AI vendor due diligence: contractuele clausules onder de EU AI Act

Sinds 2 augustus 2026 zijn deployers verantwoordelijk voor de inzet van AI-systemen, ook wanneer ze die van een leverancier afnemen. Een rommelig leverancierscontract maakt uw eigen naleving onmogelijk, u kunt geen logs aanleveren, geen technisch dossier opvragen en geen incidenten doorzetten. In deze gids leest u welke 15 vragen u uw AI-leverancier stelt, welke documentatie u opvraagt, welke 12 clausules in het contract horen en welke red flags u meteen herkent.

Waarom AI vendor due diligence verplicht is

Drie wettelijke grondslagen maken due diligence noodzakelijk:

• Artikel 16 AI Act, verplicht providers tot een lijst van eisen waaraan hoog-risico AI moet voldoen, u moet als deployer kunnen aantonen dat uw provider hieraan voldoet
• Artikel 25 AI Act, bepaalt wanneer u zelf provider wordt (substantiele wijziging, hernoemen onder eigen merk), met alle bijbehorende plichten
• Artikel 26 AI Act, deployer-verplichtingen, waaronder gebruik conform de gebruiksaanwijzing van de provider
• AVG verwerker-grondslag, artikel 28 AVG verplicht een verwerkersovereenkomst (DPA) bij verwerking van persoonsgegevens door derden

Stap 1: classificeer uw leverancier onder de AI Act

De AI Act onderscheidt vier rollen. Vraag de leverancier expliciet om bevestiging:

• Provider, ontwikkelt of laat ontwikkelen en brengt op de markt onder eigen naam (OpenAI, Anthropic, Microsoft voor Copilot)
• Deployer, gebruikt AI voor zakelijke doeleinden (u, in de meeste gevallen)
• Importer, brengt AI van buiten de EU op de EU-markt
• Distributor, levert AI in de EU zonder de essentiele kenmerken te wijzigen

De rol bepaalt welke vragen u stelt. Aan een provider vraagt u om technische documentatie en CE-markering. Aan een distributor om bewijs dat de provider aan eisen voldoet.

Stap 2: vragenlijst voor uw AI-leverancier

15 vragen die elk inkooptraject minimaal moet beantwoorden:

1. Welke rol vervult u onder de AI Act (provider, importer, distributor)?
2. Welke risicoklasse heeft het AI-systeem volgens uw analyse?
3. Is een conformiteitsbeoordeling uitgevoerd en is er een CE-markering?
4. Heeft u een EU-conformiteitsverklaring beschikbaar?
5. Welke trainingsdata is gebruikt en hoe is bias getest?
6. Waar wordt de data gehost (EU, EER, derde land)?
7. Welke sub-processors worden ingeschakeld en in welke landen?
8. Heeft u een ISO 27001-, ISO 42001- of SOC 2-certificering?
9. Wat is uw incident-response-procedure en uw SLA op meldtermijnen?
10. Welke audit rights biedt u aan klanten (op locatie, op afstand, frequentie)?
11. Welke beveiligingsmaatregelen (encryptie, toegang, monitoring) zijn geimplementeerd?
12. Hoe lang bewaart u logs en welke gegevens kunnen worden teruggehaald?
13. Wat zijn uw retentiepolicies voor input- en outputdata?
14. Welke aansprakelijkheidslimieten gelden in uw standaardcontract?
15. Hoe ziet de exit-procedure eruit (data export, contract opzegging)?

Stap 3: documentatie opvragen voordat u tekent

Geen handtekening zonder de volgende bewijsstukken op tafel:

• CE-markering en EU-conformiteitsverklaring (alleen voor hoog-risico AI)
• Technisch dossier of samenvatting daarvan voor uw eigen risicobeoordeling
• Model card met beperkingen, bias-resultaten, intended use
• Data Processing Agreement (DPA) conform AVG art. 28
• Sub-processor-lijst met geografische locatie
• Retention policy voor logs en data
• Security white paper met certificeringen en pentest-resultaten
• Incident response plan en meldtermijnen
• Verzekeringscertificaat beroepsaansprakelijkheid en cyberverzekering

Stap 4: 12 clausules die u in het contract moet opnemen

1. Rolverdeling onder de AI Act

Expliciete bevestiging wie provider, importer of distributor is, en welke verplichtingen daarbij horen. Voorkomt discussie bij een incident.

