Responsabilidade da IA ​​nos Países Baixos: quem é o responsável quando a inteligência artificial comete um erro?

Na Holanda, a responsabilidade por IA não é regida por uma lei específica. Quando um sistema de IA causa danos, a responsabilidade é atribuída pelas normas comuns do direito civil holandês: o contrato entre as partes, a responsabilidade por violação contratual imputável nos termos do Artigo 6:74 do Código Civil, a responsabilidade civil extracontratual nos termos do Artigo 6:162, a responsabilidade por serviços auxiliares e por objetos inadequados utilizados na execução do serviço, e o regime de responsabilidade pelo produto nos Artigos 6:185 a 6:193. A Lei de IA da UE impõe deveres e multas de direito público aos fornecedores e implementadores, mas não confere à vítima o direito a uma indemnização.

Esse é o ponto de partida prático, e explica por que a maioria das disputas sobre responsabilidade por IA na Holanda são decididas com base no contrato e no dever de cuidado, e não em aspectos específicos da tecnologia. Este guia define qual parte está sujeita a responsabilidade em cada situação, o que muda com a implementação da Diretiva de Responsabilidade por Produtos revisada, o que a Lei de IA acrescenta e o que não acrescenta após o adiamento acordado em 2026, e como um tribunal holandês lida com o problema probatório criado por um sistema de autoaprendizagem.

As bases jurídicas holandesas que se aplicam na prática

Não existe uma lei holandesa específica sobre responsabilidade civil em inteligência artificial, nem uma lei europeia equivalente. O que existe é um conjunto de regras gerais que foram elaboradas para outras situações e que os tribunais agora aplicam à inteligência artificial. Saber qual delas se aplica ao seu caso determina quem você pode processar, o que você precisa provar e quanto pode receber de indenização.

• Violação contratual imputável (Artigo 6:74 do Código Civil)O procedimento usual ocorre quando as partes têm um acordo: o fornecedor prometeu um sistema com determinadas características e não as entregou, ou o responsável pela implementação o utilizou fora dos parâmetros acordados.
• Responsabilidade por auxiliares (Artigo 6:76)Uma parte que utiliza outra pessoa para cumprir uma obrigação é responsável por essa pessoa como se fosse responsável por si mesma. Isso é relevante quando um fornecedor de IA subcontrata o desenvolvimento ou a hospedagem de modelos.
• Responsabilidade por objetos inadequados utilizados na execução (Artigo 6:77)Se um objeto usado para cumprir uma obrigação for inadequado para esse fim, a falha resultante é atribuída ao devedor, a menos que a atribuição seja desarrazoada nas circunstâncias. Esta é a disposição legal segundo a qual um hospital ou uma empresa de contabilidade podem ser responsabilizados por uma ferramenta defeituosa que utilizaram, e a exceção é mais restrita do que os réus costumam supor.
• Responsabilidade civil (Artigo 6:162)O procedimento aplica-se a todos os que não fazem parte do contrato: o paciente lesionado, o candidato a emprego rejeitado, o utente da via pública. O requerente deve demonstrar a existência de um ato ilícito, a imputação da culpa, o dano, o nexo de causalidade e a relatividade do fato.
• Responsabilidade dos empregados e dos contratados não subordinados (Artigos 6:170 e 6:171)Uma organização responde pelos erros das pessoas que trabalham para ela, inclusive nos casos em que um funcionário confiou acriticamente no resultado de uma máquina.
• Responsabilidade pelo produto (Artigos 6:185 a 6:193)Responsabilidade objetiva do produtor por um produto defeituoso, sem necessidade de comprovação de culpa. A questão de se o software puro se qualifica como produto segundo o texto atual é controversa, e é precisamente isso que a diretiva europeia revista visa resolver.

Além disso, um sistema de IA que processa dados pessoais está sujeito ao RGPD. O Artigo 22 restringe decisões baseadas exclusivamente em processamento automatizado que produzam efeitos jurídicos ou que afetem significativamente uma pessoa de forma similar, e o Artigo 82 confere um direito específico à indenização por danos materiais e imateriais causados ​​por uma infração. Na prática, um demandante com uma alegação de proteção de dados frequentemente a apresenta juntamente com a ação por responsabilidade civil extracontratual, pois, dessa forma, o controlador passa a ter um ônus de responsabilidade demonstrável.

Comece pelo contrato, pois é aí que o risco é alocado.

