Regelgevende grijze zone: als wetten de technologie niet kunnen bijbenen
Stel je voor: een bedrijf zet zelfrijdende taxi's op straat in een stad waar geen enkele wet expliciet zegt of dat mag. Er is geen verbod, maar er is ook geen vergunningensysteem dat op deze situatie is toegesneden. De politie weet niet goed wie aansprakelijk is bij een ongeluk, de verzekeraar weet niet welke polis van toepassing is, en de gemeente twijfelt of ze het moet toestaan, verbieden of eerst maar eens moet gedogen. Dit tussengebied, waar nieuwe technologie sneller gaat dan de wetgever kan volgen, heet een regelgevende grijze zone.
De term duikt steeds vaker op in berichtgeving over toekomsttechnologie: kunstmatige intelligentie, cryptovaluta, gentherapie, drones en vliegende taxi's opereren allemaal, in meer of mindere mate, in zo'n zone. Het is geen technisch begrip uit de natuurkunde of informatica, maar een juridisch-maatschappelijk verschijnsel dat ontstaat wanneer innovatie een voorsprong neemt op regelgeving. Die voorsprong kan enkele maanden duren, maar ook tien jaar of langer.
Wat is het precies?
Een regelgevende grijze zone ontstaat in een paar stappen die zich telkens op vergelijkbare wijze herhalen, ongeacht de technologie.
Eerst verschijnt er een nieuwe technologie die niet past binnen bestaande wetgeving. Wetten zijn meestal geschreven met een specifieke technologie of praktijk in gedachten: verkeerswetten gaan uit van een menselijke bestuurder, effectenwetgeving gaat uit van aandelen en obligaties, geneesmiddelenwetgeving gaat uit van chemische stoffen. Komt er iets fundamenteel nieuws bij — een auto zonder bestuurder, een digitaal token, een synthetisch gen — dan valt dat vaak tussen de mazen.
Vervolgens ontstaat er onduidelijkheid over drie zaken: mag het, wie houdt er toezicht, en wie is aansprakelijk als het misgaat. Bedrijven interpreteren die onduidelijkheid meestal in hun eigen voordeel en gaan door met ontwikkelen en soms ook met verkopen, omdat er geen wet is die het expliciet verbiedt.
Daarna volgt een periode van vertraagde reactie. Wetgeving tot stand brengen kost tijd: er moet onderzoek gedaan worden, belanghebbenden moeten worden geraadpleegd, parlementen moeten stemmen, en bij internationale technologie moeten landen het onderling ook nog eens eens worden. Bij snelle technologische ontwikkeling, zoals bij AI de afgelopen jaren, kan dit proces jaren achterlopen op de praktijk.
Uiteindelijk sluit de grijze zone zich, meestal op een van drie manieren: er komt specifieke nieuwe wetgeving, de technologie wordt onder bestaande wetgeving geschaard via jurisprudentie (rechterlijke uitspraken die een precedent scheppen), of de technologie wordt alsnog verboden. Soms verdwijnt de grijze zone ook doordat de technologie zelf mislukt of overbodig wordt voordat er ooit wetgeving nodig was.
Wat wil men ermee bereiken?
Het bestaan van grijze zones is meestal geen doel op zich, maar een bijproduct van tegengestelde belangen. Bedrijven en investeerders willen ruimte om te experimenteren zonder dat regels innovatie in de kiem smoren; overheden willen burgers, consumenten en het milieu beschermen zonder de economie op slot te zetten.
Sommige overheden proberen dit spanningsveld bewust te beheersen met zogeheten regulatory sandboxes: afgebakende testomgevingen waarin bedrijven onder toezicht mogen experimenteren met versoepelde regels, in ruil voor transparantie richting de toezichthouder. Dit is een poging om de grijze zone te vervangen door een gecontroleerde, tijdelijke uitzondering in plaats van volledige onduidelijkheid.
Voor bedrijven is de grijze zone vaak aantrekkelijk omdat snelheid een concurrentievoordeel is: wie als eerste een markt betreedt, kan gebruikers, data en marktaandeel verzamelen voordat concurrenten — of regels — hen inhalen. Critici wijzen erop dat dit ook risico's afwentelt op consumenten en de samenleving, die de gevolgen dragen als iets misgaat voordat er passende regels zijn.
Voorbeelden uit de praktijk
Enkele bekende gevallen laten zien hoe uiteenlopend dit verschijnsel zich manifesteert.
Kunstmatige intelligentie. Toen OpenAI eind 2022 ChatGPT lanceerde, bestond er in de Europese Unie nog geen wet die specifiek toezag op zogeheten generatieve AI of foundation models (grote, breed inzetbare AI-modellen). De EU-verordening voor AI, de AI Act, was al in de maak sinds 2021 maar moest haastig worden aangepast. De wet trad in augustus 2024 in werking, met een gefaseerde invoering: verboden toepassingen golden vanaf begin 2025, regels voor krachtige algemene AI-modellen volgden medio 2025, en de zwaarste verplichtingen voor risicovolle toepassingen gelden pas vanaf 2026 en later.
Cryptovaluta en DeFi. Decentrale financiële diensten (DeFi) — financiële producten die zonder tussenkomst van een bank via blockchain-technologie worden aangeboden — opereerden jarenlang in een lappendeken van nationale regels binnen de EU. Pas met de MiCA-verordening (Markets in Crypto-Assets), waarvan de belangrijkste onderdelen in 2024 van kracht werden, kreeg de sector een uniform Europees kader voor onder meer stablecoins en aanbieders van cryptodiensten.
