Neem een situatie die zich in wisselende gedaanten steeds herhaalt. Een ondernemer verkoopt zijn bedrijf en krijgt in het boekenonderzoek een vraag waarop niemand zich had voorbereid: waar staat eigenlijk dat het logo, de website en de productfotografie van de vennootschap zijn? Er liggen offertes, een opdrachtbevestiging en betaalde facturen van het ontwerpbureau. Verder niets. Het bureau bevestigt vriendelijk dat het auteursrecht bij hen ligt, en juridisch heeft het gelijk. De koopprijs zakt of een deel ervan gaat in escrow. Dat is geen ongelukkige uitzondering, maar de standaarduitkomst van de Auteurswet zodra partijen over rechten niets hebben vastgelegd: het recht ontstaat bij de maker en blijft daar, hoeveel facturen er ook zijn voldaan.

Schriftelijke overeenkomst, en voor de overdracht ook een akte

De wet stelt twee eisen naast elkaar. De overeenkomst waarin auteursrecht wordt overgedragen of een exclusieve licentie wordt verleend, moet schriftelijk worden aangegaan, en voor de overdracht komt daar een levering bij akte overheen. Een losse e-mail waarin staat dat alles van u is, haalt die drempel in beginsel niet. Draagt de maker zelf over, dan gaan alleen de bevoegdheden mee die uitdrukkelijk zijn genoemd of noodzakelijkerwijs uit de overeenkomst voortvloeien. Voor werknemers geldt een uitzondering: wat zij in hun functie maken, komt behoudens afwijkende afspraak van meet af aan bij de werkgever terecht. Voor zzp’ers, bureaus en hun toeleveranciers geldt die regel niet, en een bureau kan bovendien alleen overdragen wat het zelf van zijn eigen mensen heeft verkregen.

Wat u zonder overdracht wél heeft

Zonder overdracht houdt u meestal een gebruiksrecht voor het doel waarvoor u de opdracht gaf: de huisstijl om mee te ondernemen, de foto’s voor de webshop, de site om online te staan. Hoe ver dat recht reikt, is een kwestie van uitleg; exclusiviteit levert het zelden op, ruimte om het werk te verbouwen botst op de persoonlijkheidsrechten van de maker, en of het meegaat bij een overname of herstructurering staat allerminst vast. Daarnaast volgen het merk en de domeinnaam de registratie, volgen hosting en codeopslag het account, en blijven bewerkbare bronbestanden, lettertypen en stockbeeld vaak bij het bureau achter.

Acht punten vóór de eerste factuur

Het artikel zet de wettelijke regels naast de dagelijkse praktijk van ontwerp, code en fotografie, en sluit af met een checklist van acht afspraken die in de opdrachtbevestiging horen: de schriftelijke overdracht met akte, de opsomming van bevoegdheden, de rechtenketen en vrijwaring, persoonlijkheidsrechten, bronbestanden en licenties, registraties en accounts, de koppeling aan betaling, en de portfoliobepaling. Voor werk dat al is opgeleverd volgt een herstelroute, inclusief de momenten waarop uw onderhandelingspositie vanzelf weer sterker wordt.

Op 4 augustus 2026 vernietigde het Amerikaanse hof van beroep voor het Ninth Circuit de voorlopige voorziening die Amazon had verkregen tegen Perplexity's browserassistent. Op dit dossier, zo oordeelde het hof, verkreeg de gebruiker zelf toegang tot Amazons systemen; de Amerikaanse anti-hackwet richt zich op personen, en de assistent was hun gereedschap. Het hof onderstreepte de beperkte reikwijdte van zijn beslissing, de zaak loopt door, en toch haalde de uitspraak wereldwijd de vakpers. De onderliggende vraag ligt namelijk ook op het bord van elke Nederlandse ondernemer met een webshop of klantportaal. AI-agenten die op instructie van een klant prijzen vergelijken, formulieren invullen en bestellingen afrekenen, zijn technisch gewoon bezoekers; juridisch dwingen ze u opnieuw na te denken over de vraag met wie u eigenlijk contracteert.

Wie is gebonden als een agent bestelt?

