Wie bezit je gezicht, je stem en je woorden in het tijdperk van synthetische persona’s, oftewel AI-klonen?

De opkomst van AI-klonen (realistisch ogende en klinkende AI-representaties van echte mensen) markeert een verschuiving in hoe identiteit juridisch wordt begrepen en geëxploiteerd. Waar het recht lange tijd was ingericht op fysieke verschijningsvormen van beeldmateriaal, zoals foto’s en video’s(1), worden we nu geconfronteerd met interactieve AI-klonen die nauwelijks nog van de echte persoon te onderscheiden zijn.

Dat roept verschillende vragen op. Bijvoorbeeld: welke rechten hebben wij (nog) als mens als er AI-klonen van ons zijn gemaakt? Hoe verhouden bestaande rechtsgebieden zich tot een AI-kloon? Is een AI-kloon een persoonsgegeven? Wat is de verhouding tot het portretrecht? Kan een AI-kloon auteursrechtelijk werk zijn? 
In dit blog gaan we in op een aantal aandachtspunten als het gaat om het gebruik van AI-klonen. Van portretrecht, tot aansprakelijkheid, de relatie tussen werkgever en werknemer en eigenaarschap en auteursrecht.

Aandachtspunt 1: Portretrecht en persoonsgegeven

Het portretrecht (artikelen 19-21 Auteurswet) functioneert als een open norm. De wetgever heeft bewust geen limitatieve definitie gegeven van wat een portret is; de invulling daarvan is overgelaten aan de rechtspraak en maatschappelijke ontwikkelingen. Dat maakt het portretrecht bij uitstek geschikt om nieuwe verschijningsvormen zoals AI-klonen te absorberen.

In het Nederlandse recht draait portretrecht niet om de technische aspecten, maar om herkenbaarheid. De rechtspraak heeft het portretbegrip al lang opgerekt tot ver buiten de klassieke foto of video. Lookalikes, imitaties en karikaturen vallen onder het portretrecht zodra voor het relevante publiek duidelijk is wie wordt bedoeld. Een realistische AI-kloon die doelbewust het gezicht en de stem van een bestaande persoon nabootst, past al snel binnen dat kader. Dat de kloon synthetisch is gegenereerd, doet daar juridisch weinig aan af. Het portretrecht beschermt immers niet het digitale werk, maar de persoon achter het beeld. 

Daar komt bij dat het beeld van een persoon in Europees perspectief ook wordt gezien als onderdeel van het recht op privéleven en gegevensbescherming (artikel 8 EVRM en artikelen 7 en 8 van het EU-Handvest). Mensen hebben hierdoor een aanspraak op controle over hun eigen beeld en privéleven. 

Een AI-kloon is vrijwel altijd een dubbele juridische constructie: zowel portret als persoonsgegeven. Zodra een AI-kloon herleidbaar is tot een individueel identificeerbare persoon, kan de Algemene Verordening Gegevensbescherming (AVG) namelijk ook van toepassing zijn. Artikel 4.1 AVG definieert persoonsgegevens als:

“alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon („de betrokkene”); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon”.

Maar ook hier zijn er grensgevallen, zoals ”cartoon like” avatars of alleen een nagebootste stem zonder beeld. Ten aanzien van het tweede heeft de Rechtbank Midden-Nederland in 2020 al besloten dat de stem geen voorwerp is van het portretrecht, maar wel een bijzonder persoonsgegeven (namelijk een biometrisch gegeven) in de zin van artikel 9 AVG(2). Aangezien hierop een verbod op verwerking geldt, dient er een wettelijke uitzonderingsgrond te zijn. In de context van AI klonen, zal dit in de praktijk vaak toestemming zijn, of onder de vrijheid van de artistieke uitdrukkingsvorm vallen. 

Aandachtspunt 2: Eigenaarschap en auteursrecht

Wie is vanuit het auteursrecht de “maker” van jouw AI-kloon? Is dat de organisatie die de AI-kloon heeft gefinancierd of geïnitieerd? Of is dat degene op wie de AI-kloon is gebaseerd? Of zit dat toch anders?