Entre empresas, a resposta para a questão de quem é responsável por um erro de IA geralmente é definida no contrato muito antes de qualquer problema ocorrer. A legislação holandesa concede às partes ampla liberdade para alocar esse risco, e os fornecedores de IA a utilizam: os termos padrão normalmente descrevem o resultado como indicativo, excluem a adequação a uma finalidade específica, limitam a responsabilidade às taxas pagas durante um período limitado e excluem totalmente os danos consequentes.

Essas cláusulas se mostram válidas com mais frequência do que os clientes esperam, mas nem sempre. Uma cláusula de exclusão pode ser anulada quando a sua aplicação for inaceitável segundo os padrões de razoabilidade e equidade previstos no Artigo 6:248 do Código Civil, e os tribunais holandeses aplicam esse critério com maior frequência quando o dano foi causado por imprudência deliberada ou por um ato equivalente por parte do fornecedor ou de sua administração. Em relações regidas por termos e condições gerais, uma cláusula também pode ser anulável por ser excessivamente onerosa, nos termos do Artigo 6:233, e os consumidores gozam da proteção adicional das listas legais nos Artigos 6:236 e 6:237.

As cláusulas que decidem casos reais são mais prosaicas do que o limite de responsabilidade. O que o fornecedor garantiu em relação à precisão, aos dados de treinamento e aos testes de viés? Quem é responsável por validar os resultados antes de qualquer ação ser tomada? Qual parte detém os registros e por quanto tempo eles são mantidos? Existe a obrigação de notificar a degradação no desempenho do modelo? O fornecedor se compromete a manter o sistema em conformidade com a Lei de Inteligência Artificial e quem arca com os custos caso isso não aconteça? Um contrato de IA negociado que responda a essas perguntas vale mais do que qualquer cláusula sobre o valor de indenizações.

Quando o implementador é um profissional que atua em nome de clientes, existe uma segunda camada. Uma empresa que utiliza uma ferramenta de IA na prestação de seus próprios serviços permanece responsável perante o cliente pelo resultado, e o Artigo 6:77 do Código Civil estabelece que a inadequação da ferramenta é, em princípio, atribuída à empresa, e não ao cliente. A transferência desse risco de volta para o fornecedor depende inteiramente do contrato de fornecimento, razão pela qual os dois conjuntos de termos devem ser interpretados em conjunto.

O dever de cuidado de uma organização que implementa IA

Fora do âmbito contratual, a responsabilidade depende de a organização ter agido com o devido cuidado na implementação da tecnologia. Os tribunais holandeses avaliam isso da mesma forma que avaliam qualquer dever de cuidado: qual a probabilidade do dano, qual a sua gravidade, qual o nível de ônus das precauções e o que o estado da técnica permitia. Aplicado à IA, um padrão reconhecível emergiu na prática.

• Adequado para o uso real. Um sistema validado para uma população, conjunto de dados ou jurisdição não é automaticamente adequado para outra. Implantá-lo fora das condições em que foi testado é uma violação clássica do dever de cuidado.
• Supervisão humana significativa. A pessoa que revisa o resultado deve ter as informações, o tempo e a autoridade para se desviar dele. A supervisão que existe apenas no papel, onde o revisor aprova centenas de resultados por hora, não oferece nenhuma proteção.
• Monitoramento após a implantação. O desempenho dos modelos se altera conforme o mundo muda. Uma organização que nunca mede a precisão após a entrada em operação não pode demonstrar que foi cuidadosa.
• Transparência para com a pessoa afetada. Informar as pessoas de que a IA foi usada e como foi usada é uma obrigação da Lei de IA em casos específicos e também um fator determinante para que um tribunal considere a conduta ilegal.
• Documentação. Registros, histórico de versões, resultados de testes e as razões para aceitar ou ignorar uma saída. Sem eles, a organização não pode refutar a alegação, independentemente do que realmente aconteceu.

O princípio inverso também se aplica. Uma organização que ignora um resultado correto da IA, ou que desconsidera um aviso gerado pelo sistema, fica sujeita à mesma responsabilidade. A questão nunca é se a IA foi usada, mas sim se o processo de tomada de decisão em torno dela foi sólido.

Responsabilidade pelo produto: as regras atuais e as regras a partir de dezembro de 2026

De acordo com o regime holandês vigente, nos artigos 6:185 a 6:193 do Código Civil, o produtor de um produto defeituoso é responsável por morte, lesões corporais e danos a bens destinados ao uso privado, sem que a parte lesada precise comprovar culpa. Um produto é considerado defeituoso se não oferecer a segurança que uma pessoa tem o direito de esperar, levando em consideração sua apresentação, o uso razoavelmente esperado e o tempo em que foi colocado em circulação. A parte lesada deve comprovar o defeito, o dano e o nexo causal. As ações estão sujeitas a um prazo prescricional de três anos, a contar do conhecimento do dano, do defeito e do produtor, e prescrevem, em qualquer caso, dez anos após o produto ter sido colocado em circulação.

