AI-ansvar i Nederländerna: vem betalar när AI gör ett misstag?

När ett AI-system gör ett misstag i Nederländerna avgörs ansvaret enligt de vanliga reglerna i nederländsk civilrätt: vanligtvis den part som levererade eller använde systemet enligt ett avtal, eller den organisation som driftsatte det utan tillräcklig omsorg. Det huvudsakliga undantaget är tillverkaren av en defekt produkt, som kan vara ansvarig utan vållande.

Det finns ingen separat lag om ansvar för AI. Ansvar följer av avtalet mellan parterna, ansvar för en hänförlig underlåtenhet att prestera enligt artikel 6:74 i den nederländska civillagen (BW), skadeståndsskyldighet enligt artikel 6:162 BW, ansvar för hjälpmedel och för olämpliga föremål som används vid utförandet, samt produktansvarsreglerna i artiklarna 6:185 till 6:193 BW. EU:s AI-lag ålägger leverantörer och distributionsföretag offentligrättsliga skyldigheter och böter, men den ger inte i sig ett offer ett krav på ersättning.

Vilka nederländska rättsliga grunder gäller för AI-skador?

Allmänna regler i civillagen, skrivna för andra situationer, som domstolar nu tillämpar på AI. Vilken som passar ditt fall avgör vem du kan hålla ansvarig, vad du måste bevisa och hur mycket du kan få ersättning för.

• Ansvarsskyldighet för underlåtenhet att fullgöra ett avtal (artikel 6:74 BW). Den vanliga vägen där parterna har ett avtal. Leverantören lovade ett system med vissa egenskaper och levererade dem inte, eller så använde distributören det utanför de överenskomna gränserna.
• Ansvar för medhjälpare (artikel 6:76 BW). En part som anlitar en annan person för att fullgöra en förpliktelse är ansvarig för den personen som för sig själv. Detta gäller när en AI-leverantör lägger ut modellutveckling eller hosting på underleverantörskontrakt.
• Ansvar för olämpliga föremål som använts vid utförandet (artikel 6:77 BW). Om ett föremål som använts för att fullgöra en förpliktelse är olämpligt, ska den resulterande underlåtenheten tillskrivas gäldenären, såvida det inte skulle vara oskäligt med tanke på omständigheterna. Enligt denna bestämmelse kan ett sjukhus eller en revisionsbyrå hållas ansvarigt för ett defekt verktyg som det använt. Undantaget är snävare än vad svarande tenderar att anta.
• Skadeståndsrätt (artikel 6:162 BW). Rutten för alla utanför avtalet, såsom en patient, en avvisad arbetssökande eller en trafikant. Käranden måste visa en olaglig handling, tillskrivbarhet, skada, kausalitet och relativitet (den överträdda regeln måste skydda mot denna typ av skada).
• Ansvar för anställda och icke-underordnade uppdragstagare (artiklarna 6:170 och 6:171 i BW). En organisation står till svars för de misstag som de anställda gör. Det inkluderar en anställd som okritiskt förlitade sig på en maskins resultat.
• Produktansvar (artiklarna 6:185 till 6:193 i BW). Tillverkarens strikta ansvar för en defekt produkt, utan bevis för fel. Huruvida ren programvara räknas som en produkt enligt den nuvarande texten är omtvistat. Det reviderade europeiska direktivet avgör den frågan.

Vad tillför GDPR?

Ett AI-system som behandlar personuppgifter måste följa GDPR ( AVG ). Det ger den berörda personen ytterligare rättsliga anspråk.

Artikel 22 i GDPR begränsar beslut som enbart grundar sig på automatiserad behandling och som har rättsverkningar eller liknande betydande effekter för en person. Artikel 82 i GDPR ger en separat rätt till ersättning för materiell och ideell skada som orsakats av ett intrång. I praktiken kommer en kärande med ett dataskyddsperspektiv ofta att åberopa detta tillsammans med skadeståndsanspråket. Den registeransvarige måste då visa att denne har följt kravet, vilket stärker kärandens ställning.

Varför ska man börja med kontraktet?

