وقتی نرم‌افزار «کالا» می‌شود؛ قانون جدید مسئولیت ناشی از کالا در آلمان و هوش مصنوعی
اگر دستیار هوشمند یک خودرو در لحظه حساس خطا کند، اگر ربات خانگی به کودکی آسیب بزند یا عامل هوش مصنوعی پرونده‌های شخصی کاربری را پاک کند، زیان‌دیده باید سراغ چه کسی برود و چه چیزی را ثابت کند؟ پاسخ سنتی حقوق ما این است که باید تقصیر کسی را اثبات کرد؛ اما در دنیایی که رفتار یک سامانه یادگیرنده حتی برای سازنده‌اش هم همیشه قابل پیش‌بینی نیست، اثبات تقصیر برای مصرف‌کننده عملاً به معنای بسته شدن در دادگاه است. به نظر من پرسش اصلی امروز این نیست که آیا هوش مصنوعی خسارت می‌زند یا نه؛ پرسش این است که آیا نرم‌افزار را باید مانند یک «کالا» دید و سازنده‌اش را، مانند سازنده یک دستگاه برقی، بدون نیاز به اثبات تقصیر مسئول دانست.
اروپا به این پرسش پاسخ مثبت داده است. دستورالعمل جدید مسئولیت ناشی از کالا (Directive (EU) 2024/2853) کشورهای عضو را موظف کرده تا ۱۸ آذر ۱۴۰۵ (۹ دسامبر ۲۰۲۶) آن را به قانون داخلی تبدیل کنند و آلمان، بزرگ‌ترین اقتصاد اتحادیه، اکنون این گام را برداشته است؛ بوندستاگ در ۱۶ مهر ۱۴۰۵ (۸ اکتبر ۲۰۲۶) «قانون نوسازی حقوق مسئولیت ناشی از کالا» را تصویب کرد و بنا بر گزارش منابع حقوقی آلمانی، این قانون در ۵ آبان ۱۴۰۵ (۲۷ اکتبر ۲۰۲۶) در روزنامه رسمی فدرال منتشر شد. بیشتر مقررات آن از ۹ دسامبر ۲۰۲۶ اجرا می‌شود و قانون قدیمی سال ۱۹۸۹ همچنان بر کالاهایی حاکم می‌ماند که پیش از آن تاریخ به بازار عرضه شده‌اند.
۱. نرم‌افزار دیگر «مال غیرمادی بی‌صاحب» نیست؛ کالاست
مهم‌ترین تحول، تعریف تازه «کالا» است. در نظام قدیم، که بر پایه دستورالعمل سال ۱۹۸۵ بنا شده بود، همیشه این تردید وجود داشت که آیا نرم‌افزار مستقل، جدا از سخت‌افزاری که در آن نصب شده، کالا محسوب می‌شود یا نه. قانون جدید آلمان در بند ۲ خود این تردید را برطرف کرده و نرم‌افزار، از جمله سامانه‌های هوش مصنوعی، را صرف‌نظر از شیوه عرضه یا استفاده، کالا دانسته است؛ چه روی دستگاه اجرا شود و چه از طریق فضای ابری. تنها استثنای مهم، نرم‌افزار متن‌باز است که خارج از فعالیت تجاری توسعه یا عرضه شده باشد. معتقدم این استثنا هوشمندانه است؛ زیرا اگر برنامه‌نویس داوطلبی که کدی رایگان در اختیار جامعه گذاشته با مسئولیت محض روبه‌رو شود، اکوسیستم متن‌باز که ستون فقرات بسیاری از محصولات تجاری است آسیب می‌بیند. در عین حال، شرکتی که چنین کدی را در محصول خود به کار می‌گیرد، مسئولیت عیب آن را خودش بر دوش می‌کشد و به استناد این دستورالعمل نمی‌تواند به توسعه‌دهنده غیرتجاری رجوع کند.
