AI-ansvar i Nederland: hvem betaler når AI gjør en feil?

Når et AI-system gjør en feil i Nederland, avgjøres ansvaret etter de vanlige reglene i nederlandsk sivilrett: vanligvis den parten som leverte eller brukte systemet i henhold til en kontrakt, eller organisasjonen som distribuerte det uten tilstrekkelig forsiktighet. Hovedunntaket er produsenten av et defekt produkt, som kan være ansvarlig uten skyld.

Det finnes ingen egen lov om ansvar for KI. Ansvar følger av kontrakten mellom partene, ansvar for en tilskrivelig unnlatelse av å utføre ytelsen i henhold til artikkel 6:74 i den nederlandske sivilloven (BW), erstatningsansvar i henhold til artikkel 6:162 i BW, ansvar for hjelpemidler og for uegnede gjenstander brukt i utførelsen, og produktansvarsreglene i artikkel 6:185 til 6:193 i BW. EUs KI-lov pålegger leverandører og distributører offentligrettslige plikter og bøter, men den gir ikke i seg selv et offer et krav på erstatning.

Hvilke nederlandske rettsgrunnlag gjelder for AI-skade?

Generelle regler i sivilloven, skrevet for andre situasjoner, som domstoler nå anvender på KI. Hvilken som passer din sak, avgjør hvem du kan holde ansvarlig, hva du må bevise og hvor mye du kan få refundert.

• Ansvarlig kontraktsbrudd (artikkel 6:74 i BW). Den vanlige ruten der partene har en avtale. Leverandøren lovet et system med visse egenskaper, og leverte dem ikke, eller distributøren brukte det utenfor de avtalte grensene.
• Ansvar for hjelpepersonell (artikkel 6:76 i BW). En part som bruker en annen person til å oppfylle en forpliktelse, er ansvarlig for den personen som for seg selv. Dette gjelder der en KI-leverandør setter modellutvikling eller -hosting på underleverandøravtale.
• Ansvar for uegnede gjenstander brukt i utførelsen (artikkel 6:77 BW). Dersom en gjenstand som brukes til å oppfylle en forpliktelse er uegnet, tilskrives den resulterende mangelen skyldneren, med mindre det ville være urimelig under omstendighetene. I henhold til denne bestemmelsen kan et sykehus eller et regnskapsfirma være ansvarlig for et defekt verktøy det har brukt. Unntaket er snevrere enn saksøkte har en tendens til å anta.
• Erstatningsrett (artikkel 6:162 BW). Ruten for alle utenfor kontrakten, for eksempel en pasient, en avvist jobbsøker eller en trafikant. Saksøker må vise en ulovlig handling, tilskrivbarhet, skade, årsakssammenheng og relativitet (regelen som er brutt må beskytte mot denne typen skade).
• Ansvar for ansatte og ikke-underordnede oppdragstakere (artikkel 6:170 og 6:171 i BW). En organisasjon står ansvarlig for feilene til de som jobber for den. Det inkluderer en ansatt som ukritisk stolte på en maskins resultater.
• Produktansvar (artikkel 6:185 til 6:193 i BW). Produsentens objektive ansvar for et defekt produkt, uten bevis for feil. Hvorvidt ren programvare regnes som et produkt i henhold til gjeldende tekst er omstridt. Det reviderte EU-direktivet avgjør dette punktet.

Hva legger GDPR til?

Et AI-system som behandler personopplysninger må overholde GDPR ( AVG ). Det gir den berørte personen et tilleggskrav.

Artikkel 22 i GDPR begrenser avgjørelser basert utelukkende på automatisert behandling som har rettsvirkninger eller lignende vesentlige virkninger for en person. Artikkel 82 i GDPR gir en egen rett til erstatning for materiell og ikke-materiell skade forårsaket av et brudd på personopplysningsloven. I praksis vil en saksøker med et personvernperspektiv ofte påberope seg dette sammen med erstatningskravet. Den behandlingsansvarlige må da vise at vedkommende har overholdt kravet, noe som styrker saksøkers posisjon.

Hvorfor bør du starte med kontrakten?

Fordi svaret på hvem som er ansvarlig for en AI-feil mellom bedrifter vanligvis er skrevet i avtalen lenge før noe går galt. Nederlandsk lov gir partene bred frihet til å fordele denne risikoen.

