Contracten met AI-leveranciers: hoe beperkt u uw aansprakelijkheid?

Gepubliceerd op 7 november 2025 · Laatst bijgewerkt op 9 oktober 2026

U beperkt uw aansprakelijkheid tegenover een AI-leverancier vooral met heldere afspraken over wie welk risico draagt: een aansprakelijkheidslimiet die past bij het risico, een vrijwaring, auditrechten en meldplichten. De belangrijkste uitzondering: een beperking van aansprakelijkheid werkt niet bij opzet of bewuste roekeloosheid, en een boete die een toezichthouder u zelf oplegt, kunt u niet zonder meer op de leverancier afwentelen.

Hieronder leest u welke regels gelden, welke data uit de Europese AI-verordening (de AI Act) voor uw contract tellen en welke clausules u minimaal opneemt. Een breder overzicht van de verordening vindt u in onze gids over de AI Act.

Wie is aansprakelijk als een AI-systeem een fout maakt?

Dat hangt af van het contract en van de oorzaak van de fout. Tussen bedrijven geldt eerst wat u hebt afgesproken; zonder afspraak gelden de regels over tekortkoming in de nakoming (artikel 6:74 BW) en onrechtmatige daad (artikel 6:162 BW).

Levert de leverancier een systeem dat niet doet wat is afgesproken, dan schiet hij tekort. Zet u het systeem verkeerd in of controleert u de uitkomsten niet, dan ligt de schade vaak bij u. Tegenover uw eigen klanten bent u meestal als eerste aanspreekbaar, omdat zij een contract met u hebben en niet met de leverancier. Meer daarover leest u in ons artikel over aansprakelijkheid bij fouten van AI.

Daarnaast komt er een nieuwe regel voor producten. De herziene Europese richtlijn productaansprakelijkheid (Richtlijn (EU) 2024/2853) merkt software, waaronder AI-systemen, uitdrukkelijk aan als product. Lidstaten moeten die richtlijn uiterlijk 9 december 2026 in hun wet opnemen.

Welke data uit de AI Act zijn van belang voor uw contract?

De AI Act (Verordening (EU) 2024/1689) geldt sinds 1 augustus 2024, maar de verplichtingen gaan gefaseerd in. De verboden praktijken gelden sinds 2 februari 2025 en de transparantieplicht van artikel 50 sinds 2 augustus 2026.

De data voor hoog-risicosystemen zijn verschoven door de Digital Omnibus-verordening (Verordening (EU) 2026/1744), die in juli 2026 is gepubliceerd. Oudere teksten noemen nog 2 augustus 2026 en 2 augustus 2027; die data gelden voor hoog-risicosystemen niet meer. De officiële tekst van de AI Act staat op EUR-Lex.

Welke AI-toepassingen zijn verboden, ook voor bedrijven?

Artikel 5 AI Act verbiedt onder meer sociale scoring, en dat verbod geldt voor overheden én private partijen. Ook emotieherkenning op de werkplek en in het onderwijs is verboden (artikel 5 lid 1 onder f), behalve als het systeem om medische of veiligheidsredenen wordt gebruikt.

Andere verboden zijn manipulatieve technieken die gedrag ongemerkt beïnvloeden, het uitbuiten van kwetsbaarheden door leeftijd of handicap, het ongericht verzamelen van gezichtsbeelden van internet voor databanken en het afleiden van bijvoorbeeld politieke opvattingen of seksuele geaardheid uit biometrische gegevens. De Digital Omnibus voegt daar een verbod aan toe op AI die zonder toestemming intieme beelden van een herkenbaar persoon maakt of kindermisbruikmateriaal genereert. Op overtreding van artikel 5 staat een boete tot € 35 miljoen of 7% van de wereldwijde jaaromzet, als dat bedrag hoger is (artikel 99 lid 3).

Voor uw contract betekent dit: laat de leverancier garanderen dat het systeem geen verboden functie bevat, en leg vast dat u het systeem niet voor zo’n doel inzet. Een overeenkomst die op een verboden toepassing is gericht, loopt het risico nietig te zijn wegens strijd met de wet (artikel 3:40 BW).

