Juridische risico’s van AI: welke regels gelden voor bedrijven en wanneer?

Gepubliceerd op 19 oktober 2025 · Laatst bijgewerkt op 13 oktober 2026

De belangrijkste juridische risico’s van AI voor bedrijven zijn: overtreding van de AI-verordening, schending van de AVG, discriminatie bij geautomatiseerde beslissingen, inbreuk op auteursrecht en aansprakelijkheid voor schade. De AI-verordening geldt al deels, met verboden praktijken en de plicht tot AI-geletterdheid sinds 2 februari 2025, maar de zware plichten voor zelfstandige hoog-risicosystemen gelden pas vanaf 2 december 2027.

Voor de meeste bedrijven die AI alleen gebruiken, zoals een chatbot of een tekstgenerator, zijn de AVG, het arbeidsrecht en de contracten met de leverancier vandaag de belangrijkste risicobronnen. Zie voor gegevensverzameling ook scraping en hergebruik van platformdata.

Wat regelt de AI-verordening en wanneer geldt die?

De AI-verordening (Verordening (EU) 2024/1689) is op 1 augustus 2024 in werking getreden en deelt AI-systemen in naar risico. De plichten gelden gefaseerd; de Digital Omnibus (Verordening (EU) 2026/1744), in werking sinds 27 juli 2026, heeft een deel daarvan uitgesteld.

• Sinds 2 februari 2025: verbod op onaanvaardbare praktijken, zoals social scoring, manipulatie en emotieherkenning op de werkplek (artikel 5), en de plicht om te zorgen voor voldoende AI-geletterdheid van personeel (artikel 4).
• Sinds 2 augustus 2025: plichten voor aanbieders van AI-modellen voor algemene doeleinden.
• Vanaf 2 augustus 2026: transparantieplichten van artikel 50, zoals melden dat iemand met een AI-systeem communiceert; generatieve systemen die al op de markt waren, hebben tot 2 december 2026 voor het labelen van AI-gegenereerde inhoud.
• Vanaf 2 december 2027: plichten voor zelfstandige hoog-risicosystemen uit bijlage III, zoals AI voor werving en selectie of kredietwaardigheid.
• Vanaf 2 augustus 2028: hoog-risico-AI in gereguleerde producten uit bijlage I, zoals medische hulpmiddelen en machines.

Welke boetes staan op overtreding?

Voor verboden praktijken kan een boete worden opgelegd tot € 35 miljoen of 7% van de wereldwijde jaaromzet, als dat hoger is (artikel 99 lid 3). Voor de meeste andere plichten is het maximum € 15 miljoen of 3% (artikel 99 lid 4).

Bent u aanbieder of gebruiksverantwoordelijke?

Dat bepaalt welke plichten u heeft. De aanbieder ontwikkelt het systeem of brengt het onder eigen naam op de markt; de gebruiksverantwoordelijke zet het in onder eigen verantwoordelijkheid (artikel 3).

Een gebruiksverantwoordelijke van een hoog-risicosysteem moet onder meer het systeem volgens de gebruiksinstructies gebruiken, menselijk toezicht organiseren, logs bewaren en werknemers informeren voordat het systeem op de werkplek wordt ingezet (artikel 26). Past u een systeem wezenlijk aan of brengt u het onder eigen naam op de markt, dan kunt u zelf aanbieder worden (artikel 25).

Welke AVG-risico’s spelen bij AI?

Verwerkt een AI-systeem persoonsgegevens, dan geldt de AVG volledig. U heeft een grondslag nodig (artikel 6 AVG), moet betrokkenen informeren (artikelen 13 en 14) en moet bij een hoog risico vooraf een gegevensbeschermingseffectbeoordeling (DPIA) uitvoeren (artikel 35).

• Geautomatiseerde besluitvorming. Betrokkenen hebben het recht niet te worden onderworpen aan een uitsluitend geautomatiseerd besluit met rechtsgevolgen of een vergelijkbaar aanmerkelijk effect, behoudens uitzonderingen en met waarborgen zoals menselijke tussenkomst (artikel 22 AVG).
• Doorgifte buiten de EER. Draait de AI-dienst op servers buiten de EER, dan is een doorgiftemechanisme nodig, zoals een adequaatheidsbesluit (voor de VS het EU-US Data Privacy Framework voor gecertificeerde bedrijven) of standaardcontractbepalingen (hoofdstuk V AVG).
• Verwerkersovereenkomst. Verwerkt de leverancier gegevens voor u, dan is een verwerkersovereenkomst verplicht (artikel 28 AVG).
• Invoer door medewerkers. Klant- of personeelsgegevens die in een publieke chatbot worden ingevoerd, kunnen een datalek opleveren dat binnen 72 uur bij de Autoriteit Persoonsgegevens moet worden gemeld (artikel 33 AVG).

