Zorgplicht: wie is verantwoordelijk als technologie schade aanricht?
Stel je een zwembad voor. De eigenaar hoeft niet te garanderen dat niemand ooit verdrinkt, maar hij moet wel aantoonbaar genoeg doen om verdrinking te voorkomen: een badmeester aanstellen, het diepe gedeelte duidelijk markeren, glad tegelwerk vermijden. Doet hij dat niet en gaat het mis, dan is hij aansprakelijk. Dat principe heet zorgplicht: geen garantie op een goede afloop, maar wel de verplichting om redelijke voorzorgsmaatregelen te nemen.
In de digitale wereld geldt inmiddels iets vergelijkbaars voor techbedrijven. Een socialmediaplatform hoeft niet te garanderen dat er nooit nepnieuws, pesterijen of gevaarlijke content verschijnt, maar het moet wel aantoonbaar risico's in kaart brengen en beperken. Datzelfde geldt steeds vaker voor bedrijven die kunstmatige intelligentie (AI) ontwikkelen: zij moeten laten zien dat ze nadenken over wat hun systeem fout kan doen, voordat het fout gaat. Zorgplicht is daarmee een van de belangrijkste juridische instrumenten geworden om grip te krijgen op technologie die zich sneller ontwikkelt dan wetgevers kunnen bijbenen.
Wat is het precies?
Zorgplicht is in de kern een inspanningsverplichting: je moet je best doen om schade te voorkomen, in plaats van een resultaatsverplichting, waarbij je een bepaalde uitkomst moet garanderen. Een chirurg belooft niet dat een operatie slaagt, maar wel dat hij vakkundig en zorgvuldig te werk gaat. Zo moet een platform niet garanderen dat er nooit illegale content verschijnt, maar wel dat het serieuze, redelijke stappen zet om dat te voorkomen en snel in te grijpen als het toch gebeurt.
Voor grote онlineplatforms is die zorgplicht sinds 2023-2024 in de Europese Unie concreet uitgewerkt in de Digital Services Act (DSA), een verordening die direct geldt in alle EU-lidstaten. De DSA verplicht platforms tot een aantal concrete stappen. Ten eerste moeten de allergrootste platforms, aangeduid als VLOP's (Very Large Online Platforms, platforms met meer dan 45 miljoen gebruikers in de EU) en vergelijkbare zoekmachines (VLOSE's), jaarlijks een risicobeoordeling uitvoeren: welke schade kan ons systeem veroorzaken, denk aan verspreiding van desinformatie, schade aan minderjarigen, of ondermijning van verkiezingen? Ten tweede moeten ze op basis daarvan maatregelen nemen om die risico's te beperken, en dat laten controleren door een onafhankelijke audit.
Daarnaast bevat de DSA regels over notice-and-action: een laagdrempelige manier waarop gebruikers illegale content kunnen melden, waarna het platform verplicht is die melding zorgvuldig te beoordelen en zo nodig te verwijderen. Platforms moeten ook transparant zijn over hun recommender systems, de aanbevelingsalgoritmes die bepalen wat je in je tijdlijn of "voor jou"-feed te zien krijgt: gebruikers moeten kunnen zien op basis van welke criteria content wordt aanbevolen, en in veel gevallen een niet-gepersonaliseerde variant kunnen kiezen. Voor AI-systemen werkt de Europese AI Act een vergelijkbaar principe uit: aanbieders van zogeheten hoogrisico-AI (bijvoorbeeld in sollicitatieprocedures, medische diagnostiek of kritieke infrastructuur) moeten risicobeheersystemen, documentatie en menselijk toezicht inrichten voordat ze hun systeem op de markt brengen.
Wat wil men ermee bereiken?
De achterliggende gedachte is dat techbedrijven decennialang grotendeels zelf mochten bepalen hoe ze omgingen met schadelijke content, verslavend ontwerp en de macht van hun algoritmes, met wisselend resultaat. Zorgplichtwetgeving verschuift een deel van die verantwoordelijkheid expliciet naar de bedrijven zelf, met als doel gebruikers te beschermen tegen concrete schade: desinformatie die verkiezingen beïnvloedt, aanbevelingsalgoritmes die jongeren richting schadelijke content duwen, of chatbots die gevaarlijk medisch advies geven.
Een tweede doel is verantwoording: bedrijven moeten kunnen uitleggen en aantonen wat ze doen, in plaats van simpelweg te zeggen dat hun systeem "neutraal" of "gewoon een technisch product" is. Toezichthouders krijgen daardoor een aanknopingspunt om in te grijpen, ook zonder dat ze voor elk incident apart hoeven te bewijzen dat het bedrijf iets illegaals heeft gedaan: het niet hebben van een adequate zorgplichtstructuur is op zichzelf al een overtreding.