Wat betekent de transparantieplicht van artikel 50 voor u?

Sinds 2 augustus 2026 moet iemand die met een chatbot of een andere AI praat, weten dat hij met AI communiceert, tenzij dat voor een gewone gebruiker al duidelijk is. Aanbieders van generatieve AI moeten gegenereerde tekst, beelden, audio en video bovendien machineleesbaar markeren (artikel 50 lid 2).

Wie AI inzet om deepfakes te maken, moet melden dat de beelden kunstmatig zijn (artikel 50 lid 4). Dat geldt ook voor AI-tekst die wordt gepubliceerd om het publiek te informeren over zaken van algemeen belang, tenzij een mens de tekst redactioneel heeft gecontroleerd. Op schending van artikel 50 staat een boete tot € 15 miljoen of 3% van de wereldwijde jaaromzet (artikel 99 lid 4).

Leg in het contract vast wie de melding en de markering technisch regelt. Vaak is dat de leverancier, maar de plicht om gebruikers te informeren kan ook bij u liggen als gebruiksverantwoordelijke.

Welke rol speelt het risiconiveau van het AI-systeem?

Hoe hoger het risico, hoe meer verplichtingen er gelden en hoe meer u contractueel moet vastleggen. De AI Act onderscheidt verboden systemen, hoog-risicosystemen, systemen met een transparantieplicht en systemen met minimaal risico.

Hoog-risicosystemen zijn onder meer AI voor werving en selectie, beoordeling van werknemers, kredietbeoordeling en toegang tot onderwijs (bijlage III). De aanbieder moet zorgen voor risicobeheer, technische documentatie, logging, menselijk toezicht, een conformiteitsbeoordeling en een CE-markering. U moet als gebruiksverantwoordelijke het systeem volgens de gebruiksaanwijzing inzetten, menselijk toezicht regelen en de automatisch gemaakte logs minstens zes maanden bewaren (artikel 26). Vraag daarom de documentatie en de EU-conformiteitsverklaring op voordat u tekent.

Welke clausules neemt u op in een contract met een AI-leverancier?

Neem minimaal afspraken op over aansprakelijkheid, naleving, gebruik van data en de exit. Een standaard IT-contract dekt de eigen risico’s van AI meestal niet; zie ook ons artikel over de IT-dienstverleningsovereenkomst.

• Aansprakelijkheidslimiet: een maximum dat past bij het risico, bijvoorbeeld een veelvoud van de jaarlijkse contractwaarde, met een uitzondering voor schending van de AVG, de AI Act en geheimhouding.
• Vrijwaring: de leverancier vrijwaart u voor aanspraken van derden, bijvoorbeeld wegens inbreuk op auteursrecht door de trainingsdata.
• Nalevingsgarantie: de leverancier garandeert dat het systeem aan de AI Act voldoet en meldt het als de risicoklasse verandert.
• Meldplicht en auditrecht: storingen en incidenten binnen een vaste termijn melden, en inzage in logs en documentatie.
• Gebruik van uw data: wel of geen training op uw bedrijfs- en klantgegevens, en wat er na afloop met die gegevens gebeurt.
• Exit: teruggave van data in een bruikbaar formaat en een redelijke overgangsperiode.

Spreek ook meetbare prestatienormen af, zoals beschikbaarheid en hersteltijd. Hoe u dat doet, leest u in ons artikel over service level agreements.

Hoe ver mag een leverancier zijn aansprakelijkheid beperken?

Tussen bedrijven mag een leverancier zijn aansprakelijkheid flink beperken, bijvoorbeeld tot een vast bedrag of de factuurwaarde. Een beroep op die beperking is wel onaanvaardbaar bij opzet of bewuste roekeloosheid van de leverancier of zijn leidinggevenden (artikel 6:248 lid 2 BW).

