De grondeis: menselijke scheppende arbeid

Auteursrecht op een werk ontstaat in Nederland automatisch, zonder registratie, zodra het werk een eigen, oorspronkelijk karakter heeft en het persoonlijk stempel van de maker draagt. De Hoge Raad heeft in het Endstra Tapes-arrest (2008) vastgelegd dat dit stempel de uitdrukking moet zijn van scheppende menselijke arbeid en "van de menselijke geest" moet zijn. Het Hof van Justitie van de EU hanteert dezelfde lijn: een werk moet "de eigen intellectuele schepping van de auteur" zijn.

Een AI-systeem is geen auteur, heeft geen persoonlijk stempel en levert geen menselijke scheppende arbeid. Puur door AI gegenereerde tekst, afbeeldingen of andere output, waarbij de mens slechts een korte opdracht heeft ingevoerd en de creatieve keuzes volledig door het systeem zijn gemaakt, valt daarmee buiten auteursrechtelijke bescherming. Op dergelijke output rust in beginsel geen auteursrecht. Dat betekent dat daarop geen exclusief auteursrecht kan worden ingeroepen, al kunnen contractuele gebruiksvoorwaarden wel van invloed zijn op het gebruik.

Het grijze gebied: mens en AI samen

In de praktijk is AI zelden volledig autonoom. Wie uitgebreide iteratieve prompts schrijft, output selecteert, herschrijft, aanvult en creatief stuurt, kan daarmee voldoende menselijke scheppende arbeid inbrengen om auteursrecht op het eindresultaat te claimen. De creatieve inbreng van de mens, niet de technische inspanning, is bepalend. Hoe meer de mens de inhoudelijke en vormelijke keuzes bepaalt, hoe groter de kans op auteursrechtelijke bescherming.

De exacte drempel is in Nederland niet vastgelegd in jurisprudentie over AI specifiek; er zijn op dit moment geen Nederlandse uitspraken die een eenduidige maatstaf stellen. De rechtspraak in andere EU-lidstaten en van het HvJEU over "eigen intellectuele schepping" biedt de meest bruikbare richtsnoeren.

Praktische gevolgen: organisaties die AI-gegenereerde content commercieel inzetten, kunnen niet zonder meer aanspraak maken op auteursrecht als bescherming tegen kopie of namaak. Tegelijk mag niet worden vergeten dat content die buiten auteursrechtelijke bescherming valt, ook vrij te gebruiken is door anderen.

Bescherming via andere routes

Waar auteursrecht ontbreekt, kunnen andere beschermingsroutes in beeld komen. Het modellenrecht beschermt het uiterlijk van producten en ontwerpen, mits het ontwerp nieuw is, een eigen karakter heeft en een modelhouder kan worden aangewezen. Voor AI-gegenereerde ontwerpen, logo's en productvormen kan dit een alternatief zijn. Bescherming als bedrijfsgeheim (zie verderop) is een andere route voor output die niet gepubliceerd hoeft te worden.

Bescherming van software

Softwarecode is auteursrechtelijk beschermd op grond van de Softwarerichtlijn (2009/24/EG) en de artikelen 45a e.v. van de Auteurswet. Zowel de broncode als de objectcode valt onder die bescherming. Voor softwarebescherming hanteert het HvJEU dezelfde maatstaf als voor andere werken: de code moet de eigen intellectuele schepping van de auteur zijn. Functionaliteit, programmeertalen en interfaces als zodanig zijn niet auteursrechtelijk beschermd (HvJEU, SAS Institute, C-406/10).

Wie bezit door AI gegenereerde code?

Als een medewerker AI-systemen gebruikt bij het schrijven van code, is de juridische eigendomsvraag afhankelijk van twee lagen: het arbeidsrecht en het auteursrecht.

