Welke vragen stel je een AI-leverancier vóór je tekent?
Stel vóór je een AI-leverancier kiest vragen over gegevens, training, beveiliging, kwaliteit, ondersteuning, kosten en regelgeving. Leg de antwoorden schriftelijk vast, zodat je afspraken kunt controleren en risico’s kunt beoordelen.
Vraag een AI-leverancier vóór je tekent wat er met je gegevens gebeurt, waar het model draait en wie toegang heeft. Bespreek ook of je gegevens voor training worden gebruikt, hoe fouten en incidenten worden afgehandeld, hoe je kunt opzeggen en je gegevens meenemen, en hoe de leverancier met regelgeving omgaat. Vraag om duidelijke, schriftelijke antwoorden en leg belangrijke afspraken vast in de overeenkomst of bijbehorende documentatie.
Een demonstratie of mondelinge toezegging geeft daarvoor onvoldoende houvast. Je moet kunnen nagaan of de dienst past bij je gegevens, processen en verantwoordelijkheden. Welke eisen gelden, hangt af van de toepassing, de betrokken gegevens en de rol van je organisatie. De vragen hieronder helpen je het gesprek concreet te maken. Ze zijn algemene aandachtspunten, geen juridisch advies.
Gegevens, privacy en toegang
Begin met de gegevens die je invoert en de gegevens die de dienst zelf aanmaakt, zoals prompts, bestanden, antwoorden en gebruikslogboeken. Vraag waar deze worden verwerkt en bewaard. Laat de leverancier uitleggen of gegevens binnen een bepaalde regio blijven, of ze tussen landen worden verplaatst en welke partijen daarbij betrokken zijn. Vraag ook hoe lang gegevens worden bewaard en hoe je ze kunt laten verwijderen.
Breng vervolgens in kaart wie toegang kan hebben. Gaat het alleen om jouw eigen gebruikers, of kunnen medewerkers van de leverancier of andere partijen gegevens inzien? Onder welke omstandigheden gebeurt dat, bijvoorbeeld voor ondersteuning of beveiligingsonderzoek? Vraag hoe toegang wordt beperkt, bijgehouden en ingetrokken. Controleer ook of je de toegang binnen je eigen organisatie kunt beheren, bijvoorbeeld per medewerker of afdeling.
Vraag welke rol de leverancier heeft bij het verwerken van persoonsgegevens en welke afspraken daarvoor beschikbaar zijn. Een verwerkersovereenkomst kan relevante afspraken beschrijven, maar controleer wat er daadwerkelijk in staat en of die past bij de dienst. Vraag welke onderaannemers worden ingezet, welke taken zij uitvoeren en hoe wijzigingen in die lijst worden gemeld. Lees voor achtergrond ook AI en de AVG.
Training, beveiliging en incidenten
Stel de trainingsvraag rechtstreeks: gebruikt de leverancier jouw invoer, bestanden of antwoorden om modellen of diensten te verbeteren? Geldt dat voor alle soorten gegevens en voor alle onderdelen van de dienst? Kun je dit gebruik uitzetten, hoe bevestigt de leverancier dat en geldt de keuze ook voor onderaannemers? Vraag of instellingen voor training per account, gebruiker of toepassing verschillen.
Vraag hoe de dienst wordt beveiligd. Laat de leverancier toelichten hoe accounts, beheerdersrechten, gegevensopslag en verbindingen worden beschermd. Vraag hoe beveiligingsproblemen worden gemeld en wie binnen jouw organisatie daarvoor het aanspreekpunt is. Bespreek ook hoe de leverancier reageert op een incident met jouw gegevens: wanneer krijg je bericht, welke informatie ontvang je en hoe wordt samengewerkt bij onderzoek en herstel? Een contractuele afspraak over melden is nuttiger dan een algemene belofte dat incidenten zorgvuldig worden behandeld.
Kwaliteit, beperkingen en menselijk toezicht
Vraag hoe de leverancier de dienst heeft getest en voor welke taken die geschikt is. Laat voorbeelden zien van bekende beperkingen, zoals antwoorden die overtuigend klinken maar onjuist zijn, moeite met specifieke documenten of wisselende resultaten bij vergelijkbare vragen. Vraag waarop de leverancier zijn claims baseert en of die claims gelden voor jouw taal, gegevens en werkwijze. Een algemene demonstratie bewijst niet vanzelf dat de dienst in jouw situatie betrouwbaar genoeg is.
