AI, software en de nieuwe richtlijn productaansprakelijkheid

Het juridisch kader

De nieuwe richtlijn productaansprakelijkheid is Richtlijn (EU) 2024/2853 van 23 oktober 2024. Ze verscheen op 18 november 2024 in het Publicatieblad en trad op 8 december 2024 in werking. De lidstaten moeten haar uiterlijk op 9 december 2026 omzetten (artikel 22). Ze geldt voor producten die na 9 december 2026 in de handel worden gebracht of in gebruik worden gesteld (artikel 2, lid 1). De oude Richtlijn 85/374/EEG wordt vanaf die datum ingetrokken, maar blijft gelden voor producten die eerder in de handel kwamen (artikel 21).

De richtlijn harmoniseert maximaal: lidstaten mogen geen strengere of soepelere regels behouden of invoeren, tenzij de richtlijn dat toelaat (artikel 3). Ze regelt aansprakelijkheid buiten schuld: een eiser hoeft niet te bewijzen dat iemand onzorgvuldig was, alleen dat het product gebrekkig was, de schade en het oorzakelijk verband (artikel 10, lid 1).

Ze laat contractuele aansprakelijkheid en andere buitencontractuele aansprakelijkheid naar nationaal recht onverlet (artikel 2, lid 4, punt b)), en ook het gegevensbeschermingsrecht (artikel 2, lid 4, punt a)).

Software en AI zijn producten

Een product is elke roerende zaak, en de definitie zegt nu uitdrukkelijk: "met inbegrip van elektriciteit, digitale fabricagedossiers, grondstoffen en software" (artikel 4, punt 1). Overweging 13 verduidelijkt dat software onder meer "besturingssystemen, firmware, computerprogramma's, applicaties of AI-systemen" omvat, of ze nu op een toestel staat, via een netwerk toegankelijk is of als software-als-een-dienst wordt geleverd. Volgens dezelfde overweging moet een ontwikkelaar of producent van software, ook een aanbieder van een AI-systeem in de zin van de AI-verordening, als fabrikant worden behandeld. Informatie als zodanig, zoals de inhoud van e-boeken of louter broncode, is geen product.

Twee begrippen tellen extra voor digitale producten:

• een bijbehorende dienst is een digitale dienst die zo in een product is geïntegreerd of ermee verbonden is dat het product zonder die dienst een of meer functies niet kan vervullen (artikel 4, punt 3), bijvoorbeeld de clouddienst achter een slimme thermostaat;
• de zeggenschap van de fabrikant omvat updates, upgrades en componenten die de fabrikant levert of toestaat, en zijn vermogen om zelf of via een derde software-updates te leveren (artikel 4, punt 5).

Vrije en opensourcesoftware die buiten een handelsactiviteit wordt ontwikkeld of geleverd, valt erbuiten (artikel 2, lid 2).

Wie is aansprakelijk (artikel 8)

• de fabrikant van het gebrekkige product (artikel 8, lid 1, punt a)), ook wie zijn naam of merk op het product zet (artikel 4, punt 10);
• de fabrikant van een gebrekkig component, ook software, dat onder zeggenschap van de fabrikant werd geïntegreerd (artikel 8, lid 1, punt b));
• bij fabrikanten buiten de EU: de importeur, de gemachtigde en, als die er geen van beide zijn, de fulfilmentdienstverlener (artikel 8, lid 1, punt c));
• wie een product buiten de zeggenschap van de fabrikant ingrijpend wijzigt en daarna op de markt aanbiedt (artikel 8, lid 2);
• distributeurs en onlineplatforms waarop consumenten met handelaren contracteren, als ze op verzoek niet binnen een maand een EU-marktdeelnemer of hun eigen leverancier noemen (artikel 8, leden 3 en 4).

Aansprakelijke marktdeelnemers zijn hoofdelijk aansprakelijk (artikel 12, lid 1).

Welke schade wordt vergoed (artikel 6)

Overlijden of lichamelijk letsel, ook medisch erkende schade aan de psychische gezondheid; schade aan goederen, behalve aan het gebrekkige product zelf en aan goederen die uitsluitend beroepsmatig worden gebruikt; en, nieuw, de vernietiging of beschadiging van gegevens die niet beroepsmatig worden gebruikt (artikel 6, lid 1). Verliezen die uit die schade volgen, worden vergoed, immateriële verliezen voor zover het nationale recht ze vergoedt (artikel 6, lid 2).