Auteursrecht op software geschreven door een werknemer in de uitoefening van zijn dienstbetrekking, komt toe aan de werkgever (art. 7 Auteurswet). Dat principe geldt ongeacht of de medewerker zelf heeft gecodeerd of een AI-systeem als hulpmiddel heeft ingezet, mits de menselijke creatieve bijdrage voldoende is.

Wanneer de AI het grootste deel van de code zelfstandig genereert zonder substantiële menselijke creatieve sturing, is de beschermbaarheid van de code als auteursrechtelijk werk onzeker. De code komt in dat geval mogelijk niet voor auteursrechtelijke bescherming in aanmerking, met als gevolg dat ook anderen er gebruik van kunnen maken.

Risico van gelijkenis met bestaande code

AI-systemen die zijn getraind op bestaande codebibliotheken, kunnen code genereren die inhoudelijk lijkt op of identiek is aan bestaand auteursrechtelijk beschermd werk. Dit risico speelt vooral bij korte codefragmenten, veelgebruikte implementaties en gevallen van memorisatie door het model. Wie zulke code ongewijzigd overneemt in een commercieel product, kan inbreuk maken op de rechten van de oorspronkelijke codeauteur, ongeacht het feit dat de overeenkomst via een AI-tussenstap is ontstaan. Organisaties die AI-gegenereerde code integreren in productiesystemen, doen er verstandig aan dit risico te adresseren in hun ontwikkelbeleid.

De TDM-uitzondering

Het trainen van een AI-model vereist dat grote hoeveelheden tekst, afbeeldingen, code of andere inhoud worden verwerkt en gereproduceerd. Dat is in beginsel een reproductiehandeling die onder het auteursrecht valt. De DSM-richtlijn (Richtlijn 2019/790/EU), in Nederland geïmplementeerd in de Auteurswet, voorziet in twee uitzonderingen op dit reproductierecht voor text-and-data-mining (TDM).

Artikel 15n Auteurswet (art. 3 DSM) staat TDM toe voor non-profit wetenschappelijk onderzoek door onderzoeksorganisaties en erfgoedinstellingen. Rechthebbenden kunnen dit gebruik niet uitsluiten door middel van een opt-out.

Artikel 15o Auteurswet (art. 4 DSM) staat TDM toe voor alle doeleinden, ook commerciële, mits de gebruikte werken rechtmatig toegankelijk zijn. Rechthebbenden kunnen dit gebruik wél uitsluiten door uitdrukkelijk voorbehoud te maken, bijvoorbeeld via machineleesbare middelen zoals een robots.txt-vermelding, metadata of een expliciete clausule in de gebruiksvoorwaarden. Is zo'n voorbehoud aanwezig, dan is toestemming vereist voor het gebruik van die werken als trainingsdata.

Onzekerheid over de reikwijdte

Of de TDM-uitzondering alle vormen van AI-trainingsgebruik dekt, staat juridisch niet vast. In de EU en in meerdere lidstaten, waaronder Duitsland en Frankrijk, lopen procedures tegen aanbieders van generatieve AI-modellen over de vraag of reproductie van auteursrechtelijk beschermd materiaal voor trainingsgebruik volledig onder de bestaande TDM-uitzonderingen valt. Rechters in meerdere lidstaten buigen zich hier op dit moment over. Enkel het feit dat werken publiek toegankelijk zijn, maakt ze nog niet vrij voor trainingsgebruik als de rechthebbende een geldig opt-out voorbehoud heeft gemaakt.

Wat de AI Act hieraan toevoegt

De AI Act (Verordening (EU) 2024/1689) heeft aanvullende verplichtingen geïntroduceerd voor aanbieders van AI-modellen voor algemeen gebruik (general purpose AI, GPAI). Zij moeten: een beleid voeren dat de naleving van het EU-auteursrecht borgt, met inbegrip van de opt-out-rechten van rechthebbenden (art. 53 lid 1 sub c); en een voldoende gedetailleerde samenvatting publiceren van de inhoud die voor training is gebruikt (art. 53 lid 1 sub d). Op basis van die samenvatting kunnen rechthebbenden beoordelen of hun werken zijn gebruikt en zo nodig hun opt-out-rechten effectueren.