Staat de beperking in algemene voorwaarden, dan kan een kleine onderneming soms een beroep doen op de vernietigingsgronden van artikel 6:233 BW. De zwarte en grijze lijsten van de artikelen 6:236 en 6:237 BW gelden in beginsel alleen voor consumenten, maar een rechter kan ze bij kleine bedrijven als richtsnoer gebruiken. Grote aanbieders van taalmodellen werken met eigen voorwaarden met lage limieten, waarover nauwelijks te onderhandelen valt. Weeg dan af welke taken u wel en niet aan zo’n dienst toevertrouwt.

Hoe regelt u de AVG als de leverancier persoonsgegevens verwerkt?

Verwerkt de leverancier persoonsgegevens voor u, dan sluit u een verwerkersovereenkomst (artikel 28 AVG). U blijft verwerkingsverantwoordelijke en dus eindverantwoordelijk tegenover de betrokkenen en de Autoriteit Persoonsgegevens.

Gebruikt de leverancier uw gegevens ook om zijn eigen model te trainen, dan bepaalt hij voor dat deel zelf het doel en heeft hij een eigen grondslag nodig. Sluit dat uit als u het niet wilt. Spreek af dat de leverancier een datalek direct aan u meldt, zodat u zelf binnen 72 uur kunt melden bij de Autoriteit Persoonsgegevens (artikel 33 AVG). Neemt het systeem zonder menselijke tussenkomst besluiten met rechtsgevolgen voor personen, dan gelden de beperkingen van artikel 22 AVG.

Wat kunnen wij voor u doen bij contracten met AI-leveranciers?

Ons team ondernemingsrecht beoordeelt en onderhandelt AI-contracten voor afnemers en leveranciers.

• Wij toetsen het contract en de algemene voorwaarden van de leverancier op aansprakelijkheidslimieten, vrijwaringen en de exitregeling.
• Wij stellen vast in welke risicoklasse van de AI Act het systeem valt en welke plichten u daardoor als gebruiksverantwoordelijke hebt.
• Wij stellen een verwerkersovereenkomst op of beoordelen die van de leverancier aan de hand van artikel 28 AVG.
• Wij formuleren garanties en meldplichten die aansluiten bij de artikelen 26 en 50 AI Act.
• Wij beoordelen bij een geschil of de leverancier zich op zijn aansprakelijkheidsbeperking kan beroepen.

Samengevat

• Tussen bedrijven bepaalt vooral het contract wie de schade van een AI-fout draagt.
• Verboden AI-praktijken gelden sinds 2 februari 2025, ook voor bedrijven; sociale scoring en emotieherkenning op de werkplek zijn verboden.
• De transparantieplicht van artikel 50 geldt sinds 2 augustus 2026; de hoog-risicoregels volgen op 2 december 2027 en 2 augustus 2028.
• Een aansprakelijkheidsbeperking werkt niet bij opzet of bewuste roekeloosheid.
• Verwerkt de leverancier persoonsgegevens, dan is een verwerkersovereenkomst verplicht.

Veelgestelde vragen

Mag een AI-leverancier alle aansprakelijkheid uitsluiten?

Nee, niet volledig. Bij opzet of bewuste roekeloosheid kan de leverancier zich niet op een uitsluiting beroepen (artikel 6:248 lid 2 BW), en in algemene voorwaarden kan een te verregaande uitsluiting soms worden vernietigd.

Geldt het verbod op sociale scoring ook voor bedrijven?

Ja. Artikel 5 lid 1 onder c AI Act verbiedt sociale scoring door overheden en private partijen sinds 2 februari 2025.

Mag ik emotieherkenning gebruiken om werknemers te volgen?

Nee. Emotieherkenning op de werkplek is verboden (artikel 5 lid 1 onder f AI Act), behalve om medische of veiligheidsredenen.

Kan ik een AI Act-boete verhalen op de leverancier?

Dat hangt af van het contract en de oorzaak van de overtreding. Een vrijwaring helpt als de overtreding bij de leverancier ligt, maar of een rechter verhaal van een boete wegens uw eigen overtreding toestaat, is niet zeker.