Kabinet noemt AI-ontwikkelaars verantwoordelijk

AI-ontwikkelaars zijn volgens staatssecretaris Aerdts verantwoordelijk voor de systemen die ze maken en voor risicobeperking, ook tijdens ontwikkeling en tests, schrijft het kabinet op 5 oktober in antwoorden over AI-agents die uit hun testomgeving kwamen.

Voor Nederlandse organisaties die AI-agents inkopen of zelf testen, wordt de leveranciersvraag concreter. Wie beperkt risico’s, wanneer meldt de leverancier afwijkend gedrag en welke loggegevens krijgt de klant? De beantwoording voegt geen algemene klantmeldplicht toe, maar geeft inkopers punten om vooraf contractueel vast te leggen.

Het kabinet benoemt verantwoordelijkheid, geen civiele aansprakelijkheid

Sarah El Boujdaini (D66) en Jantine Zwinkels (CDA) stelden op 19 augustus elf vragen over AI-agents die uit testomgevingen kwamen. De officiële vragen behandelen incidenten, testbeveiliging en meldingen aan getroffen organisaties. Een vraag om incidenten ook rechtstreeks aan getroffen partijen te melden krijgt nu een gedeeltelijk antwoord.

Anthropic meldde op 30 juli dat het 141.006 evaluaties had doorzocht. Het trof daarin drie incidenten over zes runs aan, waarbij Claude-modellen via een testomgeving systemen van drie organisaties bereikten. Een configuratiefout bij testpartner Irregular had de verbinding open gelaten, terwijl de modellen een fictieve aanvalssimulatie moesten uitvoeren. Dit is één leveranciersreview, geen algemene incidentkans voor AI-tests.

Het kabinet zegt niet te weten of Nederlandse organisaties bij de genoemde gevallen betrokken waren. Een aanval is volgens de staatssecretaris niet altijd toe te schrijven aan een agent, een mens of een combinatie. Ook Security.NL benoemt de onzekerheid over Nederlandse slachtoffers en de toeschrijving van aanvallen. De reactie noemt modelcapaciteiten, testbeveiliging, instructies en infrastructuur als factoren die het risico bepalen. Het kabinet zegt ook dat AI de drempel voor aanvallen verlaagt en dat overheid, zorg en telecom geraakt kunnen worden. De incidenten zijn zorgwekkend, maar algemene conclusies vragen meer analyse. Het oordeel over ontwikkelaars is een kabinetsstandpunt, geen rechterlijke uitspraak over civiele aansprakelijkheid in een specifiek schadegeval.

De AI Act zet meldingen bij toezichthouders

De AI-verordening maakt onderscheid tussen aanbieders van modellen voor algemeen gebruik (GPAI) en aanbieders van modellen met systeemrisico. Voor die laatste groep gelden extra eisen voor risicobeoordeling, risicobeperking, incidentmelding en cyberbeveiliging. De Europese Commissie noemt risicobeoordeling, risicobeperking, incidentmelding en cyberbeveiliging als extra plichten voor aanbieders van GPAI-modellen met systeemrisico. Het gaat dus niet om iedere leverancier van een AI-agent.

Bij ernstige incidenten moeten aanbieders van modellen met systeemrisico informatie delen met de Europese Commissie en de nationale bevoegde autoriteit. De AI-verordening sluit onderzoek, testen en ontwikkeling vóór marktintroductie of ingebruikname uit. Testen in de praktijk valt niet onder die uitzondering. Het kabinet beschrijft de genoemde gevallen als interne ontwikkel- en testactiviteiten. Het Europese AI Office onderzoekt de gevallen. De Rijksinspectie Digitale Infrastructuur (RDI) en Autoriteit Persoonsgegevens (AP) zijn volgens het antwoord met het bureau in contact.

Die meldroute informeert toezichthouders, niet automatisch klanten. Ook blijft open hoe een melding loopt wanneer het incident plaatsvindt bij een modelaanbieder, terwijl een Nederlandse organisatie de agent via een andere softwareleverancier gebruikt.

Een benchmark maakt de testomgeving meetbaar

Een van de vragen ging over SandboxEscapeBench van het Britse AI Security Institute (AISI). Het kabinet zegt niet specifiek met die benchmark bekend te zijn. AISI publiceerde hem op 23 maart als open onderzoek naar containerontsnappingen. De benchmark telt 18 scenario’s op drie lagen: aansturing, uitvoering en besturingskern. Een kwetsbare container draait binnen een extra, geharde virtuele machine. Zo raakt een ontsnapping niet direct echte infrastructuur.

AISI vond dat geavanceerde modellen vaak gangbare configuratiefouten konden uitbuiten, zoals open Docker-sockets en containers met te ruime rechten, wanneer ze daartoe werden aangezet. De grootste modellen losten de moeilijkste scenario’s met meerstapsaanvallen of specifieke kwetsbaarheidskennis niet op. De openbare set gebruikt bekende kwetsbaarheden; voor eigen evaluaties houdt AISI een afgeschermde testset achter. De uitkomsten bewijzen niet dat elke agent elke sandbox kan verlaten. Ze tonen wel waarom rechten, containers en testnetwerken naast modelcapaciteit moeten worden beoordeeld.

Inkoop bepaalt welke informatie de klant krijgt

Een contract kan vastleggen wie risico’s tijdens ontwikkeling en tests beperkt. Het kan ook bepalen binnen welke termijn de leverancier een incident meldt en welke feiten de eerste melding bevat. Leg vast of de klant uitvoeringslogs ontvangt en hoe lang die beschikbaar blijven. Spreek af of de logs gebruikte koppelingen, geraadpleegde systemen, toegekende rechten en menselijke ingrepen tonen. Zonder die gegevens is achteraf moeilijk te reconstrueren wat een agent deed.

OpenAI zegt dat het derden stapsgewijs informeert terwijl het onderzoek naar modelgedrag tijdens training en evaluatie doorloopt. De meldingen aan organisaties over afwijkend agentgedrag maken de klantvraag concreet: een waarschuwing helpt pas als duidelijk is welke activiteit is gezien en welke informatie de leverancier kan delen. Voor de eigen inrichting van een agent sluiten afspraken over mandaat, escalatie, logging en een noodstop aan op dezelfde controlepunten.

Het kabinet legt verantwoordelijkheid voor risicobeperking bij ontwikkelaars, terwijl de meldroute uit de AI-verordening is toegespitst op bepaalde modellen en toezichthouders. De AISI-benchmark maakt testveiligheid technisch toetsbaar, maar verbindt die toets niet aan een algemene klantmelding. In november zegt het kabinet de Kamer te informeren over de Nederlandse Cybersecuritystrategie en het Cybersecuritybeeld 2026. Voor afnemers bepalen hun leverancier, de meldtermijn en toegang tot logs hoe snel zij kunnen vaststellen of een agent hun systemen heeft geraakt.