AI-tools op de werkvloer en de derde eis van artikel 1 Wbb: welke maatregelen uw bedrijfsgeheim in stand houden

Een accountmanager plakt op dinsdagmiddag de calculatie van vorig jaar, de inkoopprijzen van drie toeleveranciers en een conceptofferte in een gratis chatbot, om te laten controleren of de opbouw klopt. Er wordt niets geforceerd en niets meegenomen. Een jaar later gaat dezelfde afnemer met een concurrent in zee die opvallend dicht bij die prijsopbouw zit, en dan begint het onderzoek bij de eigen onderneming: was die calculatie op dat moment nog een bedrijfsgeheim?

Artikel 1 Wbb stelt drie eisen, en de derde gaat over uw eigen gedrag

De Wet bescherming bedrijfsgeheimen van 17 oktober 2018, in werking op 23 oktober 2018 ter uitvoering van Richtlijn (EU) 2016/943, noemt drie cumulatieve voorwaarden. De informatie moet geheim zijn, zij moet handelswaarde bezitten omdat zij geheim is, en zij moet door de rechtmatige houder zijn onderworpen aan redelijke maatregelen, gezien de omstandigheden, om haar geheim te houden. De eerste twee eisen zijn eigenschappen van de informatie. De derde is een redelijkheidstoets over uw eigen handelen: de rechter weegt het samenstel van maatregelen en hun feitelijke werking, gezien de omstandigheden. Eén ongeoorloofde invoer beëindigt de bescherming dus niet automatisch, al kan een patroon van ongecontroleerde verspreiding het samenstel wel onderuithalen. Daarin verschilt een bedrijfsgeheim van een octrooi of een merk, waar de aanspraak in een register vastligt en slordigheid overleeft; hier moet de houder de bescherming blijven onderhouden. De vergelijking met een preventieve garantie in een verzekeringspolis gaat maar ten dele op, en wijst vooral de richting waarin de bewijslast loopt: het gaat om wat er in de organisatie feitelijk gebeurde.

Waarom tools met kunstmatige intelligentie deze eis raken, en waar het in de voorwaarden zit

Wie een document in zo'n tool plakt, verplaatst het naar de infrastructuur van een derde partij. Vier variabelen lopen daarbij door elkaar: training op invoer, bewaartermijn, inzage door medewerkers van de aanbieder, en de contractuele bescherming. Elk daarvan is per product en per accounttype anders geregeld en verandert met enige regelmaat, dus de vuistregel dat gratis onveilig is en betaald veilig, houdt geen stand. Wat telt is welk product met welke instellingen is toegestaan en of dat op de gebruiksdatum is vastgelegd. In een geschil luidt het eerste verweer dat gevoelige documenten routinematig in publieke tools werden ingevoerd; slaagt dat, dan kan de zaak op de definitie eindigen.

Twee keer gewogen, en wat de arbeidsovereenkomst hierover kan regelen

Haalt u de drempel wel, dan kan de rechter op grond van artikel 5 en 6 Wbb staking bevelen, beslag toestaan en vernietiging of afgifte van bestanden gelasten. Artikel 7 lid 1 onderdeel b Wbb weegt daarbij opnieuw welke beschermingsmaatregelen zijn genomen. Intern volstaat vaak het instructierecht van artikel 7:660 BW: een gedateerde, aantoonbaar verstrekte lijst van toegestane tools. Bij het boetebeding gelden de strenge eisen van artikel 7:650 BW, met een weekmaximum en een maximum per afzonderlijke boete van een halve dag loon, en artikel 7:651 BW verbiedt om ter zake van hetzelfde feit zowel boete te heffen als schadevergoeding te vorderen. Het artikel sluit af met zes controles op het personeelsreglement, de arbeidsovereenkomsten en de NDA's die u zelf hebt getekend, en sluit aan op het eerdere stuk over de kennisclausule.