Dit stelt rechthebbenden beter in staat na te gaan of hun werken zijn gebruikt. Sectororganisaties en collectieve beheersorganisaties werken aan licentiestructuren voor trainingsgebruik. Hoe die zich zullen ontwikkelen, is op dit moment nog niet vastgelegd in regelgeving.

Databankrecht

Naast auteursrecht kan ook het sui-generisrecht op databanken (Databankenwet) van toepassing zijn wanneer voor het samenstellen van een dataset een substantiële investering is gedaan. Het extraheren van een substantieel deel van een beschermde databank voor trainingsgebruik is eveneens aan de TDM-uitzonderingen gebonden.

De juridische positie van de gebruiker van een AI-dienst is voor een groot deel contractueel bepaald. De gebruiksvoorwaarden van AI-diensten regelen wie rechthebbende is op de output, welke licentie de aanbieder aan zichzelf verleent op ingevoerde input, en of de input al dan niet wordt gebruikt voor verdere modeltraining.

Sommige aanbieders verlenen commerciële gebruiksrechten op de output aan de gebruiker; anderen behouden zichzelf een brede licentie. De voorwaarden kunnen per producttype verschillen: enterprise- en API-abonnementen bieden doorgaans andere garanties dan gratis of consumentenaccounts. De voorwaarden worden regelmatig gewijzigd. Een organisatie die commercieel gebruik maakt van AI-gegenereerde content, moet de actuele licentievoorwaarden van de gebruikte tool kennen en periodiek controleren. Een verwijzing naar de algemene gebruiksvoorwaarden ten tijde van de contractsluiting volstaat niet.

De Wet bescherming bedrijfsgeheimen

De Wet bescherming bedrijfsgeheimen (Wbb), in werking getreden op 23 oktober 2018 als implementatie van Richtlijn 2016/943/EU, biedt bescherming aan vertrouwelijke knowhow en bedrijfsinformatie. Een bedrijfsgeheim is beschermd van rechtswege wanneer aan drie cumulatieve voorwaarden is voldaan: de informatie is geheim (niet algemeen bekend of gemakkelijk toegankelijk binnen de relevante kringen), bezit handelswaarde door haar geheimheid, en de houder neemt redelijke maatregelen om haar vertrouwelijk te houden.

Onder de Wbb vallen algoritmen, trainingsdata van intern ontwikkelde modellen, procesmodellen, klantenbestanden, prijsstrategieën, technische specificaties en andere concurrentieel waardevolle informatie, mits aan de drie voorwaarden is voldaan. Bedrijfsgeheimen kennen geen exclusief recht (zoals een octrooi); zij beschermen uitsluitend tegen onrechtmatig verkrijgen, gebruiken en openbaarmaken.

Het risico: externe AI-diensten en vertrouwelijke input

Wanneer medewerkers bedrijfsgevoelige informatie invoeren in externe AI-diensten, kan die informatie afhankelijk van de gebruiksvoorwaarden en de technische inrichting van de dienst worden opgeslagen, verwerkt of gebruikt voor training. Dat kan op twee manieren schade veroorzaken: de informatie raakt buiten de invloedssfeer van de organisatie, en de beschermende maatregelen die de Wbb vereist, zijn niet langer aantoonbaar aanwezig als de informatie feitelijk is gedeeld met een externe partij. Wie als organisatie geen duidelijke gebruiksregels heeft voor externe AI-diensten, kan de organisatie moeite krijgen om aan te tonen dat zij redelijke geheimhoudingsmaatregelen heeft getroffen, wat een voorwaarde is voor Wbb-bescherming.