A fragilidade desse regime para IA é estrutural. Ele foi concebido para bens tangíveis, não está claro se um software independente se qualifica como produto, e um sistema que altera seu comportamento após ser colocado em circulação não se encaixa bem com um defeito avaliado no momento da circulação.

A Diretiva (UE) 2024/2853 relativa à responsabilidade por produtos defeituosos, adotada em 23 de outubro de 2024, substitui a diretiva de 1985 e responde à maioria dessas objeções. O software, incluindo sistemas de IA, é expressamente um produto. O círculo de partes responsáveis ​​é alargado, passando do fabricante para os importadores, representantes autorizados, prestadores de serviços de distribuição e, em casos específicos, uma parte que modifique substancialmente um produto já comercializado. A presença de defeitos pode ser avaliada tendo em conta os efeitos da aprendizagem após a implementação e a capacidade de fornecer atualizações. O limiar para danos materiais desaparece e os danos indenizáveis ​​incluem expressamente a destruição ou corrupção de dados e danos psicológicos reconhecidos pela medicina. Crucialmente para a IA, um tribunal pode ordenar a divulgação das provas que o arguido detém, e aplicam-se presunções refutáveis ​​de defeito e de causalidade quando a complexidade técnica ou científica torna a comprovação excessivamente difícil para o demandante.

Os Estados-Membros devem transpor a diretiva até 9 de dezembro de 2026, sendo esta aplicável aos produtos colocados no mercado após essa data. O projeto de lei de implementação neerlandês, que altera os Livros 6 e 7 do Código Civil, foi submetido à Câmara dos Representantes (Tweede Kamer) em março de 2026 e ainda não foi aprovado; a entrada em vigor será fixada por decreto real. Até lá, os artigos 6:185 a 6:193 continuam a vigorar, e os produtos já comercializados quando as novas regras entrarem em vigor permanecem sob o regime anterior. Por outras palavras, durante vários anos os dois sistemas funcionarão em paralelo e a data de lançamento de um sistema no mercado determinará qual deles se aplica.

O que a Lei de Inteligência Artificial faz e o que ela não faz

A Lei de Inteligência Artificial, Regulamento (UE) 2024/1689, é uma legislação sobre segurança de produtos e fiscalização de mercado. Ela classifica os sistemas por risco, proíbe completamente um pequeno número de práticas, impõe obrigações de projeto, documentação, governança de dados, supervisão humana, precisão e monitoramento pós-comercialização aos fornecedores de sistemas de IA de alto risco , adiciona obrigações de transparência mais leves para sistemas que interagem com pessoas ou geram conteúdo sintético e estabelece regras separadas para modelos de IA de uso geral. A violação é punida pelas autoridades de supervisão por meio de multas administrativas. Ela não cria um direito à indenização, e uma vítima que deseje reparação de danos ainda precisa apresentar uma ação judicial de acordo com o Código Civil.

Dito isso, a Lei de IA é de grande importância para a responsabilidade civil, pois fornece o padrão escrito pelo qual um tribunal avalia o dever de cuidado. Uma organização que ignorou uma obrigação de documentação, supervisão ou monitoramento, à primeira vista, não atende ao padrão que um implementador cuidadoso deve cumprir. As evidências de conformidade funcionam na direção oposta com igual força: o arquivo técnico, os registros de gerenciamento de riscos e os logs são exatamente o que um réu precisa quando a ação judicial é instaurada.

O cronograma foi alterado em 2026 e é importante mencioná-lo com precisão, pois o planejamento de conformidade foi baseado nas datas originais. O regulamento entrou em vigor em 1º de agosto de 2024. As práticas proibidas e a obrigação de alfabetização em IA são aplicáveis ​​desde 2 de fevereiro de 2025, e as regras sobre modelos de IA de uso geral, governança e penalidades desde 2 de agosto de 2025. A maior parte do regulamento tornou-se aplicável em 2 de agosto de 2026. No âmbito do pacote de simplificação que o Conselho aprovou em definitivo em 29 de junho de 2026, as obrigações para sistemas autônomos de alto risco listados no Anexo III foram adiadas para 2 de dezembro de 2027, e as para sistemas de alto risco incorporados em produtos já sujeitos à legislação de produtos da UE, para 2 de agosto de 2028. O prazo para os ambientes de teste regulatórios (sandboxes) foi prorrogado para 2 de agosto de 2027, o período de tolerância para as regras de transparência de conteúdo foi reduzido e novas proibições sobre material de abuso sexual infantil gerado por IA e imagens íntimas não consensuais foram adicionadas.

