Model weights lekken: juridische status van gestolen AI

Wanneer de gewichten van een propriëtair taalmodel uitlekken naar het publieke internet, ontstaat direct een complex juridisch en operationeel vacuüm. Het trainen van geavanceerde neurale netwerken vergt tientallen tot honderden miljoenen euro's aan gespecialiseerde rekenkracht, enorme datasets en maanden aan optimalisaties door onderzoeksteams. De uiteindelijke binaire bestanden — de miljarden floating-point getallen die samen de getrainde parameters vormen — vertegenwoordigen de volledige economische waarde van zo'n project. Zodra deze bestanden via torrentnetwerken of ongeautoriseerde platforms worden verspreid, kan iedereen met geschikte hardware het model lokaal draaien, aanpassen of via externe interfaces aanbieden zonder de oorspronkelijke exploitatiekosten te dragen.

De vraag dringt zich op welke juridische instrumenten ontwikkelaars en rechthebbenden ter beschikking staan wanneer dit intellectuele kapitaal ongeoorloofd op straat belandt. Valt een neuraal gewichtenbestand onder het klassieke auteursrecht, is het beschermd als bedrijfsgeheim, of biedt uitsluitend het strafrecht via computervredebreuk houvast? In dit artikel analyseren we de juridische kwalificatie van model parameters, de handhavingsmogelijkheden binnen het Europese en Nederlandse recht, en de risico's voor organisaties die overwegen gebruik te maken van gelekte gewichten.

De ontologische aard van model weights: data, code of wiskunde?

Om te bepalen welk rechtsregime van toepassing is op een modellek, moeten we eerst vaststellen wat model weights juridisch-technisch precies zijn. Een getraind neuraal netwerk bestaat uit een vaste netwerkarchitectuur (doorgaans beschreven in broncode via frameworks zoals PyTorch of JAX) en een matrix van numerieke waarden (gewichten en biases). Deze gewichten zijn het resultaat van een wiskundig optimalisatieproces waarbij een verliesfunctie over miljarden tokens aan trainingsdata wordt geminimaliseerd via gradiëntdaling. Het resulterende bestand — vaak opgeslagen in formaten als Safetensors, GGUF of checkpoints — bevat louter numerieke representaties van statistische verbanden.

In het intellectuele-eigendomsrecht wringt deze materiële werkelijkheid met bestaande categorieën. Wiskundige methoden, zuivere data en abstracte statistische correlaties zijn traditioneel uitgesloten van intellectuele-eigendomsrechten. Een gewicht op zichzelf (bijvoorbeeld 0.041829) is een numerieke variabele die geen menselijke creativiteit weerspiegelt, maar het resultaat is van geautomatiseerde berekeningen. Hierdoor kan men model weights niet zonder meer gelijkstellen aan softwarecode, hoewel de gewichten zonder runtime-engine functioneel inert zijn. De wisselwerking tussen data en programmatuur creëert een hybride entiteit die wetgevers en rechters dwingt om traditionele definities opnieuw te interpreteren.

De status van intellectueel eigendom rondom trainingsprocessen en gegenereerde structuren vormt al langer een juridisch strijdpunt. Voor een overzicht van hoe traditionele beschermingskaders zich verhouden tot trainingsdata en parametrische structuren, zie het achtergrondartikel over AI en auteursrecht in Nederland en de EU.

Het auteursrechtelijk vraagstuk rond numerieke parameters

Het klassieke auteursrecht vereist een "eigen intellectuele schepping" van de maker, wat veronderstelt dat er vrije, creatieve keuzes zijn gemaakt die de persoonlijke stempel van de auteur dragen. Bij het trainen van een model worden beslissingen genomen over de architectuur, de hyperparameter-tuning en de selectie van de trainingscorpus. De specifieke numerieke uitkomst van de weights na triljoenen optimalisatiestappen vloeit echter causaal en autonoom voort uit het trainingsalgoritme. Er is geen sprake van directe menselijke vormgeving van individuele parameters.