۲. مسئولیتی که با فروش تمام نمی‌شود
منطق سنتی مسئولیت تولیدکننده این بود که عیب را در «لحظه عرضه» بسنجیم؛ کالا از کارخانه بیرون رفته و آنچه بعد اتفاق می‌افتد، اصولاً به سازنده ربطی ندارد. اما محصول هوشمند امروز پس از فروش هم زنده است؛ به‌روزرسانی می‌گیرد، بازآموزی می‌شود و گاهی رفتارش تغییر می‌کند. دستورالعمل جدید مفهوم «کنترل تولیدکننده» را وارد کرده است؛ تا وقتی سازنده می‌تواند خودش یا از طریق دیگری به‌روزرسانی ارائه کند، کالا در کنترل او تلقی می‌شود و نمی‌تواند با این استدلال که عیب پس از عرضه پدید آمده، از مسئولیت بگریزد؛ به‌ویژه اگر عیب ناشی از نرم‌افزار، نبود وصله امنیتی یا تغییر اساسی باشد. از سوی دیگر، به‌روزرسانی یا یادگیری مستمری که در ارزیابی اولیه خطر پیش‌بینی نشده باشد و ماهیت خطر را تغییر دهد یا آن را افزایش دهد، می‌تواند «تغییر اساسی» محسوب شود و محصول را به کالایی تازه تبدیل کند که مهلت ده‌ساله مسئولیتش از نو آغاز می‌شود. به نظر من این یعنی هر تصمیم انتشار نسخه جدید، و حتی هر تصمیم برای منتشر نکردن یک وصله، از این پس یک تصمیم حقوقی است، نه صرفاً یک تصمیم فنی!
۳. صف خواندگان بلندتر می‌شود
زیان‌دیده در نظام جدید فقط با سازنده نهایی روبه‌رو نیست. قانون آلمان، به پیروی از دستورالعمل، سازنده قطعه، کسی که کالا را به‌طور اساسی تغییر داده، واردکننده، نماینده مجاز سازنده در اتحادیه، ارائه‌دهنده خدمات انبارداری و ارسال و در شرایطی معین اپراتور پلتفرم آنلاین را نیز در شمار مسئولان قرار داده است. منطق این گسترش روشن است؛ در زنجیره‌های جهانی تأمین، سازنده واقعی ممکن است در کشوری دوردست باشد و مصرف‌کننده اروپایی نباید برای جبران خسارت به دادگاهی در آن سوی دنیا برود. نکته ظریف دیگر این است که شرکتی که هوش مصنوعی ساخت دیگری را در محصول خود جای می‌دهد، در برابر زیان‌دیده مسئول کل محصول است و توسعه‌دهنده آن مدل نیز می‌تواند هم‌زمان مسئول باشد؛ تقسیم نهایی بار مالی میان آن‌ها به قراردادها و حق رجوع واگذار شده است، زیرا مسئولیت در برابر زیان‌دیده با قرارداد قابل محدود کردن نیست.
۴. اثبات عیب در «جعبه سیاه»؛ افشای ادله و امارات قانونی
اینجا قلب ماجراست. در دعاوی هوش مصنوعی، بیشتر ادله در اختیار خوانده است؛ لاگ‌ها، نسخه مدل، داده‌های آموزش و سوابق آزمون. دستورالعمل به دادگاه اجازه می‌دهد پس از آنکه خواهان ادعای خود را محتمل جلوه داد، خوانده را به افشای ادله مرتبط ملزم کند و اگر خوانده از این دستور سرپیچی کند، معیوب بودن کالا فرض می‌شود. فراتر از آن، هرگاه پیچیدگی فنی یا علمی، اثبات عیب یا رابطه سببیت را برای زیان‌دیده بیش از حد دشوار کند، کافی است او احتمال آن را نشان دهد تا دادگاه وجودش را فرض کند؛ و منابع حقوقی یادآوری کرده‌اند که در مقدمه دستورالعمل، یادگیری ماشین صراحتاً به‌عنوان نمونه چنین پیچیدگی‌ای ذکر شده است. قانون‌گذار آلمانی حتی یک گام جلوتر رفته و به دادگاه اجازه داده دستور افشا را به اشخاص ثالث نیز تسری دهد؛ چیزی که به گفته تحلیلگران، فراتر از الزام دستورالعمل است. در مقابل، برای حمایت از اسرار تجاری، امکان رسیدگی جداگانه به محرمانگی و محدود کردن دسترسی به وکلای طرفین پیش‌بینی شده است. معتقدم این توازن، یعنی گشودن جعبه سیاه بدون آنکه کد منبع و وزن‌های مدل در اختیار رقیب قرار گیرد، یکی از دقیق‌ترین طراحی‌های دادرسی در حقوق فناوری سال‌های اخیر است!