För mellan företag är svaret på vem som är ansvarig för ett AI-fel vanligtvis skrivet i avtalet långt innan något går fel. Nederländsk lag ger parterna stor frihet att fördela den risken.

AI-leverantörer använder den friheten. Deras standardvillkor beskriver vanligtvis utdata som vägledande och frånsäger sig lämplighet för ett visst ändamål. De begränsar ansvaret till de avgifter som betalats under en begränsad period och utesluter följdskador helt.

Håller preskriptionsklausuler?

Oftare än klienter förväntar sig, men inte alltid. En domstol kan åsidosätta en klausul om det skulle vara oacceptabelt enligt rimlighets- och rättviseprinciper att åberopa den.

Det testet finns i artikel 6:248 BW. Nederländska domstolar tillämpar det enklast när skadan orsakats av uppsåt eller avsiktlig vårdslöshet från leverantörens eller dess lednings sida. I allmänna villkor kan en klausul också ogiltigförklaras som oskäligt betungande enligt artikel 6:233 BW. Konsumenter har extra skydd från de lagstadgade listorna i artiklarna 6:236 och 6:237 BW.

Vilka kontraktsklausuler avgör egentligen AI-tvister?

De praktiska klausulerna, mer än ansvarstaket. De angav vem som lovade vad och vem som var tvungen att kontrollera resultatet.

Vad garanterade leverantören gällande noggrannhet, träningsdata och biastestning? Vem måste validera utdata innan någon agerar utifrån den? Vilken part äger loggarna och hur länge sparas de? Måste leverantören rapportera en försämring av modellens prestanda? Åtar sig leverantören att hålla systemet i enlighet med AI-lagen, och vem betalar om den inte gör det? Ett förhandlat AI-kontrakt som besvarar dessa frågor är värt mer än någon klausul om skadeståndsbeloppet.

Om distributören är ett professionellt företag som agerar för kunder finns det ett andra lager. Ett företag som använder ett AI-verktyg i sina egna tjänster är fortfarande ansvarigt gentemot sin kund för resultatet. Enligt artikel 6:77 i BW tillskrivs verktygets olämplighet i princip företaget, inte kunden. Huruvida företaget kan överföra den risken till sin leverantör beror helt på leveransavtalet. Det är därför de två uppsättningarna villkor bör läsas sida vid sida.

Vilken omsorgsplikt har en organisation som använder AI?

Den måste agera som en rimligt försiktig spridare skulle göra. Utanför ett avtal beror ansvaret på den frågan.

Holländska domstolar bedömer detta på samma sätt som de bedömer vilken omsorgsplikt som helst. Hur sannolik var skadan? Hur allvarlig skulle den vara? Hur betungande var försiktighetsåtgärderna? Vad tillät den rådande tekniken? Tillämpad på AI har en igenkännbar standard framkommit i praktiken.

• Lämplighet för faktisk användning. Ett system som validerats för en population, ett dataset eller ett land är inte automatiskt lämpligt för ett annat. Att använda det utanför de förhållanden under vilka det testades är ett klassiskt brott mot omsorgsplikten.
• Meningsfull mänsklig tillsyn. Den person som granskar resultatet behöver informationen, tiden och befogenheten att avvika från det. Tillsyn som endast finns på papper, där en granskare godkänner hundratals resultat i timmen, erbjuder inget skydd.
• Övervakning efter livestart. Modellens prestanda förändras i takt med att världen förändras. En organisation som aldrig mäter noggrannhet efter lansering kan inte visa att den var försiktig.
• Transparens gentemot den berörda personen. Att informera folk om att AI har använts, och hur, är en skyldighet enligt AI-lagen i vissa fall. Det är också en faktor när en domstol avgör om beteendet var olagligt.
• Dokumentation. Loggar, versionsregister, testresultat och skälen till att acceptera eller åsidosätta en utdata. Utan dem kan organisationen inte motbevisa ett påstående, oavsett vad som faktiskt hände.

Det motsatta gäller också. En organisation som åsidosätter en korrekt AI-utdata, eller ignorerar en varning som systemet gav, har samma vårdplikt. Frågan är aldrig om AI användes. Det är om beslutsfattandet kring den var sunt.

Hur gäller produktansvar för AI, nu och från och med december 2026?

