Software wordt een product: EU-aansprakelijkheid vanaf december 2026

TL;DR

• Wat: Vanaf 9 december 2026 valt software — inclusief AI-systemen — onder de Europese productaansprakelijkheidsregels, net als fysieke producten.
• Waarom relevant: Als je software ontwikkelt, integreert of doorverkoopt, kun je straks aansprakelijk zijn voor schade die die software veroorzaakt — ook zonder dat je iets fout hebt gedaan.
• Wat je ermee kunt: Laat vóór december 2026 je contracten, verzekeringen en technische documentatie checken door een jurist.

Ik viel deze week over een bericht van @gdprschemes op X over de nieuwe Europese Productaansprakelijkheidsrichtlijn (Richtlijn 2024/2853). De kern: vanaf 9 december 2026 wordt software juridisch gelijkgesteld aan een fysiek product. Dat klinkt misschien als droge regelgeving, maar ik denk dat dit voor veel ondernemers ingrijpender is dan ze op het eerste gezicht denken.

Wat verandert er precies?

Tot nu toe gold productaansprakelijkheid in de EU vooral voor tastbare producten — een machine, een apparaat, een stuk speelgoed. De oude richtlijn stamde uit 1985, een tijd waarin "software" voor de meeste mensen nog een abstract begrip was.

De nieuwe richtlijn trekt het begrip "product" veel breder. Voortaan vallen hieronder:

• Zelfstandige software (apps, besturingssystemen, firmware)
• AI-systemen en machine learning-modellen
• Digitale componenten die in fysieke producten zitten
• Software-updates die na verkoop worden uitgerold

Wat mij hier opvalt: het gaat niet alleen om de software zelf, maar ook om updates. Elke SaaS-release of doorlopende deployment kan juridisch gezien tellen als een nieuw product op de markt. Dat betekent dat aansprakelijkheid niet stopt op het moment van levering — die loopt door zolang je updates levert.

Wie is aansprakelijk?

Dit is het punt waar het voor ondernemers concreet wordt. De kring van aansprakelijke partijen is flink uitgebreid. Niet alleen de oorspronkelijke ontwikkelaar kan worden aangesproken, maar ook:

• Importeurs die software van buiten de EU op de Europese markt brengen
• Distributeurs die niet binnen één maand kunnen aangeven wie de leverancier is
• Bedrijven die een AI-model finetunen — als je bijvoorbeeld een fundatiemodel van OpenAI of Anthropic aanpast voor commercieel gebruik, kun je juridisch als "fabrikant" van dat gecombineerde product worden beschouwd
• Online platforms als consumenten redelijkerwijs denken dat het platform het product levert

Stel dat je als ondernemer een AI-chatbot bouwt op basis van een bestaand taalmodel en die inzet voor klantcontact. Onder de nieuwe richtlijn zou jij als fabrikant van dat totaalproduct kunnen gelden. Niet het bedrijf dat het basismodel heeft gemaakt — maar jij, omdat jij het hebt aangepast en op de markt hebt gebracht.

Strikte aansprakelijkheid

Belangrijk detail: het gaat hier om strikte aansprakelijkheid. Dat betekent dat een gedupeerde niet hoeft te bewijzen dat je nalatig was. Het volstaat om aan te tonen dat de software gebrekkig was, dat er schade is geleden, en dat er een verband is tussen beide. Of je als ondernemer je best hebt gedaan, doet juridisch niet ter zake.

Wat telt als schade?

De nieuwe richtlijn breidt ook de soorten schade uit waarvoor je aansprakelijk kunt zijn:

• Lichamelijk letsel en overlijden (dat was al zo)
• Vernietiging of beschadiging van data (nieuw)
• Medisch erkende psychische schade (nieuw)
• Materiële schade aan eigendommen

De oude drempel van €500 voor materiële schade is geschrapt. Dat verlaagt de barrière voor kleinere claims — ook via collectieve acties.