Het auteursrecht vereist een eigen, intellectuele schepping van een mens. AI-systemen worden (vooralsnog) niet als auteurs in die zin erkend(3). De vraag is dus: welke menselijke actoren hebben zóveel creatieve keuzes gemaakt die tot het concrete resultaat van de betreffende AI-kloon hebben geleid?

In de praktijk ligt het auteursrecht op de verschijningsvorm van een AI-kloon in principe (zoals gewoonlijk) bij degene die de creatieve keuzes heeft gemaakt waardoor de eigen, intellectuele schepping is gecreëerd. Bij een AI-kloon gaat het zelden om één “werk”: er komen veel creatieve keuzes bij kijken vanuit verschillende hoeken. Denk aan scripts, stem, uiterlijk en animaties, maar ook persoonlijkheid en “tone of voice”. Het gaat dus om een samenspel van keuzes die worden gemaakt door de designers, developers en creatives die betrokken zijn bij de ontwikkeling van de AI-kloon. Als dat werk in dienstverband wordt verricht, wijst de Auteurswet in beginsel de werkgever aan als rechthebbende, tenzij anders overeengekomen.

De geportretteerde persoon is dus niet automatisch maker, tenzij hij of zij zelf aantoonbaar substantiële creatieve keuzes heeft gemaakt in het ontwerp. Wel behoudt die persoon zijn portret- en persoonlijkheidsrechten. Tegelijk kan een werkgever gebruiksrechten verkrijgen, zeker als de digital human uitdrukkelijk in het kader van een functie is ontwikkeld. Via de arbeidsovereenkomst en aanvullende IE-/portret bepalingen kan bijvoorbeeld worden afgesproken dat de werkgever de AI-kloon mag inzetten voor bepaalde doeleinden en periodes.

Aandachtspunt 3: De werkgever-werknemerrelatie

Juist in arbeidsrelaties blijkt hoe scherp het recht grenzen stelt aan de verhandelbaarheid van identiteit. Wanneer een AI-kloon wordt ontwikkeld in het kader van een functie (bijvoorbeeld van een CEO, journalist, presentator of hoofdredacteur) heeft de werkgever doorgaans een sterke positie ten aanzien van de werknemer.

Auteursrechten op in dienstverband gemaakte werken komen namelijk in beginsel bij de werkgever te liggen, en ook gebruiksrechten kunnen contractueel ruim worden vastgelegd. Maar die ruimte is niet onbeperkt. Portretrecht, persoonlijkheidsrechten en privacy blijven fundamentele rechten van de werknemer. Zelfs bij eerdere instemming kan een werknemer zich verzetten tegen nieuw of gewijzigd gebruik als een redelijk belang wordt geschaad, bijvoorbeeld in een context waarbij de reputatie van de geportretteerde wordt ondergraaft. Waar kan het wringen? Een voorbeeld van tegengestelde belangen is wanneer de werkgever een AI-kloon van een werknemer wil inzetten voor het verkondigen van bepaalde uitingen of standpunten, waar de werknemer niet achter staat.

In zulke gevallen zijn expliciete afspraken nodig, waarbij de belangen van de werkgever en die van de werknemer tegen elkaar worden afgewogen. Daarbij moeten partijen ook vastleggen wat er gebeurt met het gebruik van de AI-kloon na beëindiging van het dienstverband. Hoe lang mag de AI-kloon nog worden ingezet? Is daar een aanvullende vergoeding voor verschuldigd, en zo ja: hoeveel? En hoe gaan partijen ermee om als de werknemer vervolgens bij een concurrent in dienst treedt?

Aandachtspunt 4: Aansprakelijkheid

Wie is verantwoordelijk voor wat een AI-kloon “zegt”? In de praktijk zal de primaire juridische verantwoordelijkheid meestal bij de partij liggen die de AI-kloon inzet, niet bij de persoon op wie de kloon is gebaseerd.