Read more

Uw softwareleverancier zet AI aan: bezwaar onder artikel 28 lid 2 AVG, en wat uw wijzigingsbeding daarna nog waard is

De leverancier van uw planningspakket, boekhoudsysteem of helpdesk kondigt nieuwe functies aan die werkbonnen samenvatten, offerteteksten voorstellen en klantvragen beantwoorden. Onderaan het servicebericht staat de zin die er juridisch toe doet: voor die functies wordt een nieuwe partij ingeschakeld die de gegevens verwerkt, en wie binnen dertig dagen geen bezwaar maakt, wordt geacht in te stemmen. Die aankondiging breidt de kring van partijen uit die bij uw klantgegevens kunnen, en vaak ook de doeleinden waarvoor die gegevens worden gebruikt.

Wat artikel 28 lid 2 AVG wel en niet regelt

Bijna elke verwerkersovereenkomst die een mkb-bedrijf tekent, bevat een algemene schriftelijke toestemming voor toekomstige subverwerkers. In dat geval verplicht de AVG de leverancier alleen om u te informeren over een voorgenomen toevoeging of vervanging en om u de gelegenheid te geven bezwaar te maken. Over het gevolg van dat bezwaar zwijgt de verordening: geen vetorecht, geen opschorting, geen ontbindingsrecht. De contractuele uitkomst hangt af van het beding in uw eigen overeenkomst, terwijl u volgens de EDPB-opinie 22/2024 zelf verantwoordelijk blijft voor de beoordeling of de nieuwe partij voldoende garanties biedt. Daarnaast blijft de leverancier op grond van artikel 28 lid 4 AVG volledig aansprakelijk voor het nakomen van de verplichtingen van de partij die hij inschakelt, en geldt hij op grond van lid 10 zelf als verwerkingsverantwoordelijke zodra hij doel en middelen van een verwerking bepaalt — bijvoorbeeld door met uw klantgegevens een eigen model te trainen.

Verwerkersrecht en verbintenissenrecht lopen naast elkaar

In deze gesprekken blijft artikel 6:76 BW meestal onbesproken. Wie bij de uitvoering van een verbintenis gebruikmaakt van de hulp van anderen, is voor hun gedragingen op gelijke wijze aansprakelijk als voor eigen gedragingen. Uw leverancier koos de subverwerker. Voor zover die partij wordt ingezet bij de uitvoering van wat de leverancier heeft beloofd en haar handelen bij de leverancier zelf een tekortkoming zou opleveren, wordt het aan hem toegerekend. Het verwerkersrecht geeft een informatieplicht, het verbintenissenrecht een toerekeningsregel, en een ruime exoneratie begrenst het gevolg van die tweede. Of de dienst eenzijdig mag veranderen, volgt uit het wijzigingsbeding, getoetst aan artikel 6:233 sub a BW, met de grenzen van artikel 6:235 lid 1 en lid 3 BW voor grotere ondernemingen en voor wie zelf meermalen dezelfde voorwaarden gebruikt en artikel 6:248 lid 2 BW als terugvaloptie.

Zes bepalingen voor het volgende verlengingsmoment

Het artikel besluit met een concrete lijst: een reële kennisgevingstermijn aan een genoemd contactpersoon, bezwaar met een beëindigingsgevolg, een verbod op gebruik van uw gegevens voor training en modelverbetering, nieuwe verwerkingsfuncties standaard uit, een exitregeling met export en aantoonbare verwijdering bij subverwerkers, en aansprakelijkheid die de keten volgt. Voor bedrijven die klantgegevens onder geheimhouding houden, komt daar de eis van redelijke geheimhoudingsmaatregelen uit de Wet bescherming bedrijfsgeheimen bij.

Read more

Er winkelt een agent in uw webshop

Op 4 augustus 2026 vernietigde het Amerikaanse hof van beroep voor het Ninth Circuit de voorlopige voorziening die Amazon had verkregen tegen Perplexity's browserassistent. Op dit dossier, zo oordeelde het hof, verkreeg de gebruiker zelf toegang tot Amazons systemen; de Amerikaanse anti-hackwet richt zich op personen, en de assistent was hun gereedschap. Het hof onderstreepte de beperkte reikwijdte van zijn beslissing, de zaak loopt door, en toch haalde de uitspraak wereldwijd de vakpers. De onderliggende vraag ligt namelijk ook op het bord van elke Nederlandse ondernemer met een webshop of klantportaal. AI-agenten die op instructie van een klant prijzen vergelijken, formulieren invullen en bestellingen afrekenen, zijn technisch gewoon bezoekers; juridisch dwingen ze u opnieuw na te denken over de vraag met wie u eigenlijk contracteert.