۵. خسارت‌های تازه، حذف سقف و حدود مسئولیت
قانون جدید، از بین رفتن یا خراب شدن داده‌هایی را که برای مقاصد حرفه‌ای استفاده نمی‌شوند، در زمره خسارت قابل جبران قرار داده است؛ عکس‌های خانوادگی که یک عامل هوشمند پاک می‌کند، دیگر فقط یک «اتفاق ناگوار» نیست. آسیب روانی نیز در صورتی که از نظر پزشکی شناخته‌شده باشد، در کنار صدمه بدنی قرار گرفته است. هم‌زمان، سقف کلی ۸۵ میلیون یورویی مسئولیت در آسیب‌های جانی و فرانشیز ۵۰۰ یورویی خسارت‌های مالی در حقوق آلمان حذف شده است. با این حال، باید حدود این نظام را هم دید؛ تنها اشخاص حقیقی می‌توانند به آن استناد کنند و زیان صرفاً اقتصادی، مثلاً ضرر ناشی از پیش‌بینی نادرست یک الگوریتم قیمت‌گذاری، همچنان در قلمرو حقوق قراردادها باقی می‌ماند. مهلت سه‌ساله طرح دعوا حفظ شده و مسئولیت اصولاً ده سال پس از عرضه کالا ساقط می‌شود؛ مگر در آسیب‌های جسمی با دوره نهفتگی که این مدت تا ۲۵ سال افزایش یافته است.
۶. درس‌هایی برای ایران
به نظر من چند درس روشن از این تحول می‌توان گرفت. نخست، حقوق مسئولیت مدنی ما، تا جایی که بنده اطلاع دارم، همچنان در قلب خود بر تقصیر استوار است و قانون مسئولیت مدنی مصوب ۱۳۳۹ برای دنیای نرم‌افزارهای یادگیرنده نوشته نشده است. قانون حمایت از حقوق مصرف‌کنندگان مصوب ۱۳۸۸ و فصل حمایت از مصرف‌کننده در قانون تجارت الکترونیکی مصوب ۱۳۸۲ گام‌هایی در جهت حمایت از خریدار برداشته‌اند؛ اما تا جایی که بنده اطلاع دارم، هیچ‌یک به‌صراحت تکلیف نرم‌افزار مستقل، به‌روزرسانی پس از فروش یا خسارت ناشی از نابودی داده را روشن نکرده‌اند. دوم، اگر قانون‌گذار ما روزی به سراغ تنظیم مسئولیت هوش مصنوعی برود، معتقدم به‌جای ابداع نهادی یکسره تازه، می‌تواند از همین الگو بهره بگیرد؛ تعریف نرم‌افزار به‌عنوان کالا، مفهوم کنترل پس از فروش و امارات قابل نقض عیب و سببیت، ابزارهایی‌اند که با سنت امارات قانونی در حقوق ما نیز بیگانه نیستند. سوم، دادگاه‌های ما، حتی پیش از هر اصلاح قانونی، در دعاوی فنی می‌توانند با استفاده سنجیده از کارشناسی و توجه به اینکه ادله در اختیار کدام طرف است، از تحمیل بار اثبات ناممکن بر مصرف‌کننده پرهیز کنند. و چهارم، برای استارتاپ‌های ایرانی که محصول یا خدمتی را به بازار اروپا عرضه می‌کنند یا قصد آن را دارند، این قانون یک فهرست کار عملی است؛ ثبت دقیق لاگ‌ها، مستندسازی تصمیم‌های به‌روزرسانی، حفاظت از اسرار تجاری پیش از بروز اختلاف و بازنویسی قراردادها با تأمین‌کنندگان مدل. واقعیت این است که در اقتصاد دیجیتال، مسئولیت به همراه محصول از مرزها عبور می‌کند؛ پس بهتر است پیش از ورود به بازار، نقشه آن را داشته باشیم!
منابع: Clifford Chance، ۱۴ اکتبر ۲۰۲۶؛ MTR Legal، ۲۷ اکتبر ۲۰۲۶؛ Bird & Bird، ۲۹ اکتبر ۲۰۲۶؛ Faegre Drinker، ۳۰ اکتبر ۲۰۲۶. تصویر: Wikimedia Commons.
این یادداشت جنبه آموزشی دارد و جایگزین مشاوره حقوقی در پرونده‌های مشخص نیست.
