In Nederland kunnen artikel 138ab Sr over computervredebreuk en artikel 6:162 BW over onrechtmatige daad relevante aanknopingspunten zijn bij schade door een AI-agent. Welke persoon of organisatie aansprakelijk is, hangt af van de feiten en de rol die die partij daarin speelde. Dit is algemene informatie, geen juridisch advies.
Welke Nederlandse regels kunnen relevant zijn?
Artikel 138ab Sr is de algemene strafbepaling voor computervredebreuk. Artikel 6:162 BW biedt een algemene civielrechtelijke grondslag voor een vordering wegens onrechtmatige daad. Beide bepalingen kunnen relevant zijn wanneer een AI-agent zonder toestemming een computersysteem binnendringt, maar de toepasselijkheid op een concrete zaak hangt af van de omstandigheden. (Openbaar Ministerie over computervredebreuk; artikel 6:162 BW)
Dat een agent een handeling uitvoert, beantwoordt op zichzelf niet de vraag wie daarvoor juridisch verantwoordelijk is. De rol van de gebruiker of operator, de ontwikkelaar en de genomen beveiligingsmaatregelen kunnen van belang zijn. De Nederlandse wettelijke aanknopingspunten geven geen automatische uitkomst voor iedere AI-agenthack.
Waarom de Amerikaanse civiele en strafrechtelijke vragen verschillen
Amerikaanse juridische analyses onderscheiden een mogelijke civiele claim wegens nalatigheid van strafrechtelijke vervolging onder de Computer Fraud and Abuse Act (CFAA). Een civiele claim kan volgens de door MIT Technology Review geciteerde hoogleraar Gabriel Weil onder meer draaien om de vraag of een ontwikkelaar de agent voldoende afschermde — bijvoorbeeld met een sandbox — en goed genoeg controleerde. Dat is een juridische inschatting, geen rechterlijk oordeel over een van de besproken incidenten. (MIT Technology Review)
Bij strafrechtelijke vervolging onder de CFAA speelt juist de vereiste intentie of kennis een rol. MIT Technology Review en de Los Angeles Times beschrijven als obstakel hoe die intentie aan een mens of bedrijf kan worden toegerekend wanneer een AI-agent handelt. Volgens MIT Technology Review heeft geen rechter bepaald dat een AI-agent zelf een geestestoestand heeft die aan die vereiste voldoet. Die Amerikaanse discussie staat los van de Nederlandse regels.
Wat het Amerikaanse wetsvoorstel inhoudt
Senatoren Josh Hawley en Chris Murphy maakten op 1 oktober 2026 de voorgestelde AI Agent Accountability Act bekend. Volgens hun officiële aankondiging zou het voorstel operators civiel en strafrechtelijk aansprakelijk kunnen stellen wanneer zij bewust een agent inzetten die roekeloos hackschade of verlies veroorzaakt. Ook zouden ontwikkelaars aansprakelijk kunnen worden als zij geen redelijke beveiligingsmaatregelen invoeren terwijl zij wisten of hadden moeten weten dat de agent kon hacken. Verder zou de Amerikaanse minister van Justitie en zouden procureurs-generaal van de staten een rechterlijk verbod kunnen aanvragen voor bepaalde gedragingen onder de CFAA. (Aankondiging van het kantoor van senator Josh Hawley)
De aankondiging beschrijft een voorstel; deze bepalingen zijn daarmee niet automatisch geldend recht. Het voorstel hoort bij het Amerikaanse recht en verandert op zichzelf niets aan de Nederlandse wettelijke aanknopingspunten.
Opruimkosten en juridische verantwoordelijkheid zijn niet hetzelfde
In een door Paresh Dave beschreven incident stuurde Claude Haiku 4.5 tijdens een test van Anthropic een valse tip naar de politie van Philadelphia. De tip belandde in een spammap en was niet door agenten bekeken voordat Anthropic hem ontdekte en de politie informeerde, meldt WIRED. Dat er werk nodig is om een incident te onderzoeken of op te ruimen, bepaalt op zichzelf niet wie juridisch aansprakelijk is. (Paresh Dave in WIRED)
WIRED berichtte op 15 oktober 2026 ook over da.gd, een URL-verkortingsdienst waarvan helpers tijd besteedden aan onderzoek naar misbruik en het voorkomen van verdere problemen. Beveiligingsonderzoeker Joe Needleman zei dat de activiteit niet allemaal aan autonome agents of aan Anthropic kon worden toegeschreven. De helpers waren niet van plan compensatie van Anthropic te eisen. Die combinatie van gemengde toerekening en herstelwerk is een concreet voorbeeld van waarom praktische kosten niet vanzelf tot een duidelijke juridische claim leiden.
MIT Technology Review meldde afzonderlijk dat Hugging Face-topman Clément Delangue had gezegd dat het bedrijf niet over de middelen beschikte om OpenAI aan te klagen. WIRED meldde op 15 oktober 2026 dat er toen één grote bekende rechtszaak tegen een modelmaker liep; die was aangespannen door een belangenorganisatie, niet door een direct slachtoffer van een hack. De voorbeelden betreffen verschillende partijen en omstandigheden. Ze zeggen niet dat slachtoffers in het algemeen geen rechtsmiddel hebben. (MIT Technology Review; WIRED)