Leverandører av kunstig intelligens bruker denne friheten. Standardvilkårene deres beskriver vanligvis resultatet som veiledende og fraskriver seg egnethet for et bestemt formål. De begrenser ansvaret til gebyrene som er betalt over en begrenset periode og utelukker følgeskader fullstendig.

Holder begrensningsklausuler stand?

Oftere enn klienter forventer, men ikke alltid. En domstol kan sette en klausul til side der det ville være uakseptabelt å påberope seg den etter rimelighets- og rettferdighetsstandarder.

Denne testen finnes i artikkel 6:248 i BW. Nederlandske domstoler anvender den lettest der skaden ble forårsaket av forsett eller overlagt hensynsløshet fra leverandørens eller dennes ledelses side. I generelle vilkår og betingelser kan en klausul også ugyldiggjøres som urimelig byrdefull i henhold til artikkel 6:233 i BW. Forbrukere har ekstra beskyttelse fra de lovbestemte listene i artikkel 6:236 og 6:237 i BW.

Hvilke kontraktsklausuler avgjør egentlig tvister om kunstig intelligens.

De praktiske klausulene, mer enn ansvarsgrensen. De fastsetter hvem som lovet hva og hvem som måtte sjekke resultatet.

Hva garanterte leverandøren om nøyaktighet, treningsdata og biastesting? Hvem må validere resultatet før noen handler på det? Hvilken part eier loggene, og hvor lenge oppbevares de? Må leverandøren rapportere en nedgang i modellens ytelse? Forplikter leverandøren seg til å holde systemet i samsvar med KI-loven, og hvem betaler hvis den ikke gjør det? En forhandlet KI-kontrakt som svarer på disse spørsmålene er verdt mer enn noen klausul om erstatningsbeløpet.

Der distributøren er et profesjonelt firma som opptrer på vegne av kunder, finnes det et andre lag. Et firma som bruker et AI-verktøy i sine egne tjenester, er fortsatt ansvarlig overfor sin klient for resultatet. I henhold til artikkel 6:77 i BW tilskrives verktøyets uegnethet i prinsippet firmaet, ikke klienten. Hvorvidt firmaet kan overføre denne risikoen til leverandøren sin, avhenger helt av leveringskontrakten. Det er derfor de to settene med vilkår bør leses side om side.

Hvilken aktsomhetsplikt har en organisasjon som bruker kunstig intelligens?

Den må opptre slik en rimelig forsiktig utplasserer ville gjort. Utenfor en kontrakt avhenger ansvar av dette spørsmålet.

Nederlandske domstoler vurderer dette på samme måte som de vurderer enhver aktsomhetsplikt. Hvor sannsynlig var skaden? Hvor alvorlig ville den være? Hvor byrdefulle var forholdsreglene? Hva tillot den nåværende teknologien? Anvendt på kunstig intelligens har det i praksis dukket opp en gjenkjennelig standard.

• Egnethet for faktisk bruk. Et system som er validert for én populasjon, et datasett eller et land, er ikke automatisk egnet for et annet. Å bruke det utenfor forholdene det ble testet under er et klassisk brudd på aktsomhetsplikten.
• Meningsfull menneskelig tilsyn. Personen som gjennomgår resultatet trenger informasjonen, tiden og myndigheten til å avvike fra det. Tilsyn som kun eksisterer på papiret, der en gjennomganger godkjenner hundrevis av resultater i timen, gir ingen beskyttelse.
• Overvåking etter lansering. Modellytelsen endrer seg etter hvert som verden endrer seg. En organisasjon som aldri måler nøyaktighet etter lansering kan ikke vise at den var forsiktig.
• Åpenhet overfor den berørte personen. Å fortelle folk at KI ble brukt, og hvordan, er en forpliktelse i henhold til KI-loven i definerte tilfeller. Det er også en faktor når en domstol avgjør om handlingen var ulovlig.
• Dokumentasjon. Logger, versjonsregistreringer, testresultater og årsakene til å godta eller overstyre en utdata. Uten disse kan ikke organisasjonen motbevise en påstand, uansett hva som faktisk skjedde.

Det motsatte er også tilfelle. En organisasjon som overstyrer et korrekt AI-utdata, eller ignorerer en advarsel systemet har gitt, er underlagt den samme aktsomhetsplikten. Spørsmålet er aldri om AI ble brukt. Det er om beslutningstakingen rundt den var forsvarlig.