Daarnaast kwalificeren model weights juridisch zelden als een "computerprogramma" in de zin van de Europese Software-richtlijn (Richtlijn 2009/24/EG). Een computerprogramma bestaat uit instructies die een computer direct of indirect een bepaalde taak laten uitvoeren. Model parameters zijn geen instructiesets, maar statische data-invoer die door de inference-engine (zoals llama.cpp of vLLM) wordt ingelezen om matrixvermenigvuldigingen uit te voeren. Zonder afzonderlijke softwarecode kan een gewichtenbestand zichzelf niet executeren. Hierdoor ontbreekt in veel Europese rechtsstelsels de basis voor directe software-auteursrechtelijke bescherming van het gewichtenbestand zelf.

Een mogelijke uitzondering betreft het databankenrecht (Richtlijn 96/9/EG). Een partij die aantoont dat er een substantiële kwalitatieve of kwantitatieve investering is gedaan in de verkrijging, controle of presentatie van de inhoud van een databank, geniet een sui-generisrecht. Het is echter omstreden of een matrix van gewichten kwalificeert als een geordende verzameling van "zelfstandige elementen". De parameters werken uitsluitend als één ondeelbaar wiskundig geheel; een individueel gewicht heeft los van de omringende matrix geen zelfstandige informatieve waarde. Rechthebbenden stuiten hierdoor op aanzienlijke juridische hindernissen wanneer zij zich exclusief op het databankenrecht beroepen.

Bedrijfsgeheimen en de Wet bescherming bedrijfsgeheimen (Wbb)

Omdat het auteursrecht en het databankenrecht substantiële juridische gaten vertonen bij de kwalificatie van parameters, vormt de bescherming van bedrijfsgeheimen de primaire civielrechtelijke verdedigingslinie. Onder de Europese Richtlijn Bedrijfsgeheimen (Richtlijn (EU) 2016/943), in Nederland geïmplementeerd in de Wet bescherming bedrijfsgeheimen (Wbb), geniet informatie bescherming wanneer deze aan drie cumulatieve voorwaarden voldoet:

1. De informatie is geheim: zij is in haar geheel noch in de juiste samenstelling algemeen bekend of gemakkelijk toegankelijk voor personen binnen de kringen die zich gewoonlijk met dit type informatie bezighouden.
2. De informatie bezit commerciële waarde juist omdat zij geheim is.
3. De houder heeft redelijke maatregelen genomen om de informatie geheim te houden.

Bij propriëtaire modellen die uitsluitend via beveiligde API-interfaces worden aangeboden, voldoen de weights in beginsel aan deze voorwaarden. De commerciële waarde is evident door de substantiële investeringen in compute en de marktpositie van het model. Zodra een kwaadwillende insider, een gecompromitteerde hostingpartner of een externe aanvaller de bestanden ontvreemdt en publiceert, is er sprake van een onrechtmatige verkrijging, openbaarmaking of gebruik in de zin van artikel 2 van de Wbb.

Het zwakke punt van de bescherming als bedrijfsgeheim treedt echter op zodra de informatie breed op het publieke internet circuleert. Eenmaal wijdverspreid verliest de informatie haar geheime karakter. Hoewel de oorspronkelijke lekpleger of dief aansprakelijk blijft voor de geleden schade, wordt handhaving tegen derden die de bestanden simpelweg downloaden van openbare netwerken uiterst complex. Derden kunnen immers aanvoeren dat zij te goeder trouw handelden of dat de status van "geheim" juridisch is verdampt door de ongecontroleerde publieke beschikbaarheid.

Strafrechtelijke kwalificatie: diefstal versus computervredebreuk

In het strafrecht leidt het ongeoorloofd kopiëren van digitale bestanden historisch tot interpretatieverschillen. In het klassieke Nederlandse strafrecht vereist diefstal (artikel 310 Wetboek van Strafrecht) het "wegnemen" van een "enig goed" dat aan een ander toebehoort, met het oogmerk van wederrechtelijke toe-eigening. Wanneer bestanden digitaal worden gekopieerd zonder dat het origineel bij de eigenaar verdwijnt, is er strikt juridisch geen sprake van wegnemen in fysieke zin. De Hoge Raad heeft in jurisprudentie (zoals het Runescape-arrest) virtuele goederen onder specifieke voorwaarden als 'goed' aangemerkt, maar bij het louter kopiëren van gegevens blijft diefstal een lastig hanteerbaar artikel.

