AI-aansprakelijkheid: de update van het productaansprakelijkheidsrecht

Een van de belangrijkste wijzigingen van de Productaansprakelijkheidsrichtlijn betreft het begrip ‘product’. Software wordt in de huidige wettelijke regeling namelijk niet genoemd. In de praktijk kan dit leiden tot discussie wanneer schade wordt veroorzaakt door digitale componenten of AI-systemen. Het productbegrip omvat voortaan uitdrukkelijk software, digitale fabricagedossiers en grondstoffen. AI-systemen vallen als software onder deze definitie. De Productaansprakelijkheidsrichtlijn breidt de aansprakelijkheid uit tot gerelateerde diensten: digitale diensten die zodanig in een product zijn geïntegreerd dat het product zonder die dienst niet kan functioneren. Voor AI is dit een belangrijk aandachtspunt, aangezien AI-toepassingen in de praktijk vaak als dienst worden aangeboden. Vrije en opensourcesoftware die buiten een commerciële activiteit is ontwikkeld, valt niet onder de Productaansprakelijkheidsrichtlijn. Een producent die dergelijke software als component in een commercieel product integreert, kan echter wel aansprakelijk zijn.

Producenten en ontwikkelaars moeten daarom allereerst nagaan welke software- en AI-oplossingen onder het nieuwe productbegrip vallen en of hun contracten, documentatie en complianceprocessen daarop zijn ingericht.

AI-toepassingen worden bijna nooit door slechts één partij ontwikkeld. Vaak zijn meerdere partijen betrokken. Dit geldt bijvoorbeeld voor foundation models, die op grote hoeveelheden uiteenlopende data worden getraind en als basismodel kunnen worden ingezet voor verschillende AI-toepassingen. De ontwikkelaar van het basismodel is dus niet noodzakelijk ook de leverancier van de uiteindelijke AI-toepassing. De nieuwe Productaansprakelijkheidsrichtlijn verruimt de kring van aansprakelijke personen. Naast de producent, de fabrikant van een onderdeel en de importeur, kunnen ook andere partijen aansprakelijk zijn. Wanneer de fabrikant buiten de EU is gevestigd, kunnen ook de importeur, de gemachtigde vertegenwoordiger en de fulfilmentdienstverlener worden aangesproken. Ook online platforms en partijen die een product ingrijpend wijzigen, kunnen aansprakelijk worden gehouden. Bij AI-systemen rijst daarmee de vraag in hoeverre de ontwikkelaar van een foundation model aansprakelijk kan zijn voor schade die wordt veroorzaakt door een toepassing van een derde waarin dit model is verwerkt [1].

Een tweede actiepunt is aldus het in kaart brengen van uw positie in de AI-keten. Daarbij gaat het om de precieze rol van uw organisatie, de partijen voor en na uw organisatie in de keten en eventuele contractuele verdelingen van aansprakelijkheden.

Het uitgangspunt blijft dat een product gebrekkig is wanneer het niet de veiligheid biedt die men daarvan mag verwachten. De nieuwe Productaansprakelijkheidsrichtlijn verduidelijkt echter dat bij die beoordeling ook rekening kan worden gehouden met moderne risico’s, zoals cyberveiligheidsgebreken, software-updates en -upgrades, en de voortdurende ontwikkeling van zelflerende AI-systemen. Een product kan dus niet alleen gebrekkig zijn op het moment waarop het in het verkeer wordt gebracht, maar ook gebrekkig worden als gevolg van latere ontwikkelingen die binnen de invloedssfeer van de producent liggen. Daarbij spelen de veiligheids- en transparantieverplichtingen uit de AI Act een belangrijke rol. Voor AI-systemen kan gebrekkigheid zich op verschillende manieren uiten. Een AI-systeem kan bijvoorbeeld zijn ontwikkeld met onvoldoende of niet-representatieve trainingsdata, waardoor het systeem in bepaalde situaties onjuiste of onveilige uitkomsten genereert. 

Gelet hierop is het derde actiepunt om te controleren of uw ontwikkel-, test- en monitoringsprocessen voldoende inzicht bieden in de werking van het systeem en de maatregelen die zijn getroffen om veiligheidsrisico's te beperken.

Ook het schadebegrip wordt uitgebreid. Naast overlijden, lichamelijk letsel en zaakschade komt ook schade door vernietiging of corruptie van gegevens voortaan voor vergoeding in aanmerking. Bij corruptie gaat het om beschadiging van gegevens. Ook de kosten van het herstel daarvan komen voor vergoeding in aanmerking. Daarnaast valt medisch erkende psychische gezondheidsschade onder het schadebegrip, waarmee deze schade ook voor vergoeding in aanmerking komt. Deze schade kan bijvoorbeeld ontstaan bij het gebruik van AI-chatbots die rechtstreeks met gebruikers communiceren over (mentale) gezondheid of persoonlijke beslissingen. Onjuiste of misleidende antwoorden kunnen bestaande angsten versterken of ertoe leiden dat gebruikers professionele hulp uitstellen. Daarmee kunnen deze systemen bijdragen aan het ontstaan of verergeren van psychische gezondheidsschade.

Een vierde actiepunt voor organisaties die AI-chatbots of andere gebruikersgerichte AI-systemen ontwikkelen, is het meenemen van de mogelijke invloed van gegenereerde output op gebruikers.

Misschien wel de meest ingrijpende verandering voor de procespraktijk betreft het bewijsrecht. Een benadeelde moet bewijzen dat sprake is van een gebrek en dat een causaal verband bestaat tussen het gebrek en de schade. De nieuwe Productaansprakelijkheidsrichtlijn versterkt de positie van de benadeelde hierin aanzienlijk. De richtlijn introduceert bewijsvermoedens ten aanzien van gebrekkigheid en causaliteit: een product wordt onder meer vermoed gebrekkig te zijn bij kennelijk disfunctioneren, bij niet-naleving van dwingende veiligheidsvoorschriften of wanneer de producent weigert toegang te verlenen tot het gevorderde bewijsmateriaal. 

Het laatste actiepunt is dus om ervoor te zorgen dat technische documentatie zorgvuldig wordt opgesteld en volledig, actueel en reproduceerbaar is.

De nieuwe Productaansprakelijkheidsrichtlijn maakt duidelijk dat AI niet langer buiten het traditionele aansprakelijkheidsrecht staat. Voor organisaties die AI ontwikkelen, implementeren of gebruiken, is dit hét moment om niet alleen naar de kansen van AI te kijken, maar ook naar de juridische risico's. De belangrijkste vraag is daarom niet óf de nieuwe richtlijn gevolgen heeft voor uw organisatie, maar in hoeverre uw organisatie daarop al is voorbereid.

Heeft uw organisatie vragen over de gevolgen van de nieuwe Productaansprakelijkheidsrichtlijn voor AI-toepassingen? Neem dan contact met ons op. Wij denken graag met u mee.