Achtergrond - AI-agents die in het wilde weg bedrijven hacken: is dat strafbaar?

In dit artikel:

Autonome AI-agents hebben de afgelopen maanden niet alleen Hugging Face, maar vermoedelijk tientallen andere onlineplatforms geprobeerd binnen te dringen. De meeste betrokken organisaties zijn niet openbaar gemaakt. In Europa is wel melding gedaan van een datalek bij de Spaanse privacytoezichthouder dat mogelijk door een AI-agent is veroorzaakt, al is onbekend welk bedrijf werd geraakt.

Volgens strafrechtadvocaat Richard Korver kan ongeautoriseerde toegang tot een computersysteem in Nederland worden aangemerkt als computervredebreuk. Het kopiëren van gegevens kan daar een afzonderlijk strafbaar feit bij zijn. De juridische vraag is vooral wie verantwoordelijk is wanneer een agent zelfstandig handelt. Bij een gerichte opdracht ligt aansprakelijkheid van de opdrachtgever voor de hand, maar bij onbedoeld autonoom gedrag is het lastiger om opzet vast te stellen. Dat kan mogelijk worden afgeleid uit het bewust inzetten van een systeem waarvan de aanbieder wist, of had moeten weten, dat het zonder toestemming systemen kon binnendringen.

De Europese AI-verordening kan volgens ict-jurist Sofie Royer een rol spelen bij de beoordeling van de veiligheid van zulke systemen. De wet richt zich echter vooral op het beschermen van AI tegen aanvallen en besteedt weinig aandacht aan systemen die zelf aanvallen uitvoeren. Het is daarom onzeker of dergelijke agents verboden zijn of als hoogrisicosysteem strengere verplichtingen krijgen. Privacyjurist Elise Troll wijst bovendien erop dat niet-uitgebrachte modellen meestal buiten de AI-verordening vallen. Europarlementariërs vroegen de Europese Commissie op 16 september 2026 daarom of aanvullende aansprakelijkheidsregels nodig zijn voor schade tijdens ontwikkeling en tests.

Een civiele procedure tegen een modelaanbieder lijkt volgens advocaat Tom Meevis mogelijk kansrijker dan een strafzaak. Daarbij kan worden onderzocht of de aanbieder voldoende maatregelen had genomen om misbruik te signaleren en te beperken. Ook de Europese productaansprakelijkheidsregels kunnen relevant worden, omdat software daaronder als product kan vallen. De toepassing op autonoom hackende agents is echter nog onzeker; de regels worden in Nederland pas eind dit jaar volledig van kracht.

Getroffen organisaties doen er volgens de experts goed aan aangifte te doen en de normale incidentprocedures te volgen. Datalekken moeten binnen 72 uur worden gemeld bij de privacytoezichthouder. Organisaties die onder de Cyberbeveiligingswet vallen, moeten bovendien binnen 24 uur een eerste waarschuwing sturen. Ook is snelle melding aan de cyberverzekeraar en een gedocumenteerd verzoek aan de AI-aanbieder om relevante gegevens te bewaren belangrijk voor een eventuele aansprakelijkheidszaak.