Idag är tillverkaren av en defekt produkt strikt ansvarig enligt artiklarna 6:185 till 6:193 i BW, men det är oklart huruvida fristående programvara är en produkt. Det reviderade EU-direktivet gör programvara, inklusive AI, uttryckligen till en produkt för produkter som släpps ut på marknaden efter den 9 december 2026.

Vilka är de nuvarande reglerna?

Producenten är ansvarig för dödsfall, personskada och egendomsskada vid privat bruk, utan att den skadelidande behöver bevisa vållande. En produkt är defekt om den inte erbjuder den säkerhet man kan förvänta sig.

Denna förväntan tar hänsyn till produktens presentation, dess rimligen förväntade användning och tidpunkten då den sattes i omlopp. Den skadelidande måste bevisa defekten, skadan och orsakssambandet. Enligt artikel 6:191 BW preskriberas kravet tre år efter det att den skadelidande kände till, eller borde ha känt till, skadan, defekten och tillverkaren. Det preskriberas under alla omständigheter tio år efter det att produkten sattes i omlopp.

För AI är svagheten i detta system strukturell. Det skrevs för konkreta varor. Det är oklart om fristående programvara räknas som en produkt. Och ett system som ändrar sitt beteende efter att det satts i omlopp passar obekvämt in i en defekt som bedöms i cirkulationsögonblicket.

Vilka förändringar sker enligt det nya produktansvarsdirektivet?

Direktiv (EU) 2024/2853 av den 23 oktober 2024 ersätter direktivet från 1985 och besvarar de flesta av dessa invändningar. Programvara, inklusive AI-system, är uttryckligen en produkt.

Fler parter kan vara ansvariga. Förutom tillverkaren omfattar direktivet importörer, auktoriserade representanter, leverantörer av distributionstjänster och, i definierade fall, en part som väsentligt modifierar en produkt som redan finns på marknaden. Vid bedömningen av ett fel kan en domstol ta hänsyn till effekterna av inlärning efter driftsättning och möjligheten att tillhandahålla uppdateringar. Minimigränsen för egendomsskada försvinner. Ersättningsgill skada omfattar uttryckligen förstörelse eller korruption av data och medicinskt erkänd psykisk skada.

Avgörande för AI är att en domstol kan ålägga en svarande att lämna ut bevis som den innehar. Motbevisbara presumtioner om bristfällighet och kausalitet gäller när teknisk eller vetenskaplig komplexitet gör bevisföringen orimligt svår för käranden.

När träder de nya reglerna i kraft i Nederländerna?

Medlemsstaterna måste införliva direktivet senast den 9 december 2026, och det gäller produkter som släpps ut på marknaden efter det datumet. Den nederländska genomförandeförslaget har ännu inte antagits.

Lagförslaget ( Implementatiewet richtlijn herziening productaansprakelijkheid , lagförslag 36906) ändrar bok 6 och 7 i civillagen. Det lämnades in till representanthuset ( Tweede Kamer ) den 18 februari 2026. Regeringen besvarade utskottets betänkande den 3 september 2026 och lagförslaget ligger fortfarande hos kammaren. Ikraftträdandedatumet kommer att fastställas genom kungligt dekret. Fram till dess fortsätter de nuvarande artiklarna 6:185 till 6:193 i BW att gälla. Produkter som redan finns på marknaden när de nya reglerna träder i kraft omfattas av den gamla ordningen. Under flera år kommer de två systemen därför att fungera sida vid sida, och det datum då ett system släpptes ut på marknaden kommer att avgöra vilket som gäller.

Vad gör AI-lagen, och vad gör den inte?

AI-lagen fastställer regler för produktsäkerhet och tillsyn och verkställs med administrativa böter. Den skapar inte rätt till ersättning: ett offer som vill ha skadestånd måste fortfarande begära skadestånd enligt civillagen.

AI-lagen, förordning (EU) 2024/1689, klassificerar system efter risk och förbjuder ett litet antal metoder direkt. Den ålägger leverantörer av AI-system med hög risk skyldigheter gällande design, dokumentation, datastyrning, mänsklig tillsyn, noggrannhet och övervakning efter att systemet är ute på marknaden. Den lägger till lättare transparensskyldigheter för system som interagerar med människor eller genererar syntetiskt innehåll, och separata regler för generella AI-modeller. Tillsynsmyndigheterna verkställer den.

