AI inkopen onder de AI Act: wat leg je vast in contracten met leveranciers?

Kort samengevat

Vraag de leverancier altijd om gebruiksinstructies (artikel 13), de conformiteitsstatus en het geregistreerde beoogde doel.
Leg vast wie de logs beheert, hoe lang ze worden bewaard en hoe jij erbij kunt — je hebt ze zelf nodig.
Neem een wijzigingsclausule op: welke aanpassingen vallen binnen de beoordeelde grenzen en welke niet?
Voorkom dat je ongemerkt aanbieder wordt door merkgebruik of doelwijziging — zie artikel 25.

Voor de meeste Nederlandse organisaties begint AI-compliance niet in de code, maar in het inkoopproces. Je koopt een screeningtool, een chatassistent, een fraudemodule of een planningssysteem — en erft daarmee een set verplichtingen. Dit artikel zet uiteen wat je vóór ondertekening moet weten en vastleggen.

Stap 1 — Classificeer vóór je koopt

Bepaal eerst wat je koopt en waarvoor je het gaat gebruiken. Twee vragen zijn beslissend:

Is dit een AI-systeem in de zin van artikel 3? Veel leveranciers noemen alles AI; omgekeerd bevatten "gewone" pakketten steeds vaker AI-functies.
Welk risiconiveau levert jouw gebruik op? Niet het product bepaalt dat, maar de toepassing. Gebruik de risico-check en bijlage III.

Doe dit vóór de selectie: het bepaalt welke eisen je in het programma van eisen opneemt en of een aanbesteding extra waarborgen nodig heeft.

Stap 2 — De leverancierscheck

Vraag bij hoog-risico systemen minimaal:

De gebruiksaanwijzing conform artikel 13, met beoogd doel, prestatieniveaus, bekende beperkingen en de vereiste menselijke toezichtmaatregelen.
De EU-conformiteitsverklaring en de CE-markering, plus — waar van toepassing — het certificaat van de aangemelde instantie.
Het registratienummer in de EU-databank en het daar opgegeven beoogde doel. Wijkt jouw gebruik daarvan af, dan is dat een rode vlag.
De toegepaste normen of, bij afwezigheid daarvan, de gekozen technische oplossingen.
Informatie over nauwkeurigheid en prestaties per relevante subgroep — je moet immers zelf kunnen beoordelen of het systeem in jouw context werkt.
Het logbeleid: wat wordt gelogd, waar staan de logs, hoe lang bewaard, hoe krijg jij toegang.
De updatecyclus en hoe je wordt geïnformeerd over modelwijzigingen.

Bij niet-hoog-risico systemen kun je dit inkorten, maar vraag altijd naar het beoogde doel, de beperkingen en de transparantiemaatregelen voor chatbots en AI-gegenereerde content.

Stap 3 — Clausules die je nodig hebt

Rolverdeling en artikel 25

Leg expliciet vast dat de leverancier aanbieder is en blijft, en dat jij deployer bent. Neem op dat de leverancier je informeert wanneer een door jou gewenste aanpassing zou leiden tot een substantiële wijziging of doelwijziging. Vermijd merkgebruik dat jou tot aanbieder maakt.

Documentatie en medewerking

De leverancier verstrekt en actualiseert de documentatie, en verleent redelijke medewerking bij verzoeken van toezichthouders, bij een FRIA en bij verzoeken om uitleg van betrokkenen.

Logging en toegang

Wie bewaart wat, hoe lang, in welk formaat, en met welke exportmogelijkheid? Je hebt de logs zelf nodig om aan artikel 12 en 26 te voldoen.

Incidenten

Meldtermijnen richting jou bij een (mogelijk) ernstig incident, plus een verbod op wijzigingen die het onderzoek naar de oorzaak kunnen belemmeren.

Wijzigingsbeheer

Notificatie vóór modelwijzigingen, een testperiode, en het recht om een wijziging te weigeren of het contract te beëindigen als de prestaties materieel veranderen.

Data

Mag de leverancier jouw data gebruiken voor training van modellen voor andere klanten? Zo ja, onder welke voorwaarden? Dit raakt zowel AVG als bedrijfsgeheimen en is een van de meest onderschatte punten.

Exit

Overdracht van logs, documentatie en configuratie bij einde contract — je bewaarplicht loopt door nadat de dienst is beëindigd.

Voor publieke opdrachtgevers: gebruik de door de Europese Commissie gepubliceerde modelcontractbepalingen voor AI-inkoop (MCC-AI). Er is een uitgebreide versie voor hoog-risico systemen en een lichte versie voor overige AI. Ze zijn vrij te gebruiken en besparen veel juridisch maatwerk. Zie ook AI Act bij de overheid.

Stap 4 — Na de handtekening

Compliance eindigt niet bij het contract. Regel intern:

opname van het systeem in je AI-register, met rol, risiconiveau, leverancier en documentatieverwijzingen;
aanwijzing van de personen die het menselijk toezicht uitvoeren, met de benodigde bekwaamheid en bevoegdheid;
aantoonbare AI-geletterdheid bij de betrokken medewerkers;
periodieke evaluatie: presteert het systeem in jouw context zoals beloofd, en klopt het beoogde doel nog?

Gebruik de compliance-checklist om te zien welke onderdelen nog openstaan.

Veelgestelde vragen

Wie is verantwoordelijk als ik AI-software inkoop?

De leverancier is doorgaans aanbieder en draagt de eisen aan het systeem. Jij bent gebruiksverantwoordelijke en draagt de verplichtingen uit artikel 26: gebruik volgens de instructies, menselijk toezicht door bekwame personen, bewaken van inputdata, logbewaring, informeren van betrokkenen en — waar van toepassing — een FRIA.

Welke documenten moet ik bij een AI-leverancier opvragen?

De gebruiksaanwijzing conform artikel 13, informatie over het beoogde doel en de beperkingen, nauwkeurigheidsniveaus en prestaties per relevante groep, de EU-conformiteitsverklaring en CE-status bij hoog risico, het registratienummer in de EU-databank, informatie over gebruikte normen, en afspraken over logging, incidenten en updates.

Bestaan er modelclausules voor AI-inkoop?

Ja. De Europese Commissie heeft via het initiatief voor publieke AI-inkoop modelcontractbepalingen (MCC-AI) gepubliceerd voor hoog-risico en niet-hoog-risico AI, bedoeld voor overheidsopdrachtgevers. Ze zijn vrij te gebruiken en vormen ook voor private partijen een bruikbare basis.