De Autoriteit Persoonsgegevens kan boetes opleggen tot € 20 miljoen of 4% van de wereldwijde jaaromzet (artikel 83 lid 5 AVG). Zij coördineert in Nederland ook het toezicht op algoritmes en AI.

Wanneer leidt AI tot discriminatie?

Een AI-systeem dat bij werving, beoordeling of kredietverlening onderscheid maakt naar onder meer geslacht, afkomst of leeftijd, kan in strijd zijn met de Algemene wet gelijke behandeling, de Wet gelijke behandeling van mannen en vrouwen of de Wet gelijke behandeling op grond van leeftijd bij de arbeid. Ook indirect onderscheid via een neutraal lijkend criterium, zoals postcode, is verboden tenzij het objectief gerechtvaardigd is.

Betrokkenen kunnen een oordeel vragen aan het College voor de Rechten van de Mens of naar de rechter stappen. De werkgever of kredietverstrekker blijft verantwoordelijk, ook als het systeem van een leverancier komt.

Welke auteursrechtelijke risico’s zijn er?

Het trainen van AI op beschermde werken valt onder de uitzondering voor tekst- en datamining (artikel 15o Auteurswet), tenzij de rechthebbende dat op passende wijze heeft voorbehouden, bijvoorbeeld in machineleesbare vorm. De output kan inbreuk maken als die beschermde elementen van een bestaand werk overneemt.

Of AI-output zelf auteursrechtelijk beschermd is, is onzeker. Bescherming vereist een eigen intellectuele schepping met een persoonlijk stempel van een mens; volledig door AI gegenereerde inhoud voldoet daar in de regel niet aan. Leg daarom contractueel vast wie welke rechten heeft en controleer output op overeenkomsten met merken en bestaande werken.

Wie is aansprakelijk voor schade door AI?

Er bestaat geen aparte Nederlandse aansprakelijkheidsregel voor AI. Schade door AI wordt beoordeeld met de gewone regels: wanprestatie (artikel 6:74 BW), onrechtmatige daad (artikel 6:162 BW) en productaansprakelijkheid (artikel 6:185 BW).

De nieuwe Europese richtlijn productaansprakelijkheid (Richtlijn (EU) 2024/2853) moet uiterlijk 9 december 2026 zijn omgezet en geldt dan voor producten die na die datum op de markt komen. Software, inclusief AI-systemen, geldt daarin uitdrukkelijk als product, en het bewijs wordt voor benadeelden op punten verlicht. Het voorstel voor een aparte AI-aansprakelijkheidsrichtlijn is door de Europese Commissie ingetrokken.

Wat regelt u met de leverancier?

• Een duidelijke verdeling van aansprakelijkheid, met een plafond dat past bij het risico.
• Vrijwaring voor inbreuk op intellectuele eigendomsrechten van derden.
• Een verwerkersovereenkomst en afspraken over doorgifte en beveiliging.
• Toezeggingen over naleving van de AI-verordening en medewerking bij een DPIA.
• Afspraken over het gebruik van uw gegevens voor training van het model.

Welke rol heeft de ondernemingsraad?

De invoering van AI raakt vaak de medezeggenschap. De ondernemingsraad heeft instemmingsrecht bij regelingen over de verwerking van personeelsgegevens en bij systemen waarmee werknemers kunnen worden gevolgd of gecontroleerd (artikel 27 lid 1 onder k en l WOR).

Bij de invoering of wijziging van een belangrijke technologische voorziening heeft de ondernemingsraad adviesrecht (artikel 25 lid 1 onder k WOR). Gaat u een hoog-risicosysteem op de werkplek inzetten, dan moet u ook de werknemersvertegenwoordigers en de betrokken werknemers vooraf informeren (artikel 26 lid 7 AI-verordening).

Waar let u op als bedrijf dat AI gebruikt?