Gentherapie en CRISPR. In november 2018 maakte de Chinese onderzoeker He Jiankui bekend dat hij met de gen-bewerkingstechniek CRISPR het DNA van menselijke embryo's had aangepast, wat resulteerde in de geboorte van tweeling-baby's met een gewijzigd genoom. Wetenschappelijke richtlijnen ontraadden dit al langer, maar een bindende internationale wet die het verbood, bestond niet. He werd in december 2019 door een Chinese rechtbank veroordeeld tot drie jaar cel, maar de zaak legde een wereldwijd regelgevend gat bloot rond kiembaan-editing (erfelijke gen-aanpassingen die doorgegeven worden aan nageslacht).
Zelfrijdende auto's. In de Verenigde Staten bestaat geen federaal vergunningenstelsel voor volledig zelfrijdende taxi's; regels verschillen per staat. Waymo, het zelfrijdende-autobedrijf van Alphabet, begon rond 2020 met betaalde ritten zonder bestuurder in Phoenix en breidde dit in augustus 2023 uit naar San Francisco, na goedkeuring van de Californische toezichthouder CPUC. Andere Amerikaanse staten en de meeste Europese landen hebben tot op heden geen vergelijkbaar kader.
Vliegende taxi's (eVTOL). Bedrijven als Joby Aviation (VS) en Volocopter (Duitsland) ontwikkelen elektrisch aangedreven verticaal opstijgende luchttaxi's. Beide bedrijven hebben de afgelopen jaren stapsgewijs certificeringsmijlpalen behaald bij respectievelijk de Amerikaanse FAA en de Europese EASA, maar volledige typecertificering voor commerciële passagiersvluchten liet begin 2026 nog op zich wachten; aangekondigde lanceerdata zijn herhaaldelijk verschoven.
Hoe ver is de techniek?
Bij dit onderwerp gaat het niet om de rijpheid van één technologie, maar om het tempo waarin regelgeving de praktijk bijbeent — en dat tempo verschilt sterk per domein.
Bij AI is er sinds 2024 met de EU AI Act voor het eerst een breed, bindend kader in Europa, al blijven delen ervan tot 2027 gefaseerd ingevoerd worden en is de precieze uitvoering nog volop in ontwikkeling. De Verenigde Staten hebben geen vergelijkbare overkoepelende federale AI-wet en leunen vooralsnog op bestaande consumenten- en mededingingswetgeving, aangevuld met uitvoerende richtlijnen die per regering kunnen wijzigen.
Bij crypto is de EU met MiCA relatief ver, terwijl de Verenigde Staten nog altijd worstelen met de vraag welke toezichthouder (de effectentoezichthouder SEC of de grondstoffentoezichthouder CFTC) waarover gaat — een institutionele grijze zone die los staat van de techniek zelf.
Bij gentherapie bestaat er internationaal nog altijd geen bindend verdrag tegen kiembaan-editing bij mensen; er zijn wel niet-bindende richtlijnen van wetenschappelijke organisaties, maar handhaving verschilt sterk per land.
Bij zelfrijdende voertuigen en eVTOL loopt certificering vaak jaren achter op de technische vooruitgang, vooral omdat veiligheidscertificering van vliegtuigen en auto's van oudsher zeer behoudend is en fabrikanten uitgebreid moeten aantonen dat nieuwe systemen minstens zo veilig zijn als bestaande.
Een terugkerend obstakel is internationale coördinatie: technologie stopt niet bij landsgrenzen, maar wetgeving wel. Zolang landen onderling geen overeenstemming bereiken, blijft er ruimte voor bedrijven om activiteiten te verplaatsen naar plekken met soepelere regels.
Wie werken eraan?
Het dichten van regelgevende grijze zones is werk van uiteenlopende partijen, niet van één instituut.
In de Europese Unie speelt de Europese Commissie een centrale rol bij het opstellen van verordeningen zoals de AI Act en MiCA. Gespecialiseerde Europese toezichthouders zoals de European Securities and Markets Authority (ESMA) en de European Banking Authority (EBA) werken technische standaarden uit voor de uitvoering, terwijl nationale toezichthouders — in Nederland bijvoorbeeld de Autoriteit Financiële Markten (AFM) en De Nederlandsche Bank (DNB) — het praktische toezicht doen.
In de Verenigde Staten zijn taken versnipperd over agentschappen als de FAA (luchtvaart), NHTSA (wegvoertuigen), FDA (geneesmiddelen en gentherapie), SEC en CFTC (financiële markten). Omdat er geen centrale coördinerende AI- of technologiewet bestaat, ontstaat daar per definitie meer ruimte voor grijze zones dan in de EU.
Internationale organisaties zoals de OESO (Organisatie voor Economische Samenwerking en Ontwikkeling) en de Verenigde Naties proberen via niet-bindende richtlijnen en verdragen landen dichter bij elkaar te brengen, bijvoorbeeld via het OECD AI Policy Observatory. Daarnaast dragen universiteiten en onderzoeksinstituten — zoals het Oxford Internet Institute en het Stanford Institute for Human-Centered AI — bij aan de kennisbasis waarop wetgevers hun beleid baseren, en lobbyen brancheorganisaties namens bedrijven voor regels die hun sector gunstig gezind zijn.