Ik vind het eerlijk gezegd opvallend dat datavernietiging er expliciet bij staat. Stel dat een softwarefout ervoor zorgt dat een klant belangrijke bestanden kwijtraakt — dat valt er nu gewoon onder.

Bewijslast en de "black box" van AI

Een van de meest ingrijpende wijzigingen gaat over bewijslast. De richtlijn introduceert zogenaamde weerlegbare vermoedens. In gewoon Nederlands: in bepaalde situaties gaat de rechter er automatisch vanuit dat je software gebrekkig was, tenzij jij het tegendeel bewijst.

Dat gebeurt bijvoorbeeld als:

• Je software verplichte EU-veiligheidsregels overtreedt (denk aan de AI Act)
• Je als bedrijf weigert bewijs te overleggen dat de rechter opvraagt
• De technische complexiteit van je product het voor de gedupeerde onmogelijk maakt om het gebrek zelf aan te tonen — en dat is bij AI-systemen al snel het geval

Dat laatste punt is bijzonder relevant. AI-modellen worden vaak omschreven als een "black box": zelfs de maker kan niet altijd precies uitleggen waarom het model een bepaalde uitkomst geeft. De richtlijn houdt daar rekening mee door de bewijslast in zulke gevallen om te draaien.

De link met de AI Act

Wat mij hier extra opvalt: als je niet voldoet aan de verplichtingen uit de EU AI Act, ontstaat er automatisch een vermoeden van gebrekkigheid onder deze productaansprakelijkheidsrichtlijn. Je krijgt dus een soort dubbelslag — niet-naleving van de ene wet versterkt je aansprakelijkheid onder de andere.

Wat betekent dit voor een MKB-ondernemer?

De richtlijn bevat geen specifieke uitzonderingen voor het MKB. Of je nu een groot techbedrijf bent of een kleine webshop die een AI-tool integreert: dezelfde regels gelden.

Een paar concrete aandachtspunten:

• Verzekeringen: Controleer of je huidige aansprakelijkheidsverzekering softwareproducten dekt. Volgens Allianz brengen de nieuwe regels aanzienlijke juridische risico's mee. Premies zullen naar verwachting stijgen.
• Contracten: Je kunt via een EULA of algemene voorwaarden de aansprakelijkheid richting gedupeerden niet uitsluiten. Tussen bedrijven onderling kun je wel afspraken maken over wie waarvoor verantwoordelijk is — maar dat beschermt je niet tegen claims van derden.
• Documentatie: Bewaar testresultaten, release-notes, beveiligingsupdates en incidentlogs. Zonder die documentatie kan een rechter eerder aannemen dat je software gebrekkig was.
• Supply chain in kaart brengen: Weet wie je toeleveranciers zijn — ook als dat API-providers of cloudplatforms betreft. Bij een claim heb je één maand om aan te geven wie de leverancier is, anders word je zelf aansprakelijk.

Voor gratis open-source software die buiten een commerciële context is ontwikkeld, geldt een uitzondering. Maar zodra je die software opneemt in een commercieel product of dienst, vervalt die bescherming.

Tot slot

Voor mij is dit vooral een signaal dat de EU software en AI niet langer als iets "aparts" beschouwt. Software is een product, en wie een product op de markt brengt, draagt verantwoordelijkheid voor de veiligheid ervan. Dat is op zich logisch — maar de praktische gevolgen zijn groot, juist voor kleinere bedrijven die misschien niet eens beseffen dat ze juridisch als "fabrikant" kunnen worden gezien.

De deadline van 9 december 2026 is concreet. Dat geeft nog een paar maanden om je contracten, verzekeringen en documentatie op orde te brengen. Ik zou zelf willen weten: hoeveel MKB-ondernemers in Nederland zijn zich hiervan bewust? Ik vermoed dat het er niet veel zijn — en dat maakt dit bericht wat mij betreft des te relevanter.