Wat vraag je een AI-leverancier voordat je tekent?

Waarom een AI-leverancier andere vragen verdient

Bij een boekhoudpakket of een CRM weet je ongeveer wat je koopt: functionaliteit die doet wat de handleiding zegt. Bij een AI-tool ligt dat anders. De tool verwerkt bij elk gebruik jouw data, de uitkomsten zijn niet altijd voorspelbaar, en achter de schermen zit vaak een keten van partijen: de leverancier bouwt op een taalmodel van een andere aanbieder, die weer host bij een derde. En de EU AI Act legt verplichtingen bij jou als gebruiker, niet alleen bij de bouwer. Wat je vooraf niet uitvraagt, kom je later tegen als verrassing in de praktijk of als gat in je compliance. Welke data je vervolgens in de tool stopt, is een eigen afweging; zie daarvoor het artikel "Welke data mag in een AI-tool?".

Waar staat je data en blijft die daar?

Vraag waar de data wordt opgeslagen en verwerkt: binnen de EU, of ook daarbuiten? Vraag ook hoe lang invoer en uitvoer worden bewaard en of je die bewaartermijn kunt beïnvloeden. "Wij hosten in Europa" is niet genoeg als het onderliggende taalmodel in de Verenigde Staten draait. Laat de leverancier de hele keten benoemen, van invoerveld tot model.

Traint de aanbieder op jouw data?

Sommige aanbieders gebruiken klantdata om hun modellen te verbeteren. Voor jou betekent dat: jouw offertes, klantvragen of interne documenten kunnen bijdragen aan een model dat ook je concurrent gebruikt. Vraag expliciet of er op jouw data wordt getraind, of dat uit staat of uitgezet kan worden, en of die toezegging in het contract staat. Een mondelinge geruststelling telt niet; een contractclausule wel.

Verwerkersovereenkomst en sub-verwerkers

Verwerkt de tool persoonsgegevens voor jou, dan vraagt de AVG om een verwerkersovereenkomst (artikel 28 AVG). Vraag die op vóór je tekent en lees welke sub-verwerkers erin staan: de partijen die de leverancier zelf weer inschakelt, zoals de modelaanbieder en de hostingpartij. Vraag ook hoe je wordt geïnformeerd als die lijst wijzigt en of je bezwaar kunt maken. Een leverancier zonder verwerkersovereenkomst, of met een lege sub-verwerkerslijst terwijl er duidelijk een taalmodel van een derde onder zit, is een rood signaal.

Wat gebeurt er als je vertrekt?

Elke samenwerking eindigt een keer. Vraag nu al: kan ik mijn data exporteren, in welk formaat, en wat kost dat? Wat wordt er na beëindiging verwijderd, binnen welke termijn, en krijg ik daar een bevestiging van? Denk breder dan alleen de documenten die je hebt geüpload: ook gesprekgeschiedenis, configuratie, prompts en opgebouwde kennisbanken zijn data waar je afscheid van neemt of die je mee wilt nemen.

Logging en inzage

Als een klant, medewerker of toezichthouder vraagt waarom de AI iets deed, wil je dat kunnen terughalen. Vraag wat de tool logt: welke vragen zijn gesteld, welke antwoorden gegeven, door wie en wanneer. Vraag hoe lang die logs worden bewaard en of jij er zelf bij kunt, bijvoorbeeld via een export. Zonder logging sta je met lege handen bij een klacht, een datalek of een audit.

Wie is aanbieder en wie gebruiksverantwoordelijke?

De EU AI Act verdeelt de verplichtingen over rollen. De aanbieder is degene die het AI-systeem ontwikkelt of onder eigen naam op de markt brengt; de gebruiksverantwoordelijke is de organisatie die het systeem in de praktijk inzet. Als klant ben je vrijwel altijd gebruiksverantwoordelijke, met eigen plichten die passen bij het risiconiveau van de toepassing. Vraag de leverancier hoe hij zijn eigen rol ziet, in welke risicocategorie hij het systeem plaatst en waarom, en welke verplichtingen hij bij jou legt. Let op leveranciers die alle verantwoordelijkheid in de algemene voorwaarden naar de klant schuiven: dat mag op papier, maar dan wil je vooraf weten wat je op je neemt.

Lock-in: kun je weg zonder alles kwijt te raken?

Lock-in bij AI-tools zit zelden in de software zelf. Hij zit in wat je opbouwt: de kennisbank die je hebt gevuld, de prompts en instructies die je hebt verfijnd, de werkprocessen die op de tool zijn ingericht. Vraag daarom: wat kan ik meenemen als ik overstap, en in welk formaat? Werkt de tool met open standaarden of met een gesloten eigen omgeving? Hoe afhankelijker je wordt van wat alleen binnen die ene tool bestaat, hoe zwakker je onderhandelingspositie over een paar jaar. Dat hoeft geen reden te zijn om niet te tekenen, wel om het bewust te doen.

Download: Leveranciersvragenlijst

De vragenlijst bij dit artikel zet alle vragen per thema op een rij als afvinklijst, met ruimte voor de antwoorden van de leverancier en een stoplicht-oordeel per thema. Zo zie je in één overzicht waar het goed zit en waar je moet doorvragen voordat je tekent. Aanmelden is gratis en geeft toegang tot alle downloads in de Academy.

Hoe wij helpen

And AI helpt organisaties bij het kiezen en beoordelen van AI-tools en leveranciers: we lopen de vragenlijst samen door, wegen de antwoorden en vertalen ze naar een advies dat past bij jullie situatie en risiconiveau. Wil je sparren over een lopende leverancierskeuze, neem dan contact op.

Veelgestelde vragen

Is een verwerkersovereenkomst altijd verplicht? Zodra de leverancier persoonsgegevens voor jou verwerkt, vraagt de AVG om een verwerkersovereenkomst. Bij AI-tools is dat al snel het geval: namen in een prompt, klantvragen in een chatbot of cv's in een kennisbank zijn persoonsgegevens. Verwerkt de tool echt geen persoonsgegevens, dan is er geen verwerkersovereenkomst nodig, maar controleer die aanname in de praktijk.

De leverancier zegt dat mijn data veilig is. Is dat genoeg? Nee. Vraag door naar het waar en hoe: locatie, bewaartermijnen, sub-verwerkers, trainen op klantdata, en laat de antwoorden opnemen in het contract of de verwerkersovereenkomst. Wat niet op papier staat, kun je later niet afdwingen.

Mijn leverancier bouwt op ChatGPT of een ander groot model. Maakt dat uit? Ja. De modelaanbieder is dan een sub-verwerker en jouw data gaat ook naar die partij. Vraag welke afspraken de leverancier daar heeft gemaakt over datalocatie, bewaren en trainen, en of die afspraken doorwerken in jouw contract.

Bronnen

• Algemene verordening gegevensbescherming (AVG, Verordening (EU) 2016/679), artikel 28, EUR-Lex
• EU AI Act (Verordening (EU) 2024/1689), EUR-Lex
• Autoriteit Persoonsgegevens, informatie over verwerkersovereenkomsten