Wie is gebonden als een agent bestelt?

Naar Nederlands recht is het antwoord geruststellend nuchter. Een agent is zelf geen rechtssubject en wordt geen partij; de bestelling kan worden toegerekend aan de gebruiker die hem inzette, een mens of een rechtspersoon, en de koop komt dan gewoon tot stand door aanbod en aanvaarding. Dat geldt ook omgekeerd: laat uw eigen medewerker een inkooporder door een assistent plaatsen, dan kan die order uw bedrijf binden. De echte werkvragen zitten een laag dieper: gelden uw algemene voorwaarden wanneer een machine ze te zien krijgt, houdt uw beroep op een kennelijke prijsfout stand tegen een agent die in minuten tientallen exemplaren bestelt, en kunt u achteraf bewijzen wat de bezoeker in uw bestelflow getoond kreeg?

Spelregels stelt u aan de balie

Het artikel loopt de Amerikaanse uitspraak langs en vertaalt haar naar de Nederlandse praktijk: de terhandstellingsplicht bij elektronisch contracteren, de botbepaling waarmee u geautomatiseerd gebruik toestaat, weert of kanaliseert, de prijsfoutclausule en de logging die uw bewijspositie draagt.

Vijf vragen voor uw eigen flow

Een beslisschema van vijf vragen helpt u uw webshop of portaal agent-klaar te maken, van de voorwaardenversie in de bestelflow tot interne afspraken over wie bij u een agent mag laten inkopen. Zo bepaalt u zelf de spelregels voordat de eerste agent-bestelling tussen de ochtendorders zit.

Read more

Het lek is vijf jaar oud, uw leverancierscontract ook

Vijf jaar stil, in dagen leeggehaald

Eind juli 2026 waarschuwde hardwarefabrikant Coinkite voor een zwakte in zijn Coldcard-apparaten. In diezelfde dagen werden getroffen wallets leeggehaald: één veegactie van ongeveer 41 minuten kostte gebruikers circa 70 miljoen dollar, en begin augustus stond de teller volgens Galaxy Research op ongeveer 1.755 bitcoin uit zo'n 5.000 wallets, terwijl het incident nog liep. Het onderliggende gebrek zat sinds maart 2021 in de firmware: een bouwfout zorgde ervoor dat ongemerkt een zwakke reserveversie van de sleutelgenerator werd meegeleverd. Vijf jaar lang werkte alles ogenschijnlijk normaal. Voor ondernemers die software of apparatuur inkopen raakt dit incident direct aan de eigen inkooppraktijk. Een beveiligingsgebrek in geleverde software kan naar Nederlands recht een tekortkoming opleveren, en de vraag wie de schade draagt wordt in belangrijke mate beslist door het contract dat u jaren eerder tekende.

De patch is het begin, het contract bepaalt de rest

De firmware-update van de fabrikant repareert de generator, maar een sleutel die onder de fout is aangemaakt blijft zwak, zelfs na overzetting naar een ander apparaat; alleen extra eigen invoer bij het aanmaken of een sterke passphrase beperkte volgens de fabrikant het risico, en die laatste herstelt de sleutel zelf niet. Herstel omvat hier dus heruitgifte, migratie, onderzoek en notificatie, en juist die kostbare nasleep valt in veel leverancierscontracten buiten de herstelverplichting. Wie de risicoverdeling wil begrijpen, kijkt naar de definitie van herstel, naar meldtermijnen en naar de exoneratieclausule in de algemene voorwaarden, die gevolgschade vrijwel altijd uitsluit en tussen ondernemingen vaak standhoudt, afhankelijk van onder meer totstandkoming, uitleg en de beperkende werking van redelijkheid en billijkheid. Precies daar valt aan de voorkant het meest te winnen.