Het bedrijf dat het AI-systeem ontwikkelt, traint, exploiteert, publiceert en vervolgens profiteert van het bereik; is in het traditionele media- en aansprakelijkheidsrecht ook de partij die als eerste wordt aangesproken bij onrechtmatige uitingen. Dat geldt des te sterker als de AI-kloon (deels) zelflerend is en jij als geportretteerde geen directe zeggenschap hebt over de concrete formuleringen: dan is het lastig om vol te houden dat de geportretteerde persoonlijk voor iedere zin “instaat”.

In arbeidsrelaties komt daar nog bij dat werkgevers in beginsel aansprakelijk zijn voor schade veroorzaakt in de uitoefening van de werkzaamheden door werknemers (artikel 6:170 BW). Dat betekent niet dat persoonlijke toerekening aan een werknemer nooit kan spelen, maar wél dat de lat daarvoor hoog ligt. Juridisch wordt dan vooral gekeken naar de vraag: heb jij zelf de indruk gewekt dat deze AI-kloon namens jou spreekt, en heb je inhoudelijk een rol gespeeld in wat er wordt gezegd? Denk aan situaties waarin jij het systeem actief helpt trainen, teksten opstelt of goedkeurt, de AI-kloon als “mijn stem” neerzet en ondanks duidelijke fouten geen afstand neemt.

In zo’n geval kan een rechter in theorie concluderen dat jij medeverantwoordelijk bent voor bepaalde uitlatingen. Maar in de meeste normale situaties (waarin de AI-kloon een tool van de werkgever of opdrachtgever is, met door hen ingerichte trainingsdata, governance en eindredactie) zal de persoonlijke aansprakelijkheid beperkt zijn. Daarom is het contractueel en organisatorisch belangrijk om expliciet vast te leggen wie verantwoordelijk is voor training, prompts, controle en publicatie en een vrijwaring op te nemen voor eventuele schade die ontstaat voor de geportretteerde; dat helpt om die verantwoordelijkheid helder bij de juiste partij te beleggen.

Aandachtspunt 5: De risicoklassen onder de AI Act

De AI Act noemt AI-klonen niet expliciet, maar materieel vallen zij er wel degelijk onder zodra zij synthetische audio of video genereren van een echte persoon. Organisaties die AI-klonen inzetten, worden expliciet aangesproken op governance, toezicht en uitlegbaarheid.

Welke exacte verplichtingen dit zijn, is afhankelijk van de risicoklasse van de AI-kloon, en de rol van de organisatie onder de AI Act. De AI Act kent een risicokwalificatie van AI-systemen. AI-klonen die worden gebruikt voor de klantenservice van een webshop zullen onder de kwalificatie van laag-risico AI-systemen vallen, terwijl AI-systemen die medische diagnoses ondersteunen als hoog-risico zullen worden gekwalificeerd.

Organisaties die het onderliggende generatieve model of het complete “clone-as-a-service”-product ontwikkelen en op de markt brengen, zullen worden aangemerkt als provider (aanbieder) van het AI-systeem of AI-model. Partijen die daarentegen een bestaande clone-tool inkopen, die configureren op een specifiek persoon en vervolgens inzetten op hun eigen kanalen, zullen worden aangemerkt als deployer (gebruiker) van het AI-systeem. Vaak zie je een combinatie: de partij die de AI-kloon heeft ontwikkeld en in eigen naam op de markt heeft geplaatst is provider, het mediabedrijf is deployer, en soms bouwt een groot mediabedrijf óók zelf modellen en is het beide.

De risicoklasse van het AI-systeem en de rol van de organisaties bepalen dus de specifieke verplichtingen. Voor laag-risico AI-klonen geldt met name een transparantieverplichting: het publiek moet kunnen weten dat het te maken heeft met door AI gegenereerde of gemanipuleerde content. Die verplichting rust zowel op de provider als de deployer. Daarnaast gelden bredere eisen rond documentatie en informatieverschaffing, risicobeheer, logging, menselijke toezichtmechanismen en waarborgen tegen misleidend of schadelijk gebruik. Voor organisaties betekent dit dat een AI-kloon geen louter technisch project kan zijn, maar een juridisch en organisatorisch gereguleerde inzet moet kennen.