Ten derde speelt de bescherming van minderjarigen een grote rol. Onderzoek naar verslavend ontwerp, zoals eindeloos scrollen en variabele beloningen die vergelijkbaar zijn met gokmechanismen, heeft geleid tot maatschappelijke druk om platforms hier expliciet verantwoordelijk voor te maken, in plaats van het probleem alleen bij ouders of gebruikers zelf te leggen.
Voorbeelden uit de praktijk
De Europese Commissie is sinds de DSA volledig van kracht werd (voor de grootste platforms vanaf eind 2023, voor alle platforms vanaf februari 2024) verschillende formele onderzoeken gestart die de zorgplicht concreet toetsen.
X (voorheen Twitter) kreeg eind 2023 een onderzoek aan de broek over onder meer misleidende "geverifieerde" blauwe vinkjes, gebrekkige advertentietransparantie en onvoldoende toegang voor onderzoekers tot platformdata, punten die rechtstreeks raken aan de DSA-verplichtingen rond transparantie en risicobeheersing.
Meta (Facebook en Instagram) werd in 2024 onderzocht op mogelijk verslavend ontwerp van de platforms voor kinderen en tieners, en op de vraag of het bedrijf voldoende deed om leeftijdsverificatie en de bescherming van minderjarige gebruikers te waarborgen.
TikTok kreeg te maken met meerdere onderzoeken, onder meer naar de bescherming van minderjarigen tegen verslavend ontwerp, en specifiek naar het beloningsprogramma "TikTok Lite" in 2024, dat gebruikers punten gaf voor kijktijd; het programma werd na druk van de Commissie in de EU stopgezet nog voordat de zorgplicht-analyse was afgerond.
Ook AliExpress en later Temu werden onderzocht op onder meer de verkoop van illegale of gevaarlijke producten en de vraag of hun aanbevelingssystemen en klachtenafhandeling aan de DSA-eisen voldeden. Deze zaken illustreren dat zorgplicht niet alleen over content gaat, maar ook over productveiligheid op online marktplaatsen.
Belangrijk om eerlijk te zijn: veel van deze onderzoeken lopen nog of zijn nog niet met een definitief besluit afgerond op het moment van schrijven, en de exacte uitkomst en eventuele boetes kunnen nog veranderen.
Hoe ver is de techniek?
Zorgplicht is geen technologie die "af" kan zijn, maar een juridisch kader dat nog volop in ontwikkeling is. De DSA is sinds februari 2024 volledig van toepassing op alle platforms die in de EU actief zijn, van de grootste techbedrijven tot kleinere webshops en forums, zij het met minder zware verplichtingen voor kleinere spelers. De AI Act, aangenomen in 2024, kent een gefaseerde invoering: verboden AI-toepassingen golden al vanaf begin 2025, verplichtingen voor algemene AI-modellen volgden medio 2025, en de zwaarste eisen voor hoogrisico-AI-systemen worden pas vanaf 2026 volledig van kracht.
De grootste obstakels zitten niet zozeer in de wettekst, maar in de uitvoering. Wat telt als een "redelijke" risicobeoordeling is deels een open norm, die per zaak wordt ingevuld door toezichthouders en uiteindelijk rechters. Toezichthouders hebben bovendien beperkte capaciteit om de interne werking van complexe aanbevelingsalgoritmes daadwerkelijk te doorgronden, terwijl bedrijven voortdurend nieuwe features en AI-functies uitrollen. Er is dus een structurele spanning tussen de snelheid van technologische ontwikkeling en de tragere cyclus van wetgeving, handhaving en rechtspraak.
Wie werken eraan?
Op EU-niveau is de Europese Commissie, met name het directoraat-generaal voor digitale zaken (DG Connect), verantwoordelijk voor toezicht op de allergrootste platforms (de VLOP's en VLOSE's) en voert zij de hierboven genoemde onderzoeken uit.
In Nederland is de Autoriteit Consument & Markt (ACM) aangewezen als nationale "Digital Services Coordinator": zij houdt toezicht op kleinere en middelgrote platforms die in Nederland gevestigd zijn, behandelt klachten van Nederlandse gebruikers en werkt samen met andere nationale toezichthouders in de EU. Voor AI-toezicht wordt in Nederland eveneens gewerkt aan een verdeling van bevoegdheden tussen bestaande toezichthouders.
Daarnaast spelen de trust & safety-teams binnen techbedrijven zelf een grote rol: zij vertalen de wettelijke eisen naar concrete moderatiebeleid, meldsystemen en risicorapportages. Universitaire onderzoeksgroepen op het snijvlak van recht en technologie, onder meer aan Nederlandse universiteiten, bestuderen hoe effectief deze zorgplicht in de praktijk uitpakt en signaleren waar de regelgeving tekortschiet.