Bespreek hoe je uitkomsten kunt controleren voordat iemand erop handelt. Kun je zien welke bronnen zijn gebruikt, antwoorden laten beoordelen en fouten melden? Kan een medewerker een resultaat aanpassen of afwijzen? Vraag wat er gebeurt als een bron ontbreekt, verouderd is of elkaar tegenspreekt. Bepaal zelf welke taken menselijke controle nodig hebben en wie daarvoor verantwoordelijk is. De leverancier kan informatie geven over het systeem, maar jij moet beoordelen hoe de uitkomsten in je eigen proces worden gebruikt.
Documentatie en verantwoordelijkheden
Vraag welke informatie je kunt opvragen voor je eigen administratie en risicobeoordeling. Denk aan een beschrijving van de dienst, de gegevensstromen, beveiligingsmaatregelen, bekende beperkingen, gebruikte onderaannemers en de manier waarop wijzigingen worden aangekondigd. Vraag ook of je informatie krijgt over versies of aanpassingen die de werking van de dienst wezenlijk kunnen veranderen.
Vraag hoe de leverancier omgaat met de AVG en de AI Act. Kan die uitleggen welke rol hij zelf vervult en welke informatie hij aan klanten verstrekt om hun eigen verplichtingen te beoordelen? Kan hij relevante documentatie leveren en melden wanneer de dienst verandert? Een leverancier kan je helpen met informatie, maar zijn algemene verklaring bewijst niet automatisch dat jouw gebruik aan alle toepasselijke eisen voldoet. Dat hangt af van de concrete toepassing en taakverdeling. Zie ook hoe je een AI-register bijhoudt en wat de AI Act voor het mkb betekent.
Beschikbaarheid, ondersteuning en kosten
Vraag wat je mag verwachten als de dienst niet beschikbaar is of trager werkt. Is er een statuspagina, hoe meld je een storing en wie helpt je bij een probleem? Bespreek hoe ondersteuning bereikbaar is en welke informatie je moet aanleveren. Vraag wat er gebeurt als een koppeling, functie of model verandert, en of je daar vooraf bericht over krijgt. Voor een belangrijk proces wil je weten hoe je tijdelijk verder kunt werken wanneer de AI-dienst uitvalt.
Maak ook de commerciële afhankelijkheid bespreekbaar. Hoe kun je opzeggen, welke opzegtermijn geldt en wat gebeurt er daarna met je gegevens? Kun je gegevens exporteren in een bruikbaar formaat, inclusief bestanden, instellingen of relevante logboeken? Vraag welke kosten daarbij horen en hoe prijswijzigingen worden aangekondigd. Controleer of je prompts, koppelingen of werkwijzen eenvoudig naar een andere leverancier kunt overzetten. Hoe sterker je proces van één dienst afhankelijk is, hoe belangrijker een uitvoerbaar vertrekplan wordt.
Vragenlijst voor het gesprek
Gebruik deze checklist om antwoorden te verzamelen. Vraag waar mogelijk om een verwijzing naar contracttekst, documentatie of een concrete werkwijze.
- Waar worden mijn invoer, bestanden, antwoorden en logboeken verwerkt en bewaard?
- Wie kan mijn gegevens inzien, en welke onderaannemers verwerken ze?
- Worden mijn gegevens gebruikt voor training of verbetering, en kan ik dat uitzetten?
- Hoe worden toegang en beveiliging geregeld, en hoe en wanneer hoor ik over een incident?
- Hoe is de dienst getest, wat zijn de bekende beperkingen en hoe kan ik uitkomsten laten controleren?
- Welke documentatie kan ik gebruiken voor mijn register en risicobeoordeling?
- Hoe meld ik storingen en welke ondersteuning krijg ik bij uitval of fouten?
- Hoe zeg ik op, hoe exporteer ik mijn gegevens en wat gebeurt er bij prijswijzigingen?
- Hoe licht je toe welke rol je speelt onder de AVG en de AI Act?
Leg de antwoorden en afspraken vast voordat je de dienst breed inzet. Een open punt hoeft niet altijd een reden te zijn om af te haken, maar je moet wel weten wie het risico draagt en welke maatregel daarbij hoort. Als een antwoord vaag blijft, vraag dan om verduidelijking of om een afspraak die je later kunt controleren.
Laat je juridisch toetsen
Dit artikel biedt algemene informatie en is geen juridisch advies. Laat een jurist of functionaris gegevensbescherming beoordelen wat de afspraken en verplichtingen betekenen voor jouw specifieke situatie.