Op 14 september 2026 berichtte de Spaanse toezichthouder AEPD over de eerste bij haar ingediende melding van een inbreuk waarbij de aanval volgens de melder door een AI-agent werd uitgevoerd. De agent logde met bestaande inloggegevens in, zocht daarna zelfstandig naar zwakke plekken in de applicatie en kon uiteindelijk persoonsgegevens wijzigen en facturen inzien; de AEPD benadrukt dat de melding nog onderzocht moet worden. Stel dat hetzelfde gebeurt bij een Nederlands bedrijf dat zijn klantportaal of administratie bij een SaaS-leverancier afneemt. Wie draagt dan de schade, de klant of de leverancier? Het antwoord staat verspreid over de inloggegevensclausule in de leveranciersvoorwaarden, de beveiligingsplicht van artikel 32 AVG en de exoneratie voor handelen van derden.

Een geldige login en daarna een zoektocht die mogelijk buiten de accountrechten kwam

De clausule dat alles wat via uw account gebeurt voor uw rekening komt, is geschreven voor de eerste fase van zo'n incident: iemand komt met bestaande inloggegevens binnen. Hoe die gegevens bij de aanvaller terechtkwamen, is dan de eerste vraag. De tweede fase vraagt een eigen beoordeling: als de agent daarbij buiten de toegekende accountrechten kwam, benutte hij een gebrek in de applicatie. Onder de uitlegmaatstaf van het arrest Haviltex van 13 maart 1981 wegen de tekst van de clausule, het overeengekomen beveiligingsniveau, het accountbeheer door de klant en het oorzakelijk verband mee; een wachtwoordclausule pleit er in de regel niet voor dat de klant ook kwetsbaarheden in de code van de leverancier draagt.

Artikel 32 AVG, artikel 33 AVG en de exoneratie voor handelen van derden

De AEPD verbindt vier gevolgen aan de melding: AI-aanvallen horen uitdrukkelijk in de risicoanalyse, reactietijden moeten opnieuw worden bekeken, API-sleutels en tokens met te ruime rechten worden het zwakke punt, en detectie kan niet alleen op handmatig ingrijpen rusten. Die vier punten zijn een signaal van een toezichthouder, geen Nederlandse norm, maar zij horen als afspraken in de beveiligingsbijlage die artikel 28 lid 3 onder c AVG naast artikel 32 AVG van uw verwerkersovereenkomst verlangt. Een ongeoorloofde wijziging van gegevens door een beveiligingsinbreuk is een inbreuk in de zin van artikel 4 onder 12 AVG, ook zonder dat er iets naar buiten lekt; uw leverancier informeert u zonder onredelijke vertraging en u meldt waar mogelijk binnen 72 uur na kennisneming, tenzij een risico voor betrokkenen onwaarschijnlijk is. Een exoneratie voor handelen van derden neemt een kwetsbaarheid in de eigen applicatie van de leverancier niet zonder meer weg: artikel 6:75 BW rekent zo'n tekortkoming in de regel aan hem toe, afhankelijk van het contract, de beveiligingsafspraken en de omstandigheden, en artikel 6:248 lid 2 BW begrenst het beroep op de uitsluiting.

Vijf vragen aan uw leverancierscontract

Het artikel sluit af met vijf vragen: waar de inloggegevensclausule eindigt, of de beveiligingsbijlage een norm en het principe van minimale rechten voor sleutels noemt, of de meldtermijn in uren staat, wie de logbestanden bewaart die de twee fasen van een aanval uit elkaar houden, en of de exoneratie een uitzondering maakt voor gebreken in de eigen applicatie. Met de contractscan van JAVB loopt u die vijf punten in uw eigen contract na.