Hvordan gjelder produktansvar for AI, nå og fra desember 2026?

I dag er produsenten av et defekt produkt strengt ansvarlig i henhold til artikkel 6:185 til 6:193 i BW, men det er uklart om frittstående programvare er et produkt. Det reviderte EU-direktivet gjør programvare, inkludert AI, uttrykkelig til et produkt for produkter som bringes på markedet etter 9. desember 2026.

Hva er de gjeldende reglene?

Produsenten er ansvarlig for død, personskade og skade på eiendom til privat bruk, uten at den skadelidte trenger å bevise skyld. Et produkt er mangelfullt dersom det ikke tilbyr den sikkerheten en person kan forvente.

Denne forventningen tar hensyn til produktets presentasjon, dets rimelig forventede bruk og tidspunktet det ble satt i omløp. Skadelidte må bevise mangelen, skaden og årsakssammenhengen. I henhold til artikkel 6:191 i BW foreldes kravet tre år etter at skadelidte kjente til, eller burde ha kjent til, skaden, mangelen og produsenten. Det bortfaller uansett ti år etter at produktet ble satt i omløp.

For AI er svakheten ved dette regimet strukturell. Det ble skrevet for håndgripelige varer. Det er uklart om frittstående programvare teller som et produkt. Og et system som endrer oppførsel etter at det ble satt i omløp, passer uheldigvis inn i en mangel som vurderes i sirkulasjonsøyeblikket.

Hvilke endringer skjer under det nye produktansvarsdirektivet?

Direktiv (EU) 2024/2853 av 23. oktober 2024 erstatter direktivet fra 1985 og besvarer de fleste av disse innvendingene. Programvare, inkludert AI-systemer, er uttrykkelig et produkt.

Flere parter kan være ansvarlige. Foruten produsenten omfatter direktivet importører, autoriserte representanter, leverandører av oppfyllingstjenester og, i definerte tilfeller, en part som vesentlig modifiserer et produkt som allerede er på markedet. Ved vurdering av en mangel kan en domstol ta hensyn til effektene av læring etter utrulling og evnen til å levere oppdateringer. Minimumsterskelen for materielle skader forsvinner. Erstattelig skade omfatter uttrykkelig ødeleggelse eller ødeleggelse av data og medisinsk anerkjent psykisk skade.

Avgjørende for kunstig intelligens er at en domstol kan pålegge en saksøkt å fremlegge bevis den har. Motbeviselige presumsjoner om mangelfullhet og årsakssammenheng gjelder der teknisk eller vitenskapelig kompleksitet gjør bevisførselen urimelig vanskelig for saksøker.

Når trer de nye reglene i kraft i Nederland?

Medlemsstatene må implementere direktivet innen 9. desember 2026, og det gjelder for produkter som bringes på markedet etter denne datoen. Den nederlandske implementeringsloven er ennå ikke vedtatt.

Lovforslaget ( Implementatiewet richtlijn herziening productaansprakelijkheid , lovforslag 36906) endrer bok 6 og 7 i den sivile loven. Det ble fremlagt for Representantenes hus ( Tweede Kamer ) 18. februar 2026. Regjeringen svarte på komiteens rapport 3. september 2026, og lovforslaget ligger fortsatt til behandling i Representantenes hus. Ikrafttredelsesdatoen vil bli fastsatt ved kongelig resolusjon. Inntil da gjelder fortsatt de nåværende artiklene 6:185 til 6:193 i BW. Produkter som allerede er på markedet når de nye reglene trer i kraft, forblir underlagt det gamle regimet. I flere år vil de to systemene derfor fungere side om side, og datoen et system ble brakt på markedet vil avgjøre hvilket som gjelder.

Hva gjør KI-loven, og hva gjør den ikke?

KI-loven setter regler for produktsikkerhet og tilsyn og håndheves med administrative bøter. Den skaper ikke rett til erstatning: et offer som ønsker erstatning må fortsatt kreve erstatning i henhold til sivilloven.