AI maakt het venster kleiner

De waarschuwing en de veegacties vielen in dezelfde dagen, en de fabrikant vermoedt, zonder bewijs vooralsnog, dat de aanvaller AI gebruikte om het lek te vinden. Opmerkelijker is dat zijn eigen AI-controle van dezelfde code weken eerder niets vond. Eén AI-scan zegt dus weinig, als aanvalswapen noch als zorgvuldigheidsverweer. IBM telde in 2026 dat een op de vier kwaadaardige inbreuken AI-ondersteund was, ruim de helft meer dan een jaar eerder. De bijdrage vertaalt dit incident naar de Nederlandse inkooppraktijk en geeft vijf concrete contractvragen over meldplichten, hersteltermijnen, aansprakelijkheid en bewijs, zodat u weet wie de rekening krijgt wanneer een oud gebrek plots actueel wordt.

Read more

Establishing a Legal-Ethical Framework for Quantum Technology

Yale Law School, Yale Journal of Law & Technology (YJoLT) The Record 2021

New peer reviewed cross-disciplinary Stanford University Quantum & Law research article: “Establishing a Legal-Ethical Framework for Quantum Technology”.

By Mauritz Kop

Citation: Kop, Mauritz, Establishing a Legal-Ethical Framework for Quantum Technology (March 2, 2021). Yale J.L. & Tech. The Record 2021, https://yjolt.org/blog/establishing-legal-ethical-framework-quantum-technology

Please find a short abstract below:

What is quantum technology?

Quantum technology is founded on general principles of quantum mechanics and combines the counterintuitive physics of the very small with engineering. Particles and energy at the smallest scale do not follow the same rules as the objects we can detect around us in our everyday lives. The general principles, or properties, of quantum mechanics are superposition, entanglement, and tunnelling. Quantum mechanics aims to clarify the relationship between matter and energy, and it describes the building blocks of atoms at the subatomic level.

Raising Quantum Awareness

Quantum technologies are rapidly evolving from hypothetical ideas to commercial realities. As the world prepares for these tangible applications, the quantum community issued an urgent call for action to design solutions that can balance their transformational impact. An important first step to encourage the debate is raising quantum awareness. We have to put controls in place that address identified risks and incentivise sustainable innovation.

Connecting AI and Nanotechnology to Quantum

Establishing a culturally sensitive legal-ethical framework for applied quantum technologies can help to accomplish these goals. This framework can be built on existing rules and requirements for AI. We can enrich this framework further by integrating ethical, legal and social issues (ELSI) associated with nanotechnology. In addition, the unique physical characteristics of quantum mechanics demand universal guiding principles of responsible, human-centered quantum technology. To this end, the article proposes ten guiding principles for the development and application of quantum technology.

Risk-based Quantum Technology Impact Assessment Tools

Lastly, how can we monitor and validate that real world quantum tech-driven implementations remain legal, ethical, social and technically robust during their life cycle? Developing concrete tools that address these challenges might be the answer. Raising quantum awareness can be accomplished by discussing a legal-ethical framework and by utilizing risk-based technology impact assessment tools in the form of best practices and moral guides.

Read more

Democratic Countries Should Form a Strategic Tech Alliance

Stanford - Vienna Transatlantic Technology Law Forum, Transatlantic Antitrust and IPR Developments, Stanford University, Issue No. 1/2021

New Stanford innovation policy research: “Democratic Countries Should Form a Strategic Tech Alliance”.

Exporting values into society through technology

China’s relentless advance in Artificial Intelligence (AI) and quantum computing has engendered a significant amount of anxiety about the future of America’s technological supremacy. The resulting debate centres around the impact of China’s digital rise on the economy, security, employment and the profitability of American companies. Absent in these predominantly economic disquiets is what should be a deeper, existential concern: What are the effects of authoritarian regimes exporting their values into our society through their technology? This essay will address this question by examining how democratic countries can, or should respond, and what you can do about it to influence the outcome.

Towards a global responsible technology governance framework

The essay argues that democratic countries should form a global, broadly scoped Strategic Tech Alliance, built on mutual economic interests and common moral, social and legal norms, technological interoperability standards, legal principles and constitutional values. An Alliance committed to safeguarding democratic norms, as enshrined in the Universal Declaration of Human Rights (UDHR) and the International Covenant on Civil and Political Rights (ICCPR). The US, the EU and its democratic allies should join forces with countries that share our digital DNA, institute fair reciprocal trading conditions, and establish a global responsible technology governance framework that actively pursues democratic freedoms, human rights and the rule of law.