Varför är AI-lagen fortfarande relevant för civilrättsligt ansvar?

Eftersom den tillhandahåller den skriftliga standard mot vilken en domstol kan mäta omsorgsplikten. Brott mot den pekar mot ansvar; efterlevnad av den ger ditt försvar.

En organisation som ignorerat en dokumentations-, tillsyns- eller övervakningsskyldighet har vid första anblicken inte uppfyllt den standard som en noggrann driftsättare uppfyller. Bevis på efterlevnad fungerar lika bra åt andra hållet. Den tekniska filen, riskhanteringsrapporterna och loggarna är precis vad en svarande behöver när ett krav kommer in.

Vilka datum för AI-lagen gäller nu?

Tidsplanen ändrades 2026. Många efterlevnadsplaner byggdes utifrån de ursprungliga datumen, så det är värt att ange dem exakt.

Förordningen trädde i kraft den 1 augusti 2024. De förbjudna metoderna och skyldigheten att behärska AI har gällt sedan den 2 februari 2025. Reglerna om allmänna AI-modeller, styrning och påföljder har gällt sedan den 2 augusti 2025. Huvuddelen av förordningen, inklusive transparensskyldigheten, trädde i kraft den 2 augusti 2026.

Ett förenklingspaket (den ”digitala omnibusen” om AI) offentliggjordes i EU:s officiella tidning den 24 juli 2026 och trädde i kraft den 27 juli 2026. Det skjuter upp skyldigheterna för fristående högrisksystem som anges i bilaga III till den 2 december 2027. Högrisksystem som är inbyggda i produkter som redan omfattas av EU:s produktlagstiftning följer den 2 augusti 2028. Generativa system som redan finns på marknaden före den 2 augusti 2026 har fram till den 2 december 2026 på sig att uppfylla den maskinläsbara märkningsskyldigheten. Två nya förbud, mot system som genererar material med sexuella övergrepp mot barn eller intima bilder utan samtycke, gäller från och med den 2 december 2026.

Uppskjutande är inte upphävande. Förbuden, transparensskyldigheterna och reglerna för generella modeller gäller nu. De uppskjutna högriskskyldigheterna beskriver beteenden som en domstol redan kan betrakta som tillämplig vårdstandard. Organisationer som pausar sina program fram till 2027 kan upptäcka att civilrätten kommer ikapp dem först.

Vem kommer att övervaka AI-lagen i Nederländerna?

Detta ordnas i en separat nederländsk genomförandeakt, som ännu inte har trätt i kraft. Eftersom AI-lagen är en förordning gäller den direkt oavsett.

Den 20 april 2026 lade regeringen utkastet till genomförandelag för AI-förordningen ( Uitvoeringswet AI-verordening ) för offentligt samråd. Utkastet ger den nederländska dataskyddsmyndigheten ( Autoriteit Persoonsgegevens ) och den nederländska myndigheten för digital infrastruktur ( Rijksinspectie Digitale Infrastructuur ) en central roll. Befintliga sektortillsynsmyndigheter behåller tillsynen inom sina egna områden. Det som fortfarande saknas är ett nationellt ramverk för verkställighet och sanktioner.

Hur bevisar man att ett AI-system orsakade skadan?

Det är den svåraste delen av ett ansvarskrav gällande AI, mycket mer än den rättsliga grunden. Du måste visa att det här systemet, och inte personen som använde det eller någon annan orsak, orsakade skadan.

Vad hände med direktivet om ansvarsskyldighet för AI?

Det drogs tillbaka. Det europeiska svaret skulle vara en presumtion om kausalitet, men det förslaget nådde aldrig någon överenskommelse.

Kommissionens förslag till direktiv om ansvar för AI, som lades fram i september 2022, skulle ha infört en presumtion om kausalitet och en rätt att beordra utlämnande av bevis om högrisksystem. Kommissionen drog formellt tillbaka det, och tillbakadragandet offentliggjordes i EUT den 6 oktober 2025. Ingenting har ersatt det.