KI-loven, forordning (EU) 2024/1689, klassifiserer systemer etter risiko og forbyr et lite antall praksiser direkte. Den pålegger leverandører av KI-systemer med høy risiko forpliktelser når det gjelder design, dokumentasjon, datastyring, menneskelig tilsyn, nøyaktighet og overvåking etter at systemet er på markedet. Den legger til lettere åpenhetsplikter for systemer som samhandler med mennesker eller genererer syntetisk innhold, og separate regler for generelle KI-modeller. Tilsynsmyndighetene håndhever den.

Hvorfor er KI-loven fortsatt relevant for sivilrettslig ansvar?

Fordi den gir den skriftlige standarden som en domstol kan måle aktsomhetsplikten mot. Brudd på den peker mot ansvar; overholdelse av den gir ditt forsvar.

En organisasjon som ignorerte en dokumentasjons-, tilsyns- eller overvåkingsforpliktelse, har tilsynelatende ikke levert opp til standarden en forsiktig distributør oppfyller. Samsvarsdokumentasjon fungerer like effektivt den andre veien. Den tekniske filen, risikostyringsregistrene og loggene er akkurat det en saksøkt trenger når et krav kommer inn.

Hvilke datoer for KI-loven gjelder nå?

Tidsplanen endret seg i 2026. Mange samsvarsplaner ble bygget på de opprinnelige datoene, så det er verdt å angi dem presist.

Forordningen trådte i kraft 1. august 2024. De forbudte praksisene og plikten til KI-kompetanse har gjeldt siden 2. februar 2025. Reglene om generelle KI-modeller, styring og straffer har gjeldt siden 2. august 2025. Hoveddelen av forordningen, inkludert åpenhetspliktene, trådte i kraft 2. august 2026.

En forenklingspakke («digital omnibus» om KI) ble publisert i EU-tidende 24. juli 2026 og trådte i kraft 27. juli 2026. Den utsetter forpliktelsene for frittstående høyrisikosystemer oppført i vedlegg III til 2. desember 2027. Høyrisikosystemer innebygd i produkter som allerede er dekket av EUs produktlovgivning følger 2. august 2028. Generative systemer som allerede er på markedet før 2. august 2026 har frist til 2. desember 2026 for å oppfylle plikten til maskinlesbar merking. To nye forbud, mot systemer som genererer materiale med seksuelt misbruk av barn eller intime bilder uten samtykke, gjelder fra 2. desember 2026.

Utsettelse er ikke opphevelse. Forbudene, åpenhetsplikten og reglene for generelle modeller gjelder nå. De utsatte høyrisikoforpliktelsene beskriver atferd som en domstol allerede kan anse som gjeldende standard for aktsomhet. Organisasjoner som setter programmene sine på pause frem til 2027, kan oppleve at sivilretten innhenter dem først.

Hvem skal føre tilsyn med KI-loven i Nederland?

Dette ordnes i en egen nederlandsk implementeringslov, som ennå ikke er trådt i kraft. Fordi KI-loven er en forskrift, gjelder den direkte uansett.

Den 20. april 2026 la regjeringen utkastet til implementeringslov for AI-forordningen ( Uitvoeringswet AI-verordening ) ut på offentlig høring. Utkastet gir den nederlandske databeskyttelsesmyndigheten ( Autoriteit Persoonsgegevens ) og den nederlandske myndigheten for digital infrastruktur ( Rijksinspectie Digitale Infrastructuur ) en sentral rolle. Eksisterende sektortilsynsmyndigheter fører tilsyn på sine egne felt. Det som fortsatt mangler er det nasjonale håndhevings- og sanksjonsrammeverket.

Hvordan beviser man at et AI-system forårsaket skaden?

Det er den vanskeligste delen av et erstatningskrav knyttet til AI, mye mer enn det juridiske grunnlaget. Du må vise at dette systemet, og ikke personen som brukte det eller en annen årsak, forårsaket skaden.

Hva skjedde med direktivet om ansvar for kunstig intelligens?

Den ble trukket tilbake. Det europeiske svaret skulle være en presumsjon om årsakssammenheng, men det forslaget ble aldri enighet om.

Kommisjonens forslag til et direktiv om ansvar for AI, som ble presentert i september 2022, ville ha innført en presumsjon om årsakssammenheng og en rett til å beordre utlevering av bevis om høyrisikosystemer. Kommisjonen trakk det formelt tilbake, og tilbaketrekkingen ble publisert i EU-tidende 6. oktober 2025. Ingenting har erstattet det.

