Raad?

De Hoge Raad oordeelde op 10 januari 1997 dat de vraag of een bestuurder een ernstig verwijt valt, afhangt van alle omstandigheden. Daartoe behoren onder meer de aard van de activiteiten van de rechtspersoon en de risico’s die daaruit voortvloeien, de taakverdeling binnen het bestuur, eventuele richtlijnen voor het bestuur, de informatie die de bestuurder had of had moeten hebben, en het inzicht en de zorgvuldigheid die van een bekwaam en nauwgezet bestuurder mogen worden verwacht (ECLI:NL:HR:1997:ZC2243).

Die omstandigheden laten zich direct vertalen naar AI:

De kernvraag is dus niet “wie drukte op de knop?”, maar: heeft het bestuur gehandeld zoals van een redelijk bekwaam en redelijk handelend bestuurder mocht worden verwacht?

En tegenover derden?

Lijdt een klant of een ander schade door een AI-beslissing, dan spreekt die in de eerste plaats de vennootschap aan. Een bestuurder is tegenover derden alleen persoonlijk aansprakelijk als hem persoonlijk een ernstig verwijt treft (onrechtmatige daad, artikel 6:162 BW). In faillissement kan de curator bestuurders aanspreken bij kennelijk onbehoorlijk bestuur (artikel 2:248 BW). Meer hierover leest u bij bestuurdersaansprakelijkheid in de bv.

Wat betekent de zorgplicht van bestuurders bij AI?

Vergelijk het met een kapitein op een modern schip. Hij hoeft de navigatiesoftware niet te programmeren, maar hij moet weten wat het systeem doet, waar de risico’s zitten en wanneer hij het roer overneemt. Zo is het ook voor een bestuurder: “de techniek regelt het” is geen verweer.

De rechter weegt bij AI vooral mee:

• Voorzienbaarheid: was het risico op een bepaalde fout redelijkerwijs te voorzien?
• Maatregelen: welke stappen zette het bestuur om risico’s in kaart te brengen en te beperken, zoals een impactassessment?
• Informatiepositie: heeft het bestuur zich laten informeren, en heeft het waarschuwingssignalen serieus genomen?
• Selectie van de leverancier: is de betrouwbaarheid, transparantie en datakwaliteit van het systeem getoetst?
• Menselijk toezicht: kon een mens een beslissing van het systeem controleren en terugdraaien?

De lat voor zorgvuldig handelen beweegt mee met de techniek. Wat vandaag een extra voorzorg is, kan over een paar jaar de standaard zijn. Uw plicht is niet om elke fout te voorkomen, maar om een kader te scheppen waarin risico’s verantwoord worden beheerst, en om dat vast te leggen.

Wat eist de AI-verordening van uw organisatie?

De Europese AI-verordening deelt AI-systemen in naar risico. Hoe hoger het risico voor de rechten en veiligheid van mensen, hoe zwaarder de verplichtingen. Naleving is daarmee een onderdeel van de zorgplicht van het bestuur.

Vanaf wanneer gelden de regels?

Volgens Digitale Overheid (pagina bijgewerkt 2 juli 2026):

Op overtreding van de verordening staan boetes, met de hoogste categorie voor verboden AI-praktijken (artikel 99 AI-verordening). Een boete treft in de eerste plaats de organisatie, maar kan daarna leiden tot de vraag of het bestuur zijn taak behoorlijk heeft vervuld.

Welke vragen stelt u als bestuur bij een hoog-risicosysteem?

• Datakwaliteit: met welke data is het model getraind, en is die representatief en vrij van vooroordelen die tot discriminatie kunnen leiden?
• Transparantie: kunnen we uitleggen hoe het systeem tot een beslissing komt, en is er documentatie voor gebruikers en toezichthouders?
• Menselijk toezicht: kan een mens een beslissing overrulen, en is duidelijk wie dat doet?
• Robuustheid: hoe weerbaar is het systeem tegen manipulatie en cyberaanvallen?

Voor financiële ondernemingen geldt daarnaast de Europese Digital Operational Resilience Act (DORA) over digitale weerbaarheid.