Vilka holländska procedurverktyg kan du använda?

En begäran om granskning av uppgifter och en expertutredning som beslutats av domstolen. Tillsammans med presumtionerna i det reviderade produktansvarsdirektivet är detta de verktyg som återstår.

Sedan den 1 januari 2025 finns rätten att granska uppgifter som innehas av en annan part i artiklarna 194 till 195a i den nederländska civilprocesslagen (Rv). Dessa bestämmelser ersatte den gamla artikel 843a Rv. Tröskeln är lägre än tidigare: du måste kunna visa att du har ett intresse av att granska vissa uppgifter. Du kan också begära att domstolen utser en expert eller beordrar ett preliminärt expertutlåtande ( voorlopig deskundigenbericht ).

I praktiken gör en tidig och precis begäran om loggar, modellversioner, valideringsrapporter och incidentregister mer för ett krav än något argument om bevisbördan. På försvarssidan gäller samma sak. En organisation som inte kan uppvisa dessa register kommer att få se domstolen dra slutsatser av deras frånvaro.

Lagringspolicy är därför en ansvarsfråga, inte bara en IT-fråga. Där AI-lagen gäller måste leverantörer och driftsättare av högrisksystem behålla automatiskt genererade loggar under en definierad minimiperiod. Om den inte gör det är preskriptionstiderna för det underliggande kravet en bättre vägledning. Trettio dagar räcker inte.

Hur fungerar detta i de sektorer där det är mest viktigt?

Samma regler gäller överallt, men varje sektor har sitt eget ytterligare lager. Här är de fem där vi ser flest frågor.

Hälso- och sjukvård. Ett diagnostiskt stödsystem tar inte bort ansvaret från läkaren. Behandlingsrelationen förblir hos vårdgivaren enligt avtalet om medicinsk behandling i artiklarna 7:446 och efter BW. Standarden är en rimligt kompetent yrkesperson. Om själva verktyget är olämpligt tillskriver artikel 6:77 BW detta till vårdgivaren, såvida inte tillskrivning skulle vara orimlig, och domstolar tillämpar detta undantag restriktivt. Programvara som kvalificerar som en medicinteknisk produkt har sina egna skyldigheter enligt medicintekniska förordningen, utöver AI-lagen.

Rekrytering och HR. Ett system som väljer eller filtrerar kandidater är högrisk enligt AI-lagen. Det ligger också helt inom räckhåll för likabehandlingslagstiftningen. Indirekt diskriminering genom en proxyvariabel är olaglig även om ingen avsett det. Vi utvecklar den punkten i vår artikel om ansvar för algoritmisk partiskhet . Det är arbetsgivaren, inte leverantören, som möter kandidaten. Artikel 22 i GDPR begränsar rent automatiserade avslag, och företagsrådet ( ondernemingsraaden ) har ett ord med i laget när det gäller att införa system som övervakar eller bedömer personal.

Vägtrafik. Nederländsk lag har redan en regel om strikt ansvar som gäller oavsett automatiseringsnivå. Enligt artikel 185 i vägtrafiklagen från 1994 ( Wegenverkeerswet 1994 ) är ägaren eller innehavaren av ett motorfordon ansvarig för skador på oskyddade trafikanter, såsom fotgängare och cyklister, vid en kollision på allmän väg, såvida det inte förelåg force majeure. Rättspraxis sätter det försvaret mycket högt. Föraren kan också vara ansvarig skadeståndsskyldig, och tillverkaren produktansvar om systemet var defekt. Automatisering förskjuter balansen mellan dessa alternativ. Den tar inte bort det första alternativet.

Finansiella tjänster. Ett institut som använder modeller för kreditvärdering, transaktionsövervakning eller rådgivning omfattas fortfarande av omsorgsplikten i lagen om finansiell tillsyn ( Wet op het financieel toezicht ) och av tillsyn från tillsynsmyndigheterna. Brister i modellstyrningen behandlas som styrningsbrister hos institutet, inte hos leverantören.