Hvilke nederlandske prosedyreverktøy kan du bruke?

En anmodning om innsyn i data, og en sakkyndig undersøkelse beordret av retten. Sammen med forutsetningene i det reviderte produktansvarsdirektivet er dette verktøyene som gjenstår.

Siden 1. januar 2025 er retten til innsyn i data som en annen part har, nedfelt i artikkel 194 til 195a i den nederlandske sivilprosessloven (Rv). Disse bestemmelsene erstattet den gamle artikkel 843a Rv. Terskelen er lavere enn før: du må sannsynliggjøre at du har interesse av å innsyn i visse data. Du kan også be retten om å oppnevne en sakkyndig eller beordre en forberedende sakkyndig undersøkelse ( voorlopig deskundigenbericht ).

I praksis gjør en tidlig og presis forespørsel om logger, modellversjoner, valideringsrapporter og hendelsesregistrering mer for et krav enn noen argumentasjon om bevisbyrden. På forsvarssiden går det samme i motsatt retning. En organisasjon som ikke kan fremlegge disse registreringene, vil oppleve at retten trekker konklusjoner fra deres fravær.

Oppbevaringspolicy er derfor et ansvarsspørsmål, ikke bare et IT-spørsmål. Der AI-loven gjelder, må leverandører og distributører av høyrisikosystemer oppbevare automatisk genererte logger i en definert minimumsperiode. Der det ikke er tilfelle, er foreldelsesfristene for det underliggende kravet en bedre veiledning. Tretti dager er ikke nok.

Hvordan fungerer dette i de sektorene der det er viktigst?

De samme reglene gjelder overalt, men hver sektor har sitt eget tilleggslag. Her er de fem der vi ser flest spørsmål.

Helsevesen. Et diagnostisk støttesystem tar ikke ansvaret bort fra legen. Behandlingsforholdet forblir hos helsepersonell i henhold til avtalen om medisinsk behandling i artikkel 7:446 og påfølgende BW. Standarden er en rimelig kompetent fagperson. Der selve verktøyet er uegnet, tilskriver artikkel 6:77 BW dette til helsepersonell, med mindre tilskrivning ville være urimelig, og domstolene anvender dette unntaket restriktivt. Programvare som kvalifiserer som medisinsk utstyr har sine egne forpliktelser i henhold til forskriften om medisinsk utstyr, i tillegg til KI-loven.

Rekruttering og HR. Et system som velger eller filtrerer kandidater er høyrisiko i henhold til KI-loven. Det er også innenfor rekkevidden av likebehandlingslovgivningen. Indirekte diskriminering gjennom en proxyvariabel er ulovlig selv om ingen hadde til hensikt å gjøre det. Vi utdyper dette poenget i vår artikkel om ansvar for algoritmisk skjevhet . Det er arbeidsgiveren, ikke leverandøren, som står overfor kandidaten. Artikkel 22 i GDPR begrenser rent automatisert avvisning, og bedriftsrådet ( ondernemingsraaden ) har et ord med i laget når det gjelder å innføre systemer som overvåker eller vurderer ansatte.

Veitrafikk. Nederlandsk lov har allerede en regel om objektivt ansvar som gjelder uansett automatiseringsnivå. I henhold til artikkel 185 i veitrafikkloven av 1994 ( Wegenverkeerswet 1994 ) er eieren eller innehaveren av et motorvogn ansvarlig for skade på ubeskyttede trafikanter, som fotgjengere og syklister, i en kollisjon på offentlig vei, med mindre det forelå force majeure. Rettspraksis setter dette forsvaret svært høyt. Føreren kan også være ansvarlig erstatningsansvarlig, og produsenten produktansvarlig hvis systemet var defekt. Automatisering forskyver balansen mellom disse rutene. Den fjerner ikke den første.

Finansielle tjenester. En institusjon som bruker modeller for kredittscoring, transaksjonsovervåking eller rådgivning, er fortsatt underlagt aktsomhetsplikten i finanstilsynsloven ( Wet op het financieel toezicht ) og tilsyn fra regulatorene. Svikt i modellstyring behandles som styringssvikt hos institusjonen, ikke hos leverandøren.