Om deze reden verloopt strafrechtelijke vervolging bij data-exfiltratie van weights vrijwel altijd via de delicten rond computervredebreuk en datamanipulatie:

• Computervredebreuk (art. 138ab Sr): Het opzettelijk en wederrechtelijk binnendringen in een geautomatiseerd werk met behulp van een valse sleutel, een valse hoedanigheid of het doorbreken van een beveiliging.
• Onrechtmatige overname van data (art. 138c Sr): Het opzettelijk en wederrechtelijk overnemen, aftappen of opnemen van gegevens die niet voor de dader bestemd zijn en die zijn opgeslagen of worden verwerkt in een geautomatiseerd werk.
• Schending van bedrijfsgeheimen (art. 273 Sr): Het opzettelijk mededelen van gegevens waarvan men weet of redelijkerwijs moet vermoeden dat men uit hoofde van zijn staat, beroep of ambt tot geheimhouding daarvan verplicht is.

De technische kwetsbaarheden en aanvalsvectoren die tot dergelijke datalekken leiden, sluiten nauw aan bij de algemene dreigingslandschappen in AI-systemen. Zie voor een verdieping van deze aanvalsmechanismen het artikel over AI en cybersecurity in het hedendaagse dreigingslandschap.

Vergelijking van juridische kaders bij modellekken

Om inzichtelijk te maken hoe de verschillende rechtsgebieden reageren op een ongeautoriseerde exfiltratie en verspreiding van model weights, vergelijkt de onderstaande tabel de belangrijkste juridische routes, hun vereisten en hun praktische handhavingsbeperkingen.

Het downstream dilemma: aansprakelijkheid van gebruikers en hosters

Wanneer een gelekt model openbaar beschikbaar komt, rijst voor bedrijven en softwareontwikkelaars de vraag of zij deze gewichten mogen downloaden, lokaal draaien, fijnslijpen (fine-tunen) of commercieel inzetten. Het downloaden van data waarvan men weet of redelijkerwijs behoort te weten dat deze afkomstig is van een misdrijf of een onrechtmatige daad brengt aanzienlijke risico's met zich mee.

Civielrechtelijk kunnen rechthebbenden stellen dat wie willens en wetens gebruikmaakt van een gelekt bedrijfsgeheim, handelt in strijd met de maatschappelijke betamelijkheid (onrechtmatige daad conform artikel 6:162 Burgerlijk Wetboek) dan wel direct inbreuk maakt op artikel 2 lid 2 Wbb. Bedrijven die gelekte gewichten integreren in hun operationele software riskeren rechterlijke dwangbevelen tot vernietiging van de afgeleide modellen, staking van de dienstverlening en vergoeding van geleden schade en winstderving.

Bij het inrichten van enterprise software is het licentiematig onderscheid tussen officiële open-weights distributies en illegitieme lekken van fundamenteel belang. Voor inzicht in de juridische voorwaarden van legitieme distributies, zie het dossier over commerciële gebruiksrechten bij open modellen. Ook binnen de open gemeenschap bestaat een strikt onderscheid tussen formele licenties en ongeautoriseerde publicaties, zoals nader uiteengezet in het overzicht van het licentiedebat rond open-weights modellen.

Voor hostingproviders en platformen zoals Hugging Face of GitHub geldt het regime van de Digital Services Act (DSA). Zodra zij een gemotiveerde melding (Notice-and-Action) ontvangen dat een gehost repository gestolen intellectueel eigendom of een onrechtmatig verkregen bedrijfsgeheim bevat, moeten zij prompt overgaan tot verwijdering of het blokkeren van de toegang om hun vrijwaring tegen aansprakelijkheid te behouden.

Compliance met de EU AI Act bij gebruik van ongeautoriseerde modellen

Naast civiele en strafrechtelijke aspecten introduceert de Europese regelgeving bestuursrechtelijke risico's voor organisaties die werken met gelekte modellen. Onder de Europese AI-verordening gelden specifieke verplichtingen voor aanbieders (providers) en gebruikers (deployers) van AI-systemen, met name rondom transparantie, documentatie en risicobeheer.