Hoe gaat u om met het black-box-probleem?

Een systeem wijst een sollicitant af of signaleert fraude, maar niemand kan uitleggen waarom. Dat is een direct risico voor het bestuur. De partij die u aansprakelijk stelt, moet in beginsel stellen en bewijzen dat u een ernstig verwijt valt (artikel 150 Rv). Maar wie zich als lid van een meerhoofdig bestuur wil disculperen, moet zelf laten zien dat hij niet nalatig was (artikel 2:9 lid 2 BW). Zonder inzicht in de werking van het systeem en zonder vastgelegde afwegingen is dat moeilijk.

Hoe doorbreekt u de black box?

• Kies uitlegbare modellen: geef bij beslissingen met grote impact, zoals in HR of kredietverlening, de voorkeur aan systemen die hun redenering inzichtelijk maken, ook als ze iets minder presteren.
• Stel contractuele eisen: leg in het contract met de leverancier vast dat hij inzicht geeft in de beslislogica, de gebruikte data en de belangrijkste factoren, en dat u mag auditen.
• Laat periodiek auditen: laat de uitkomsten intern of extern controleren, ook op ongewenste vooroordelen. Leg de audits vast; ze zijn uw bewijs van zorgvuldigheid.

Welke stappen beperken uw risico als bestuurder?

Stap 1: wijs verantwoordelijkheid toe

Leg vast wie in het bestuur verantwoordelijk is voor AI. Laat een team met juridische, technische en operationele kennis het interne AI-beleid opstellen en het bestuur adviseren. De taakverdeling binnen het bestuur is een van de omstandigheden die de Hoge Raad meeweegt.

Stap 2: doe vooraf een AI-impactassessment

Breng vóór de invoering in kaart welk probleem het systeem oplost, welke data het gebruikt, wat de gevolgen zijn voor klanten en medewerkers, hoe uitlegbaar het is en hoe het is beveiligd. Verwerkt het systeem persoonsgegevens met een hoog risico, dan is onder de AVG ook een gegevensbeschermingseffectbeoordeling (DPIA) nodig (artikel 35 AVG).

Stap 3: regel menselijk toezicht

• Leg vast wie ingrijpt als het systeem een vreemde of schadelijke uitkomst geeft.
• Geef medewerkers de bevoegdheid en de training om een AI-beslissing terug te draaien.
• Controleer periodiek of dat toezicht in de praktijk werkt.

Stap 4: controleer uw D&O-polis

Een bestuurdersaansprakelijkheidsverzekering (D&O) kan uitsluitingen bevatten voor technologische of cyberrisico’s. Laat nagaan of schade door AI-beslissingen is gedekt, en meld een aansprakelijkstelling tijdig bij de verzekeraar.

Hoe helpen wij bestuurders bij AI en aansprakelijkheid?

• Wij brengen in kaart welke AI-systemen u gebruikt en onder welke risicocategorie van de AI-verordening ze vallen.
• Wij beoordelen leverancierscontracten op transparantie, auditrechten en aansprakelijkheid.
• Wij helpen de besluitvorming van het bestuur over AI vast te leggen.
• Wij voeren verweer als u als bestuurder aansprakelijk wordt gesteld door de vennootschap, een curator of een derde.

Bestuurdersaansprakelijkheid bij AI in vijf punten

• Het bestuur blijft verantwoordelijk voor AI-systemen, ook als die zijn ingekocht.
• Persoonlijke aansprakelijkheid vraagt een ernstig verwijt; de rechter weegt alle omstandigheden, zoals risico’s, taakverdeling en informatie (Hoge Raad, 10 januari 1997).
• De AI-verordening deelt systemen in naar risico; de regels voor hoog-risicosystemen gelden volgens de huidige planning vanaf 2 december 2027.
• Uitlegbaarheid, auditrechten en menselijk toezicht maken het verweer sterker.
• Leg uw afwegingen vast: een gedocumenteerd besluitvormingsproces is uw beste verweer.

Meer over hoe Law & More u hierbij helpt, leest u op de pagina ondernemingsrecht advocaat.