Innhold og kommunikasjon. Generative systemer skaper en annen type eksponering: krenkelse av immaterielle rettigheter, ærekrenkende eller villedende utdata og publisering av personopplysninger. Ansvaret følger her de vanlige reglene for den parten som publiserer. Det faktum at en maskin skrev teksten er ikke et forsvar. Vår artikkel om ansvar for AI-generert innhold beskriver denne posisjonen i detalj.

Der en AI-feil forårsaker kroppsskade, for eksempel i helsevesenet eller på veien, er kravet for den skaden et personskadekrav. Law & More håndterer ikke personskadesaker; vi henviser den delen til en spesialist i personskadesaker. Vi gir råd om kontrakter, aktsomhetsplikt og samsvar med AI-loven rundt dette.

Hva bør du sjekke som en organisasjon som bruker AI?

Sjekk dine dokumenter og kontrakter før en hendelse, da de ikke kan opprettes troverdig i etterkant. I henhold til artikkel 6:77 i BW ligger risikoen for et uegnet verktøy hos deg overfor dine egne klienter.

• Kartlegg hvor AI faktisk brukes, inkludert verktøy innebygd i programvare du allerede lisensierer, og klassifiser hver bruk under AI-loven.
• Les leverandørens ansvarsgrense ved siden av din egen eksponering overfor kunder.
• Gi anmelderne informasjon, tid og mandat til å avvike fra resultatet, og registrer når de gjør det.
• Bestem hvilke logger som skal oppbevares og hvor lenge; tilpass oppbevaring til begrensningsperiodene, ikke til lagringskostnader.
• Spør forsikringsselskapet ditt skriftlig om et krav som følge av en AI-støttet avgjørelse er dekket.

Hva bør du sjekke som leverandør av AI?

Sjekk hva kontrakten din lover og hva dokumentasjonen din kan bevise. For produkter som er brakt på markedet etter 9. desember 2026, gjør direktiv (EU) 2024/2853 deg ansvarlig for defekt programvare uten feil.

• Angir vilkårene deres tydelig hva dere garanterer om nøyaktighet, treningsdata og biastesting?
• Er begrensningsklausulene deres utformet slik at de består testen i artiklene 6:233 og 6:248 i BW?
• Er klassifiseringen din i henhold til KI-loven dokumentert, med den tekniske filen og risikostyringsregistrene oppdatert?
• Tester du for skjevhet og avvik etter en tidsplan og beholder resultatene, også når de er lite flatterende?
• Hvem bærer kostnadene for oppdateringer som er nødvendige for å holde systemet kompatibelt, og hvem rapporterer hendelser til hvem?

Hva kan vi gjøre for deg med ansvar for kunstig intelligens?

Vårt IT-rettsteam gir råd til leverandører og brukere av AI-systemer og opptrer for og mot parter i tvister om automatiserte beslutninger.

• Vi gjennomgår og forhandler kontrakter knyttet til AI og programvare, inkludert garantier, ansvarsgrenser og eierskap av logger.
• Vi vurderer hvor systemet ditt befinner seg i henhold til KI-loven og hvilke forpliktelser som gjelder fra hvilken dato.
• Vi etablerer styring, menneskelig tilsyn og logging som vil holde i saksbehandlingen.
• Vi ber om inspeksjon av logger og modelldata i henhold til artikkel 194 til 195a i Rv.
• Vi vurderer og fremmer eller forsvarer krav for skade forårsaket av en AI-feil.

Sammendrag

• Det finnes ingen egen lov om ansvar for KI: kontrakten, aktsomhetsplikten (artikkel 6:162 i BW), artikkel 6:76 og 6:77 i BW og produktansvar avgjør hvem som betaler.
• Mellom bedrifter fordeler kontrakten mesteparten av risikoen; begrensningsklausuler gjelder vanligvis, men ikke i tilfeller av forsett eller bevisst hensynsløshet.
• Direktiv (EU) 2024/2853 gjør programvare uttrykkelig til et produkt for produkter som bringes på markedet etter 9. desember 2026; nederlandsk lovforslag 36906 er fortsatt under behandling.
• AI-loven gir ingen rett til kompensasjon, men setter standarden for behandling; forpliktelsene i vedlegg III for høyrisiko gjelder fra 2. desember 2027.
• Bevis er den virkelige slagmarken: logger, versjonsregistreringer og testresultater avgjør de fleste tilfeller.

Ofte stilte spørsmål