Two dominant tech blocks with incompatible political systems

Currently, two dominant tech blocks exist that have incompatible political systems: the US and China. The competition for AI and quantum ascendancy is a battle between ideologies: liberal democracy mixed with free market capitalism versus authoritarianism blended with surveillance capitalism. Europe stands in the middle, championing a legal-ethical approach to tech governance.

Democratic, value-based Strategic Tech Alliance

The essay discusses political feasibility of cooperation along transatlantic lines, and examines arguments against the formation of a democratic, value-based Strategic Tech Alliance that will set global technology standards. Then, it weighs the described advantages of the establishment of an Alliance that aims to win the race for democratic technological supremacy against disadvantages, unintended consequences and the harms of doing nothing.

Democracy versus authoritarianism: sociocritical perspectives

Further, the essay attempts to approach the identified challenges in light of the ‘democracy versus authoritarianism’ discussion from other, sociocritical perspectives, and inquires whether we are democratic enough ourselves.

How Fourth Industrial Revolution (4IR) technology is shaping our lives

The essay maintains that technology is shaping our everyday lives, and that the way in which we design and utilize our technology is influencing nearly every aspect of the society we live in. Technology is never neutral. The essay describes that regulating emerging technology is an unending endeavour that follows the lifespan of the technology and its implementation. In addition, it debates how democratic countries should construct regulatory solutions that are tailored to the exponential pace of sustainable innovation in the Fourth Industrial Revolution (4IR).

Preventing authoritarianism from gaining ground

The essay concludes that to prevent authoritarianism from gaining ground, governments should do three things: (1) inaugurate a Strategic Tech Alliance, (2) set worldwide core rules, interoperability & conformity standards for key 4IR technologies such as AI, quantum and Virtual Reality (VR), and (3) actively embed our common democratic norms, principles and values into the architecture and infrastructure of our technology.

Read more

The Right to Process Data for Machine Learning Purposes in the EU →

Harvard Law School, Harvard Journal of Law & Technology (JOLT) Online Digest 2020, Forthcoming

New interdisciplinary Stanford University AI & Law research article: “The Right to Process Data for Machine Learning Purposes in the EU”.

Data Act & European data-driven economy

Europe is now at a crucial juncture in deciding how to deploy data driven technologies in ways that encourage democracy, prosperity and the well-being of European citizens. The upcoming European Data Act provides a major window of opportunity to change the story. In this respect, it is key that the European Commission takes firm action, removes overbearing policy and regulatory obstacles, strenuously harmonizes relevant legislation and provides concrete incentives and mechanisms for access, sharing and re-use of data. The article argues that to ensure an efficiently functioning European data-driven economy, a new and as yet unused term must be introduced to the field of AI & law: the right to process data for machine learning purposes.

The state can implement new modalities of property

Data has become a primary resource that should not be enclosed or commodified per se, but used for the common good. Commons based production and data for social good initiatives should be stimulated by the state. We need not to think in terms of exclusive, private property on data, but in terms of rights and freedoms to use, (modalities of) access, process and share data. If necessary and desirable for the progress of society, the state can implement new forms of property. Against this background the article explores normative justifications for open innovation and shifts in the (intellectual) property paradigm, drawing inspiration from the works of canonical thinkers such as Locke, Marx, Kant and Hegel.

Ius utendi et fruendi for primary resource data

The article maintains that there should be exceptions to (de facto, economic or legal) ownership claims on data that provide user rights and freedom to operate in the setting of AI model training. It concludes that this exception is conceivable as a legal concept analogous to a quasi, imperfect usufruct in the form of a right to process data for machine learning purposes. A combination of usus and fructus (ius utendi et fruendi), not for land but for primary resource data. A right to process data that works within the context of AI and the Internet of Things (IoT), and that fits in the EU acquis communautaire. Such a right makes access, sharing and re-use of data possible, and helps to fulfil the European Strategy for Data’s desiderata.

Read more