Hof vernietigt Amazons verbod op Perplexity's AI-winkelagent

Het Amerikaanse hof van beroep voor het negende circuit vernietigt Amazons verbod op Perplexity's AI-winkelagent, omdat niet Perplexity maar de gebruiker zelf Amazon.com bezoekt, staat in het arrest van 4 augustus.

Daarmee ligt er voor het eerst een uitspraak van een federaal hof over de vraag die elke webshop met bot-blokkades bezighoudt: mag je een AI-agent weren die namens een klant handelt? Het antwoord is smaller dan het in maart leek. Anti-hackwetgeving blijkt daarvoor het verkeerde instrument. Wat overblijft zijn je eigen voorwaarden en je eigen techniek. Voor een Nederlandse webshop die vandaag captcha's en bot-walls aanzet, verschuift de vraag van of je dit tegen mag houden naar welke agenten je binnenlaat en hoe je ze herkent.

Waarom het draait om wie er toegang krijgt

Amazon sleepte Perplexity in november 2025 voor de rechter wegens schending van de Computer Fraud and Abuse Act (CFAA), de Amerikaanse anti-hackwet uit 1984, en de Californische tegenhanger CDAFA. In maart 2026 kende rechter Maxine Chesney van de rechtbank in Noord-Californië een voorlopig verbod toe. Amazon had sterk bewijs geleverd, oordeelde zij, dat Comet met toestemming van de gebruiker maar zonder toestemming van Amazon in het wachtwoordbeschermde account kwam.

Het hof kijkt anders naar dezelfde techniek. Comet draait lokaal op de machine van de gebruiker. De agent maakt schermafbeeldingen van wat de browser toont, stuurt die naar de servers van Perplexity en krijgt instructies terug over hoe hij Amazon.com moet bedienen. De servers van Perplexity raken die van Amazon nooit rechtstreeks. De CFAA straft wie opzettelijk een beschermde computer benadert, en dat veronderstelt volgens het panel een persoon: hoe geavanceerd de Assistant ook is, hij blijft gereedschap.

Daar komt een tweede argument bij dat het hof zwaar laat wegen. De CFAA is in de eerste plaats een strafwet, dus twijfel over de uitleg valt uit tegen aansprakelijkheid. Zou Amazons lezing kloppen, dan zouden gewone gebruikers zich via medeplichtigheid strafbaar kunnen maken door Comet op Amazon.com te gebruiken. Dat is niet wat het Congres voor ogen had bij een wet tegen computerinbraak, aldus het arrest. De CDAFA-claim sneuvelt om dezelfde reden: ook daar draait het om de persoon die toegang krijgt.

De user-agent-string die Amazon nooit kreeg

De kern van het conflict, zo beschrijft het hof, was Perplexity's keuze om geen user-agent-string mee te sturen die zou melden dat er een AI-agent actief was. Precies dat signaal zou Amazon in staat hebben gesteld de Assistant te blokkeren. Partijen twisten er nog over of Perplexity die string bewust aanpaste nadat Amazon de agent de eerste keer had herkend en geweerd.

Dat detail is voor webshops belangrijker dan de juridische uitkomst. De hele discussie over toelaten of weren staat of valt bij identificatie. Een agent die zich niet bekendmaakt, kun je niet selectief binnenlaten, en dus ook niet selectief buitenhouden.

Wat het hof uitdrukkelijk niet beslist

Het panel bakent zijn uitspraak scherp af. Het vestigt geen nieuw juridisch regime voor agentic AI en laat andere grondslagen, zoals onrechtmatige daad, open. In een voetnoot staat de zin die er voor platformexploitanten het meest toe doet: de uitkomst tast Amazons mogelijkheid om toegang tot Amazon.com te regelen via de eigen gebruiksvoorwaarden niet aan. Amazon is alleen kansloos zolang het dat via de CFAA en de CDAFA probeert.

Ook de belangenafweging kantelde. Amazons schade-argument, dat de Assistant niet per se de beste prijs, bezorgmethode of productaanbeveling kiest, vond het hof te abstract voor onherstelbare schade. Het cyberrisico-argument hield evenmin stand: Amazons eigen deskundige kon de risico's naar eigen zeggen niet volledig reproduceren, en het enige concrete voorbeeld betrof een andere webwinkel dan Amazon.com. Dat is opvallend, want de veiligheidsvragen rond agentische browsers zijn reëel en goed gedocumenteerd, zoals de aanvallen via promptinjectie waarbij een AI-browser instructies van een webpagina niet kan onderscheiden van opdrachten van zijn eigenaar. Alleen: bewijs in een procedure is iets anders dan een bekend risico. Het voorlopige verbod is vernietigd en de zaak gaat terug naar de rechtbank. Amazon houdt vertrouwen in de zaak en beraadt zich op vervolgstappen, meldt Reuters.

Wat dit in Nederland verandert

Het arrest bindt geen Nederlandse rechter. De juridische structuur lijkt wel op elkaar: de Nederlandse route zou computervredebreuk zijn, en artikel 138ab Sr vereist opzettelijk en wederrechtelijk binnendringen door het doorbreken van beveiliging, een technische ingreep, valse signalen of sleutels, of het aannemen van een valse hoedanigheid. Dat is een hogere drempel dan "het platform had nee gezegd".

Het werk verschuift daarmee naar de plek waar het toch al lag: je eigen voorwaarden, je eigen crawlerbeleid en je vermogen om een klant-agent van een scraper te onderscheiden. Die keuze wordt hier massaal niet gemaakt. Uit onderzoek van hostingbedrijf Surver bleek eind juli dat 74 van de 89 onderzochte Nederlandse webshops GPTBot, ClaudeBot en PerplexityBot nergens in hun robots.txt noemen. Wie ondertussen alle bots standaard wegcaptcha't, houdt ook de agent buiten die met de creditcard van een klant komt: een betalende klant-agent is geen scraper, en wie hem buitensluit mist de order.

De vraag verschuift daarmee van juridisch naar operationeel. Zolang agenten zich niet betrouwbaar identificeren, is elke blokkade een botte bijl die scrapers en klanten tegelijk raakt. Het negende circuit heeft de deur naar de anti-hackwet dichtgedaan en die naar de gebruiksvoorwaarden open laten staan. Van die tweede deur heeft een webshop zelf de sleutel.