• Breng in kaart welke AI-systemen u gebruikt en in welke risicocategorie ze vallen.
• Zorg aantoonbaar voor AI-geletterdheid van medewerkers (artikel 4 AI-verordening).
• Controleer of geen verboden praktijk wordt toegepast, zoals emotieherkenning op de werkplek (artikel 5).
• Voer een DPIA uit als persoonsgegevens op grote schaal of voor beslissingen over personen worden gebruikt (artikel 35 AVG).
• Leg vast wanneer een mens een AI-uitkomst controleert voordat een besluit wordt genomen (artikel 22 AVG).
• Vraag instemming of advies van de ondernemingsraad waar nodig (artikelen 25 en 27 WOR).

Waar let u op als bedrijf dat AI ontwikkelt of aanbiedt?

• Stel vast of uw systeem onder bijlage III valt en welke datum voor u geldt (2 december 2027 of 2 augustus 2028).
• Richt een systeem voor risicobeheer, datakwaliteit, technische documentatie en logging in (artikelen 9 tot en met 12 AI-verordening).
• Respecteer opt-outs voor tekst- en datamining (artikel 15o Auteurswet).
• Bereid u voor op de nieuwe regels voor productaansprakelijkheid voor software.

Wat kunnen wij voor u doen bij de juridische risico’s van AI?

Onze ICT-recht advocaat adviseert bedrijven over de inzet en ontwikkeling van AI.

• Wij beoordelen in welke risicocategorie van de AI-verordening uw systemen vallen en welke plichten wanneer gelden.
• Wij beoordelen en onderhandelen contracten met AI-leveranciers, inclusief verwerkersovereenkomsten.
• Wij begeleiden een DPIA en het beleid voor geautomatiseerde besluitvorming.
• Wij stellen een intern AI-beleid op en adviseren over het traject met de ondernemingsraad.
• Wij staan u bij bij vragen van de Autoriteit Persoonsgegevens en bij aansprakelijkheidsclaims.

Samengevat

• Verboden AI-praktijken en de plicht tot AI-geletterdheid gelden sinds 2 februari 2025.
• Plichten voor zelfstandige hoog-risicosystemen gelden vanaf 2 december 2027, voor productgebonden systemen vanaf 2 augustus 2028.
• De AVG geldt volledig, met boetes tot € 20 miljoen of 4% van de omzet; let op artikel 22 en de DPIA.
• Discriminatie door AI valt onder de gelijkebehandelingswetgeving; de gebruiker blijft verantwoordelijk.
• Aansprakelijkheid volgt de gewone regels van het BW; de nieuwe productaansprakelijkheidsrichtlijn behandelt software als product.

Veelgestelde vragen

Geldt de AI-verordening ook als ik alleen ChatGPT of een vergelijkbare tool gebruik?

Ja, maar beperkt. U moet zorgen voor AI-geletterdheid van medewerkers (artikel 4) en geen verboden praktijken toepassen. Zware plichten gelden alleen bij hoog-risicotoepassingen, zoals werving en selectie.

Mag ik sollicitanten laten selecteren door AI?

Dat mag, maar zo’n systeem is hoog-risico (bijlage III) en valt vanaf 2 december 2027 onder de zware plichten. Nu al geldt de AVG: een uitsluitend geautomatiseerde afwijzing is in beginsel niet toegestaan (artikel 22 AVG), en het systeem mag niet discrimineren.

Wie is eigenaar van tekst of beeld dat door AI is gemaakt?

Volledig door AI gegenereerde inhoud is in de regel niet auteursrechtelijk beschermd, omdat een menselijke creatieve bijdrage ontbreekt. Wat u mag doen met de output, hangt daarom vooral af van de voorwaarden van de leverancier.

Wie houdt in Nederland toezicht?

De Autoriteit Persoonsgegevens houdt toezicht op de AVG en coördineert het toezicht op algoritmes en AI. Het toezicht op de AI-verordening wordt geregeld in de Uitvoeringswet AI-verordening, die het kabinet op 20 april 2026 in internetconsultatie bracht. Volgens dat voorstel houden bestaande toezichthouders binnen hun eigen domein toezicht, is de Autoriteit Persoonsgegevens toezichthouder waar geen duidelijke toezichthouder bestaat, en coördineren de Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur. Het gaat nog om een wetsvoorstel.