Wanneer is een product gebrekkig (artikel 7)

Een product is gebrekkig als het niet de veiligheid biedt die iemand mag verwachten of die het Europese of nationale recht oplegt (artikel 7, lid 1). Onder de omstandigheden die de rechter meeweegt (artikel 7, lid 2):

• het effect van het vermogen om na het in de handel brengen verder te leren of nieuwe functies te verwerven (punt c));
• het effect van andere producten die ermee samen worden gebruikt, ook via onderlinge verbinding (punt d));
• het moment waarop het product de zeggenschap van de fabrikant verliet, als de fabrikant na het in de handel brengen zeggenschap behoudt (punt e));
• productveiligheidseisen, waaronder veiligheidsrelevante cyberbeveiligingseisen (punt f)).

Bewijs en bewijslast (artikelen 9 en 10)

Een eiser met een aannemelijke vordering kan de rechter vragen de verweerder te bevelen relevant bewijs over te leggen, met bescherming van bedrijfsgeheimen (artikel 9, leden 1, 4 en 5). Het gebrek wordt vermoed als de verweerder dat bewijs niet overlegt, als het product verplichte veiligheidseisen schendt of als er bij normaal gebruik een duidelijke storing was (artikel 10, lid 2). Het oorzakelijk verband wordt vermoed als de schade typisch is voor het gebrek (artikel 10, lid 3). Maakt technische of wetenschappelijke complexiteit het bewijs buitensporig moeilijk, dan vermoedt de rechter het gebrek of het oorzakelijk verband, of beide, zodra de eiser aantoont dat ze waarschijnlijk zijn (artikel 10, lid 4). Alle vermoedens zijn weerlegbaar (artikel 10, lid 5).

Verweren en hun grenzen (artikel 11)

Een marktdeelnemer ontsnapt aan aansprakelijkheid als hij een van de gronden van artikel 11, lid 1, bewijst, bijvoorbeeld dat het gebrek waarschijnlijk nog niet bestond toen het product in de handel kwam (punt c)), of dat de stand van de wetenschappelijke en technische kennis niet toeliet het gebrek te ontdekken (punt e)). Maar het verweer van het "latere gebrek" werkt niet, zolang het binnen de zeggenschap van de fabrikant ligt, als het gebrek te wijten is aan een bijbehorende dienst, aan software met inbegrip van updates, aan het ontbreken van software-updates "die nodig zijn om de veiligheid te handhaven", of aan een ingrijpende wijziging (artikel 11, lid 2).

Termijnen en contracten

Een vordering moet worden ingesteld binnen drie jaar nadat je weet of had moeten weten wat de schade, het gebrek en de aansprakelijke marktdeelnemer zijn (artikel 16). Het recht vervalt tien jaar nadat het product in de handel kwam of ingrijpend werd gewijzigd, of 25 jaar bij latent letsel (artikel 17). Aansprakelijkheid tegenover het slachtoffer kan niet contractueel worden beperkt of uitgesloten (artikel 15). Tussen marktdeelnemers onderling volgt verhaal het nationale recht (artikel 14). Een fabrikant die software van een micro- of kleine onderneming integreert, mag met die leverancier afspreken af te zien van zijn verhaalsrecht (artikel 12, lid 2).

In de praktijk

Een Gents bedrijf verkoopt een energie-app die de verwarming aanstuurt via een clouddienst. Een foute update laat een ketel oververhitten en beschadigt een woonkamer. De app is een product en de clouddienst een bijbehorende dienst. De update viel onder de zeggenschap van het bedrijf, dus het kan niet aanvoeren dat het gebrek later ontstond (artikel 11, lid 2, punt b)).

Een Leuvense ontwikkelaar levert een AI-visiemodule die een Nederlandse fabrikant inbouwt in een heftruck die in België wordt verkocht. Een werknemer raakt gewond. De heftruckfabrikant is aansprakelijk als fabrikant, de ontwikkelaar als fabrikant van een gebrekkig component (artikel 8, lid 1, punten a) en b)). Ze zijn hoofdelijk aansprakelijk. Wie uiteindelijk betaalt, bepalen het contract en het nationale recht.

Een webshop verkoopt slimme camera's door die hij bij een groothandel koopt. Door een fout in een camera raakt het privéfotoarchief van een klant beschadigd. Gegevensverlies is nu vergoedbare schade als de gegevens niet beroepsmatig werden gebruikt (artikel 6, lid 1, punt c)). Kan geen fabrikant, importeur of gemachtigde in de EU worden geïdentificeerd, dan moet de webshop op verzoek binnen een maand er een noemen of zijn eigen leverancier, anders wordt hij zelf aansprakelijk (artikel 8, lid 3).