Eigen AI-modellen en trainingsdata als bedrijfsgeheim

Een intern ontwikkeld AI-model of de specifieke trainingsdata waarmee het is gefinetuned, kan zelfstandig als bedrijfsgeheim worden beschermd, mits de informatie geheim is gehouden en handelswaarde bezit door die geheimheid. Dit maakt de Wbb relevant als beschermingslaag naast (of in plaats van) auteursrecht, wanneer de codebase van het model niet auteursrechtelijk beschermbaar is of wanneer publicatie van het model niet wenselijk is.

Organisaties die AI inzetten, staan voor een aantal concrete vragen die zij juridisch moeten adresseren.

Gebruiksregels voor medewerkers: welke informatie mag in welke AI-diensten worden ingevoerd, hoe zijn de licentievoorwaarden van die tools geregeld, en is contractueel vastgelegd dat input niet wordt gebruikt voor modeltraining door de aanbieder?

Auteursrecht en content: welke menselijke creatieve bijdrage is aan de gebruikte AI-output geleverd, is die bijdrage voldoende om bescherming te rechtvaardigen, en welke licentie verleent de toolaanbieder?

Code-eigendom: wie is bij externe AI-inzet of softwareontwikkeling met AI-hulpmiddelen feitelijk de auteursrechthebbende, en welke controles worden uitgevoerd op gelijkenis met bestaande code?

Trainingsdata: als de organisatie zelf een AI-model traint of laat trainen, is gecontroleerd of de gebruikte werken rechtmatig toegankelijk zijn, of rechthebbenden een opt-out voorbehoud hebben gemaakt, en of de TDM-uitzondering in de specifieke situatie van toepassing is?

Wbb-beleid: zijn de maatregelen om bedrijfsgeheimen te beschermen bijgewerkt voor het AI-tijdperk, inclusief clausules in arbeidsovereenkomsten, NDAs met leveranciers en gebruiksregels voor externe AI-diensten?

De AI Act verplicht aanbieders van GPAI-modellen tot auteursrechtcompliance en transparantie over trainingsdata. Voor organisaties die als deployer een GPAI-systeem inzetten, scheppen die transparantieverplichtingen een basis om te beoordelen of hun rechten zijn gerespecteerd.

De AVG is relevant wanneer de trainingsdata of de AI-output persoonsgegevens bevat. Een TDM-uitzondering onder het auteursrecht dekt geen AVG-inbreuk: de twee regimes zijn onafhankelijk.

De Data Act regelt de toegang tot data die door verbonden producten worden gegenereerd. Organisaties die zulke data willen gebruiken als trainingsmateriaal, moeten zowel de rechten en verplichtingen uit de Data Act respecteren als de auteursrechtelijke regels.

Handelsgeheimbescherming via de Wbb en auteursrecht kunnen naast elkaar bestaan voor hetzelfde object. Een zelfstandig intern AI-model kan tegelijk auteursrechtelijk beschermd zijn (voor de creatieve software-elementen die menselijke inbreng bevatten) en als bedrijfsgeheim worden beschermd (voor de specifieke architectuur en de trainingsdata).

Lexent begeleidt organisaties bij het in kaart brengen van hun IP-positie in relatie tot AI: welke output is beschermbaar, welke risico's kleven aan trainingsdata en ingevoerde informatie, wie de auteursrechthebbende is op intern gegenereerde code en hoe bedrijfsgeheimen worden beschermd in AI-omgevingen. Wij stellen maatwerk juridische documentatie op: gebruiksregels voor externe AI-diensten, NDA-clausules aangepast aan AI-risico's, verwerkersovereenkomsten voor AI-leveranciers en licentiestructuren voor AI-gegenereerde content. De beoordeling en documentatie worden door onze eigen specialisten uitgevoerd, en wij werken samen met gespecialiseerde IE-advocaten waar de situatie dat vereist.

Wilt u weten hoe uw organisatie er juridisch voor staat ten opzichte van auteursrecht, trainingsdata en bedrijfsgeheimen in een AI-context? Neem contact met ons op voor een vrijblijvend gesprek.