Naar Nederlands recht is het antwoord geruststellend nuchter. Een agent is zelf geen rechtssubject en wordt geen partij; de bestelling kan worden toegerekend aan de gebruiker die hem inzette, een mens of een rechtspersoon, en de koop komt dan gewoon tot stand door aanbod en aanvaarding. Dat geldt ook omgekeerd: laat uw eigen medewerker een inkooporder door een assistent plaatsen, dan kan die order uw bedrijf binden. De echte werkvragen zitten een laag dieper: gelden uw algemene voorwaarden wanneer een machine ze te zien krijgt, houdt uw beroep op een kennelijke prijsfout stand tegen een agent die in minuten tientallen exemplaren bestelt, en kunt u achteraf bewijzen wat de bezoeker in uw bestelflow getoond kreeg?

Spelregels stelt u aan de balie

Het artikel loopt de Amerikaanse uitspraak langs en vertaalt haar naar de Nederlandse praktijk: de terhandstellingsplicht bij elektronisch contracteren, de botbepaling waarmee u geautomatiseerd gebruik toestaat, weert of kanaliseert, de prijsfoutclausule en de logging die uw bewijspositie draagt.

Vijf vragen voor uw eigen flow

Een beslisschema van vijf vragen helpt u uw webshop of portaal agent-klaar te maken, van de voorwaardenversie in de bestelflow tot interne afspraken over wie bij u een agent mag laten inkopen. Zo bepaalt u zelf de spelregels voordat de eerste agent-bestelling tussen de ochtendorders zit.

Vijf jaar stil, in dagen leeggehaald

Eind juli 2026 waarschuwde hardwarefabrikant Coinkite voor een zwakte in zijn Coldcard-apparaten. In diezelfde dagen werden getroffen wallets leeggehaald: één veegactie van ongeveer 41 minuten kostte gebruikers circa 70 miljoen dollar, en begin augustus stond de teller volgens Galaxy Research op ongeveer 1.755 bitcoin uit zo'n 5.000 wallets, terwijl het incident nog liep. Het onderliggende gebrek zat sinds maart 2021 in de firmware: een bouwfout zorgde ervoor dat ongemerkt een zwakke reserveversie van de sleutelgenerator werd meegeleverd. Vijf jaar lang werkte alles ogenschijnlijk normaal. Voor ondernemers die software of apparatuur inkopen raakt dit incident direct aan de eigen inkooppraktijk. Een beveiligingsgebrek in geleverde software kan naar Nederlands recht een tekortkoming opleveren, en de vraag wie de schade draagt wordt in belangrijke mate beslist door het contract dat u jaren eerder tekende.

De patch is het begin, het contract bepaalt de rest

De firmware-update van de fabrikant repareert de generator, maar een sleutel die onder de fout is aangemaakt blijft zwak, zelfs na overzetting naar een ander apparaat; alleen extra eigen invoer bij het aanmaken of een sterke passphrase beperkte volgens de fabrikant het risico, en die laatste herstelt de sleutel zelf niet. Herstel omvat hier dus heruitgifte, migratie, onderzoek en notificatie, en juist die kostbare nasleep valt in veel leverancierscontracten buiten de herstelverplichting. Wie de risicoverdeling wil begrijpen, kijkt naar de definitie van herstel, naar meldtermijnen en naar de exoneratieclausule in de algemene voorwaarden, die gevolgschade vrijwel altijd uitsluit en tussen ondernemingen vaak standhoudt, afhankelijk van onder meer totstandkoming, uitleg en de beperkende werking van redelijkheid en billijkheid. Precies daar valt aan de voorkant het meest te winnen.

AI maakt het venster kleiner

De waarschuwing en de veegacties vielen in dezelfde dagen, en de fabrikant vermoedt, zonder bewijs vooralsnog, dat de aanvaller AI gebruikte om het lek te vinden. Opmerkelijker is dat zijn eigen AI-controle van dezelfde code weken eerder niets vond. Eén AI-scan zegt dus weinig, als aanvalswapen noch als zorgvuldigheidsverweer. IBM telde in 2026 dat een op de vier kwaadaardige inbreuken AI-ondersteund was, ruim de helft meer dan een jaar eerder. De bijdrage vertaalt dit incident naar de Nederlandse inkooppraktijk en geeft vijf concrete contractvragen over meldplichten, hersteltermijnen, aansprakelijkheid en bewijs, zodat u weet wie de rekening krijgt wanneer een oud gebrek plots actueel wordt.