Voor providers van hoog-risico AI-klonen gelden aanvullende verplichtingen zoals: monitoring en risicobeheer, kwaliteitsbeheer, en het opstellen van een EU-conformiteitsverklaring. Daarnaast moeten gebruiksverantwoordelijken van hoog-risico AI-klonen onder andere menselijk toezicht inregelen, zorgen voor voldoende representatieve inputdata (voor zover mogelijk), en passende technische en organisatorische maatregelen nemen zodat de AI-kloon wordt gebruikt in overeenstemming met de bijgevoegde gebruiksaanwijzingen. 

Aandachtspunt 6: Jouw eigen gereedschapskisten tegen misbruik

De opkomst van AI-klonen gaat ook gepaard met misbruik. Zo heeft de technologie al voor ernstige inbreuken gezorgd (denk bijvoorbeeld aan deepfakes in pornografisch beeldmateriaal). Als iemand een AI-kloon namaakt, manipuleert of zonder toestemming inzet, zijn er in essentie drie juridische gereedschapskisten:

1. Allereerst kunnen mensen op grond van het portret- en privacyrecht zich verzetten tegen publicatie, en verwijdering en schadevergoeding vorderen, zeker als er reputatieschade of aantasting van je persoonlijke levenssfeer speelt.
2. Daarnaast kunnen mensen (als er auteursrecht of naburige rechten rusten op de originele AI-kloon) ook vanuit het IE-recht optreden tegen ongeoorloofd kopiëren of hergebruiken.
3. Ook blijft de algemene onrechtmatige-daadroute open bij misleidende of schadelijke deepfakes, bijvoorbeeld als de AI-kloon wordt gebruikt voor oplichting, haatcampagnes of misleidende reclame. In ernstigere gevallen (seksuele deepfakes, bedreiging, fraude) kunnen ook strafrechtelijke maatregelen genomen worden en kan er aangifte gedaan worden.
4. In het kader van deepfakes is het ten slotte nog goed om te vermelden dat er een wetsvoorstel ligt dat een naburig recht beoogt te regelen ter bescherming van personen (‘Wet naburig recht deepfakes van personen’ (4)). Als gevolg van het voorstel zou iedere artiest en ieder natuurlijk persoon alsmede diens nabestaanden het recht krijgen om het vervaardigen, gebruiken en verspreiden van deepfakes van hun stem of uiterlijk te verbieden of toe te staan. De consultatie van dit wetsvoorstel liep tot 31 december 2025.
   

Aan de andere kant is er op basis van de AI Act ook de verplichting voor organisaties die AI gebruiken om beleid op te stellen over deepfakes, labeling en gebruik van digitale persona’s. Professionele organisaties kunnen zich het dus niet meer veroorloven om géén interne policy en incidentprotocol voor AI-klonen en deepfakes te hebben.

Conclusie

AI-klonen draaien niet om één rechtsgebied, maar om een cumulatie van onder andere portretrecht, privacy, auteursrecht, arbeidsrecht en aansprakelijkheid. Juist daardoor gaat het in de praktijk vaak mis: organisaties regelen de techniek, maar niet alle juridische aspecten. Vragen over eigenaarschap, gebruiksrechten, aansprakelijkheid of het stopzetten van een AI-kloon laten zich zelden oplossen met een standaardclausule. Zij vragen om begrip van de wederzijdse belangen, duidelijke communicatie, maar ook juridisch maatwerk, strategisch advies en een goed begrip van alle relevante rechtsgebieden.

_

(1) Bijvoorbeeld HR 22 april 2022 (Verstappen/Picnic), Rb. Amsterdam 2 februari 2005 (Kijkshop/Balkenende) en Rb. Amsterdam 9 augustus 2017 (Edgar Davids/Riot Games).
(2) Rb. Midden-Nederland, 09 januari 2020, ECLI:NL:RBMNE:2020:24.
(3) Zie bijvoorbeeld de uitspraak van de Rechtbank van Praag, Tsjechië van 11 oktober 2023 (No. 10 C 13/2023-16).
(4) Te vinden op: https://www.internetconsultatie.nl/zeggenschapoverdeepfakes/b1.