Een AI-systeem leert na de verkoop verder. Dat vermogen weegt mee bij de beoordeling van het gebrek (artikel 7, lid 2, punt c)). Een ingrijpende wijziging door leren of een update kan de termijn van tien jaar opnieuw laten lopen voor het gewijzigde product (artikel 17, lid 1, punt b)).

Contracten en praktische stappen

1. Bepaal je rol per product. Ben je fabrikant, componentfabrikant, importeur, distributeur of platform? Een merk op het product maakt je fabrikant.
2. Plan je updates. Het ontbreken van updates die nodig zijn voor de veiligheid kan een verweer onderuit halen. Onder de verordening cyberweerbaarheid moeten fabrikanten van producten met digitale elementen bovendien kwetsbaarheden behandelen tijdens een ondersteuningsperiode van in de regel minstens vijf jaar (artikel 13, lid 8).
3. Herschrijf je leveringscontracten. Aansprakelijkheid tegenover slachtoffers sluit je niet uit, maar onderling kun je ze verdelen: vrijwaringen, samenwerking bij overlegging van bewijs, toegang tot logs en documentatie, updateplichten, verzekering en plafonds tussen partijen. Zie AI-clausules in leverancierscontracten. Onze contractreview markeert clausules die niet meer werken, en met Document Studio stel je nieuwe op.
4. Houd bewijs klaar. De rechter kan overlegging bevelen. Organiseer je technische documentatie zo dat je kunt geven wat nodig is zonder meer bedrijfsgeheimen prijs te geven dan nodig. Je documentatie onder de AI-verordening helpt daarbij.
5. Volg data en plichten op. Leg ondersteuningsperiodes, updatebeloftes en verhaalsrechten vast in je contractregister.
6. Controleer je verzekering. Vraag na of je polis software, gegevensverlies en producten die na 9 december 2026 in de handel komen dekt.

Veelgestelde vragen

Valt SaaS onder de richtlijn?

Ja. Overweging 13 zegt dat software een product is ongeacht de wijze van levering, ook als software-als-een-dienst.

Is een aanbieder van een AI-systeem een fabrikant?

Overweging 13 zegt dat een ontwikkelaar of producent van software, ook een aanbieder van AI-systemen in de zin van de AI-verordening, als fabrikant moet worden behandeld.

Kan ik aansprakelijkheid uitsluiten in mijn algemene voorwaarden?

Niet tegenover het slachtoffer (artikel 15). Tussen ondernemingen in de keten kun je het risico wel verdelen, binnen de grenzen van het nationale recht over verhaal.

En producten die al op de markt zijn?

Producten die vóór 9 december 2026 in de handel kwamen of in gebruik werden gesteld, blijven onder de oude Richtlijn 85/374/EEG (artikel 21).

Telt vrije opensourcesoftware mee?

Niet als ze buiten een handelsactiviteit wordt ontwikkeld of geleverd (artikel 2, lid 2). Een fabrikant die ze in een commercieel product inbouwt, blijft aansprakelijk voor dat product.

Hoe dit samenhangt

Dit artikel hoort bij onze reeks over het Europese digitale regelboek. Zie het EU-digitaal regelboek in 2026 voor het volledige overzicht en de digitale omnibus inzake AI voor de plichten onder de AI-verordening die je technische documentatie bepalen. Voor contractvoorwaarden lees je AI-clausules in leverancierscontracten en SaaS-overeenkomsten. Voor de beveiligingsplichten op dezelfde producten, zie Verordening cyberweerbaarheid I: welke producten vallen eronder en Verordening cyberweerbaarheid III: importeurs, distributeurs en open source.

Ons team commerciële contracten herschrijft je leverings- en distributievoorwaarden, en ons team AI Act-compliance stemt je documentatie af.

Aangehaalde bepalingen. Richtlijn (EU) 2024/2853, artikelen 2, 3, 4, punten 1, 3, 5 en 10, 6, 7, 8, 9, 10, 11, 12, 14, 15, 16, 17, 21 en 22, en overweging 13. Verordening cyberweerbaarheid, artikel 13, lid 8.

Belangrijke data. 18 november 2024: bekendmaking. 8 december 2024: inwerkingtreding. 9 december 2026: omzettingstermijn, intrekking van Richtlijn 85/374/EEG, en de nieuwe regels gelden voor producten die na die datum in de handel komen.

Bronnen. Richtlijn (EU) 2024/2853, AI-verordening, Verordening (EU) 2024/1689 en verordening cyberweerbaarheid, Verordening (EU) 2024/2847.