O adiamento não é revogação. As proibições, os deveres de transparência e as regras modelo de propósito geral continuam em vigor, e as obrigações de alto risco adiadas descrevem condutas que um tribunal já pode considerar como o padrão de cuidado aplicável. As organizações que suspenderem seus programas até 2027 descobrirão que a lei civil as alcançou primeiro.

Na Holanda, a supervisão está sendo organizada por meio de uma lei de implementação separada. A proposta atribui à Autoridade Holandesa de Proteção de Dados (Autoriteit Persoonsgegevens) e à Autoridade Holandesa para Infraestrutura Digital (Rijksinspectie Digitale Infrastructuur) um papel de coordenação, com um conjunto de supervisores setoriais já existentes mantendo a supervisão em suas respectivas áreas. Essa lei ainda não havia entrado em vigor no momento da redação deste texto. Como a Lei de IA é um regulamento, ela se aplica diretamente; o que ainda falta é um arcabouço nacional de fiscalização e sanções.

O problema das provas e como o processo holandês o resolve.

A parte mais difícil de uma ação judicial por responsabilidade civil relacionada à IA quase nunca é a fundamentação jurídica. O desafio reside em provar que foi esse sistema, e não o humano que o utilizou ou uma causa não relacionada, que causou o dano. Um modelo opaco, que foi retreinado após o incidente e cujos registros foram mantidos por trinta dias, representa uma barreira probatória para o demandante.

A resposta europeia seria uma inversão do ônus da prova. A proposta da Comissão para uma Diretiva de Responsabilidade em IA, apresentada em setembro de 2022, teria introduzido uma presunção de causalidade e o direito de exigir a divulgação de provas sobre sistemas de alto risco. Essa proposta nunca chegou a um acordo e a Comissão a retirou formalmente, publicando a retirada no Jornal Oficial em outubro de 2025. Nada a substituiu e nenhuma nova proposta foi adotada.

O que resta são os instrumentos processuais nacionais e as presunções da Diretiva de Responsabilidade por Produtos Defeituosos revisada. O processo civil holandês já permite que uma parte solicite a inspeção de documentos específicos detidos por outra parte, nos termos do Artigo 843a do Código de Processo Civil, e que peça ao tribunal a nomeação de um perito ou a realização de um exame pericial preliminar. Na prática, um pedido de divulgação de registros, versões de modelos, relatórios de validação e registros de incidentes, formulado de maneira precisa e antecipada, contribui mais para a ação do que qualquer argumento sobre o ônus da prova. Do ponto de vista da defesa, o mesmo princípio se aplica na direção oposta: uma organização que não consegue apresentar esses registros verá o tribunal tirar conclusões a partir da sua ausência.

A política de retenção é, portanto, uma questão de responsabilidade, e não apenas de TI. Nos casos em que a Lei de Inteligência Artificial (AI Act) se aplica, os fornecedores e implementadores de sistemas de alto risco devem manter os registros gerados automaticamente por um período mínimo definido. Nos casos em que não se aplica, os prazos de prescrição da ação judicial subjacente são o melhor guia, e trinta dias não são suficientes.

Como isso se reflete nos setores onde é mais importante?

Na área da saúde, um sistema de apoio ao diagnóstico não exime o profissional de saúde da responsabilidade. A relação terapêutica permanece com o prestador de cuidados, conforme o contrato de tratamento médico previsto nos artigos 7:446 e seguintes do Código Civil, e o padrão exigido é o de um profissional razoavelmente competente. Quando a própria ferramenta for inadequada, o artigo 6:77 atribui a responsabilidade ao prestador de cuidados, a menos que tal atribuição seja desarrazoada, e a jurisprudência sobre dispositivos médicos defeituosos demonstra que a exceção é aplicada de forma restritiva. O software que se qualifica como dispositivo médico acarreta obrigações próprias, além das previstas na Lei de Inteligência Artificial, de acordo com o Regulamento de Dispositivos Médicos.

Recrutamento e RH. Um sistema de seleção que filtra candidatos é considerado de alto risco pela Lei de Inteligência Artificial e está claramente abrangido pela legislação de igualdade de tratamento. A discriminação indireta por meio de uma variável proxy é ilegal, mesmo quando não houve intenção, um ponto abordado em nosso artigo sobre responsabilidade por viés algorítmico , e o empregador, não o fornecedor, é quem enfrenta o candidato. O Artigo 22 do GDPR limita a rejeição puramente automatizada, e o conselho de trabalhadores tem poder de decisão sobre a implementação de sistemas utilizados para monitorar ou avaliar funcionários.