Wie een gelekt model downloadt en herverpakt als een commerciële toepassing, wordt onder de AI Act veelal aangemerkt als de formele aanbieder (provider) van dat systeem. Dit brengt zware verplichtingen met zich mee:

• Technische documentatie: De aanbieder moet gedetailleerde technische documentatie kunnen overleggen over het trainingsproces, de gebruikte datasets en de evaluatiemethoden. Bij een gelekt model ontbreken deze gegevens vrijwel altijd, waardoor compliance onmogelijk wordt.
• Auteursrechtelijke compliance van trainingsdata: Artikel 53 van de AI Act verplicht aanbieders van General Purpose AI (GPAI) modellen om een gedetailleerde samenvatting van de gebruikte trainingsdata te publiceren. Een downstream gebruiker van een gelekt model kan hieraan niet voldoen.
• Cybersecurity en robuustheid: Zonder inzicht in de herkomst kan de integriteit van de weights niet worden gegarandeerd. Er bestaat een reëel risico dat de gelekte bestanden opzettelijk zijn gemanipuleerd (backdoors of data poisoning).

Het overnemen van ongeverifieerde en gelekte modellen botst direct met de verplichtingen rondom conformiteitsbeoordelingen. Meer context over de gefaseerde invoering en werking van deze wetgeving is te vinden in de analyse van de EU AI Act op hoofdlijnen.

Digitale forensica: watermerken en fingerprinting in gewichten

Een van de grootste operationele uitdagingen voor gedupeerde modelbouwers is het bewijzen dat een extern draaiend model of een commerciële API daadwerkelijk is gebaseerd op hun gelekte gewichten. Model weights kunnen immers worden gekwantiseerd (bijvoorbeeld van 16-bit float naar 4-bit precisie), gefinetuned op nieuwe data, of gedistilleerd in een kleiner student-model, waardoor de ruwe numerieke waarden wijzigen.

Om deze bewijslast te verlichten, zetten laboratoria geavanceerde traceertechnieken in:

# Conceptueel voorbeeld van parametrische verificatie via trigger-sets
def verify_model_weights_provenance(model_api_endpoint, canary_inputs, expected_signatures):
    """
    Verifieert of een model verdachte sporen vertoont van een specifieke 
    gewichtenoorsprong via deterministische 'canary' input-output combinaties.
    """
    matches = 0
    for prompt, expected_signature in zip(canary_inputs, expected_signatures):
        response = model_api_endpoint.generate(prompt, temperature=0.0)
        if expected_signature in response:
            matches += 1
            
    confidence_score = matches / len(canary_inputs)
    return {
        "is_unauthorized_copy": confidence_score > 0.95,
        "confidence": confidence_score
    }

Deze methoden vallen grofweg uiteen in twee categorieën:

1. Structurele parameter-watermerken: Het subtiel manipuleren van specifieke matrixwaarden tijdens de training zonder dat dit ten koste gaat van de modelkwaliteit. Deze watermerken kunnen wiskundig worden uitgelezen als de ruwe bestanden in beslag worden genomen.
2. Gedragsmatige fingerprinting (Canary-injecties): Het opnemen van unieke, zeldzame prompt-respons-koppelingen in de trainingsdata. Wanneer een extern draaiend model bij extreem specifieke zinnen exact dezelfde willekeurige reeks tokens genereert, levert dit voor de rechtbank overtuigend statistisch bewijs van ongeoorloofde overname.

De toekomst van het juridisch kader rond AI-assets

De huidige situatie toont aan dat het traditionele intellectuele-eigendomsrecht slecht is toegerust op de materiële realiteit van machine learning. Omdat model weights noch zuivere software, noch klassieke databanken, noch traditionele auteursrechtelijke werken zijn, ontstaat een sterke afhankelijkheid van bedrijfsgeheimen en strafrechtelijke bepalingen. Deze instrumenten functioneren redelijk zolang bestanden intern blijven, maar schieten tekort zodra een lek leidt tot wereldwijde decentralisatie via peer-to-peer protocollen.

In de komende jaren zullen wetgevers en rechters moeten bepalen of er behoefte is aan een nieuw, specifiek vermogensrecht voor getrainde neurale modellen (een sui generis modelrecht), vergelijkbaar met de historische ontwikkeling van het chips- en kwekersrecht. Tot die tijd opereren organisaties die gebruikmaken van gelekte gewichten in een uiterst riskant schemergebied, waarin civielrechtelijke aansprakelijkheid, verlies van intellectueel eigendom over afgeleide producten en zware bestuursrechtelijke sancties onder de AI Act samenkomen.