Innehåll och kommunikation. Generativa system skapar en annan typ av exponering: intrång i immateriella rättigheter, ärekränkande eller vilseledande utdata och publicering av personuppgifter. Ansvaret följer här de vanliga reglerna för den part som publicerar. Det faktum att en maskin skrev texten är inte ett försvar. Vår artikel om ansvar för AI-genererat innehåll beskriver den ståndpunkten i detalj.

Om ett AI-fel orsakar kroppsskada, till exempel inom sjukvården eller på vägen, är ersättningsanspråket för den skadan ett personskadeanspråk. Law & More hanterar inte personskadeärenden; vi hänvisar den delen till en specialiserad personskadejurist. Vi ger råd om avtal, omsorgsplikten och efterlevnaden av AI-lagen kring detta.

Vad bör man kontrollera som organisation som använder AI?

Kontrollera dina register och avtal före en incident, eftersom de inte kan skapas i efterhand på ett trovärdigt sätt. Enligt artikel 6:77 i BW ligger risken för ett olämpligt verktyg hos dig gentemot dina egna klienter.

• Kartlägg var AI faktiskt används, inklusive verktyg inbäddade i programvara du redan licensierar, och klassificera varje användning enligt AI-lagen.
• Läs leverantörens ansvarstak bredvid din egen exponering gentemot kunder.
• Ge granskarna information, tid och mandat att avvika från resultatet, och dokumentera när de gör det.
• Bestäm vilka loggar som ska sparas och hur länge; anpassa lagringen till preskriptionstiderna, inte till lagringskostnaderna.
• Fråga ditt försäkringsbolag skriftligen om ett krav som uppstår till följd av ett AI-stött beslut är täckt.

Vad bör man kontrollera som leverantör av AI?

Kontrollera vad ditt avtal lovar och vad din dokumentation kan bevisa. För produkter som släppts ut på marknaden efter den 9 december 2026 gör direktiv (EU) 2024/2853 dig ansvarig för felaktig programvara utan fel.

• Anger era villkor tydligt vad ni garanterar gällande noggrannhet, träningsdata och biastestning?
• Är era preskriptionsklausuler utformade så att de klarar kraven i artiklarna 6:233 och 6:248 i BW?
• Är er klassificering enligt AI-lagen dokumenterad, med den tekniska filen och riskhanteringsdokumenten uppdaterade?
• Testar du för bias och avvikelse enligt ett schema och sparar resultaten, även när de är otillfredsställande?
• Vem bär kostnaden för uppdateringar som behövs för att hålla systemet kompatibelt, och vem rapporterar incidenter till vem?

Vad kan vi göra för dig gällande AI-ansvar?

Vårt IT-juridiska team ger råd till leverantörer och användare av AI-system och företräder och företräder parter i tvister om automatiserade beslut.

• Vi granskar och förhandlar AI- och mjukvaruavtal, inklusive garantier, ansvarstak och äganderätt till loggfiler.
• Vi bedömer var ert system befinner sig enligt AI-lagen och vilka skyldigheter som gäller från vilket datum.
• Vi upprättar styrning, mänsklig tillsyn och loggning som kommer att hålla i förfaranden.
• Vi begär granskning av loggar och modelldata enligt artiklarna 194 till 195a i Rv.
• Vi bedömer och väcker eller försvarar skadeståndskrav för skador orsakade av ett AI-fel.

Sammanfattning

• Det finns ingen separat lag om ansvar för AI: avtalet, omsorgsplikten (artikel 6:162 BW), artiklarna 6:76 och 6:77 BW samt produktansvar avgör vem som betalar.
• Mellan företag fördelar avtalet det mesta av risken; preskriptionsklausuler gäller vanligtvis, men inte i fall av uppsåt eller avsiktlig vårdslöshet.
• Direktiv (EU) 2024/2853 anger uttryckligen programvara som en produkt för produkter som släpps ut på marknaden efter den 9 december 2026; det nederländska lagförslaget 36906 är fortfarande under behandling.
• AI-lagen ger ingen rätt till ersättning men fastställer vårdstandarden; högriskskyldigheterna i bilaga III gäller från och med den 2 december 2027.
• Bevis är det verkliga slagfältet: loggar, versionsregister och testresultat avgör de flesta fall.

Vanliga frågor och svar