Trânsito rodoviário. A legislação holandesa já prevê uma regra de responsabilidade objetiva que se aplica independentemente do nível de automação. De acordo com o Artigo 185 da Lei de Trânsito Rodoviário de 1994 (Wegenverkeerswet 1994), o proprietário ou detentor de um veículo motorizado é responsável pelos danos causados ​​a usuários desprotegidos da via pública em uma colisão, a menos que haja força maior, e a jurisprudência estabelece essa defesa com grande força. Além disso, o condutor pode ser responsabilizado por ato ilícito e o fabricante pelas normas de responsabilidade do produto, caso o sistema apresente defeito. A automação altera o equilíbrio entre essas duas vertentes; ela não elimina a primeira.

Serviços financeiros. Uma instituição que utiliza modelos para avaliação de crédito, monitoramento de transações ou consultoria permanece sujeita ao dever de diligência previsto na Lei de Supervisão Financeira (Wet op het financieel toezicht) e à supervisão dos órgãos reguladores. Falhas na governança dos modelos são tratadas como falhas de governança da instituição, e não do fornecedor.

Conteúdo e comunicações. Os sistemas generativos criam uma exposição de um tipo diferente: violação de direitos de propriedade intelectual, conteúdo difamatório ou enganoso e publicação de dados pessoais. A responsabilidade, neste caso, segue as regras comuns para a parte que publica, e o fato de o texto ter sido produzido por uma máquina não constitui defesa; nosso artigo sobre responsabilidade por conteúdo gerado por IA detalha essa posição.

Reduzir sua exposição antes que algo dê errado

A maior parte das medidas de proteção de uma organização precisa estar implementada antes do incidente, pois consiste em documentos que não podem ser criados de forma confiável posteriormente.

• Mapeie onde a IA é efetivamente utilizada. A maioria das organizações subestima isso, porque as ferramentas chegam incorporadas ao software que a empresa já licencia. Classifique cada uso de acordo com a Lei de Inteligência Artificial e registre o raciocínio.
• Reescreva os contratos. Aborde explicitamente as garantias de precisão, a proveniência dos dados de treinamento, os testes de viés, as obrigações de atualização, a conformidade com a Lei de IA, a propriedade e retenção de registros, os direitos de auditoria, a notificação de incidentes e a interação entre o limite do fornecedor e sua própria exposição aos clientes.
• Projete a supervisão humana de forma que ela seja real. Forneça ao revisor as informações, o tempo e a autonomia para discordar e registre quando isso acontecer.
• Registre deliberadamente. Decida o que será armazenado, por quanto tempo e por quem, e alinhe isso aos prazos de validade, em vez de ao custo de armazenamento.
• Teste de viés e deriva em um cronogramaE mantenha os resultados mesmo quando forem desfavoráveis. Um problema documentado que foi resolvido é uma situação muito melhor do que um problema não documentado que não foi resolvido.
• Verifique o seguro. Os seguros de responsabilidade civil profissional e de responsabilidade civil geral não foram concebidos para sistemas autônomos. Pergunte à seguradora por escrito se uma reclamação decorrente de uma decisão apoiada por IA está coberta e guarde a resposta.

Perguntas frequentes sobre a responsabilidade da IA

Conselhos sobre responsabilidade da IA Law and More

A situação jurídica em relação à responsabilidade por IA é mais consolidada do que o debate sugere. Não há lacunas na legislação holandesa: o contrato, o dever de cuidado, as normas sobre acessórios e objetos inadequados, e o regime de responsabilidade por produtos já abrangem o tema, e a Diretiva de Responsabilidade por Produtos revisada resolve as questões restantes sobre software a partir de dezembro de 2026. O que muda não é se você pode ser responsabilizado, mas sim a facilidade com que um reclamante pode provar a responsabilidade e quanta documentação sua será usada contra você.

Law and More Assessoramos fornecedores e usuários de sistemas de IA exatamente nesses pontos. Analisamos e negociamos contratos de IA e software, avaliamos a enquadramento de uma implementação sob a Lei de IA e o que isso significa para sua obrigação de diligência, estabelecemos governança e registro de dados que resistam a processos judiciais e atuamos a favor e contra partes em disputas sobre danos causados ​​por decisões automatizadas. Se você está implementando um sistema de IA ou enfrentando uma reclamação relacionada a um, entre em contato conosco. Direito de TI equipe e nós vamos analisar a exposição com você.