2. Data-eigendom en gebruiksrechten

Uw inputdata blijft van u, niet van de leverancier. De leverancier mag input- of outputdata niet gebruiken voor het trainen van eigen modellen zonder uw expliciete toestemming. Vermeld dit nadrukkelijk.

3. Hosting en EU-residentie

Specificeer in welke geografische regio data wordt verwerkt en opgeslagen. Voor publieke organisaties en hoog-risico AI vrijwel altijd EU/EER. Bij verwerking buiten de EU vraag SCC's (Standard Contractual Clauses) of equivalente waarborg.

4. Sub-processors

Lijst van toegestane sub-processors met geografische locatie. Verplichting tot voorafgaande kennisgeving en uw goedkeuringsrecht bij toevoeging van nieuwe sub-processors.

5. Gebruiksinstructies van provider

De provider levert duidelijke instructies (artikel 13 AI Act). U committeert zich aan gebruik conform deze instructies (artikel 26 AI Act). Buiten deze instructies opereren maakt u tot provider met alle plichten.

6. Audit rights

Recht om audits uit te voeren of door derden te laten uitvoeren. Minimaal jaarlijks, plus ad-hoc bij vermoeden van incident of bij vraag van uw toezichthouder. Beschrijf scope, doorlooptijd en kostenverdeling.

7. Security maatregelen

Concrete eisen voor encryptie (data at rest en in transit), toegangsbeheer, monitoring, periodieke pentests en kwetsbaarheidsbeheer. Verwijs naar erkende standaarden (ISO 27001, NIS2, NEN 7510 in de zorg).

8. Incidentmelding

Meldtermijn voor security-incidenten (binnen 24 of 48 uur), datalek-meldingen (binnen 72 uur conform AVG), en AI-specifieke incidenten (modelafwijking, bias, hallucination met impact). Plus contactpunten aan beide kanten.

9. Aansprakelijkheid

Duidelijke verdeling van aansprakelijkheid tussen provider, deployer en eventueel andere partijen. Pas op voor algehele uitsluitingsclausules. Onderhandel realistische limieten plus uitzonderingen voor opzet, grove schuld en privacy-overtredingen.

10. Exit-clausule

Recht op data-export in een algemeen leesbaar formaat bij beeindiging, plus verwijdering van uw data binnen een afgesproken termijn na exit. Inclusief vernietigingsverklaring.

11. IP en outputrechten

Wie heeft welke rechten op de output? Voor generatieve AI cruciaal, u wilt zelf vrij over output kunnen beschikken, zonder dat de leverancier deze ook kan exploiteren.

12. Doorlevering aan derden

Onder welke voorwaarden mag u het AI-systeem inzetten ten behoeve van uw eigen klanten (bijvoorbeeld als IT-dienstverlener)? Vermijd doorgeefverboden die uw business model raken.

EU model contractual clauses voor AI

De Europese Commissie heeft model contractual clauses voor AI gepubliceerd, mede gericht op publieke aanbesteding. Deze modellen bieden een basis voor onderhandeling met leveranciers. Twee versies, een lichte variant voor lager-risico AI en een uitgebreide voor hoog-risico AI. Aan te bevelen voor publieke entiteiten en grotere private inkopers. Pas aan naar uw eigen sector en context, gebruik niet blind.

Specifieke clausules per AI-categorie

Hoog-risico AI, aanvullende audit rights, technisch dossier-toegang, plicht tot ondersteuning bij FRIA, melding van substantiele wijzigingen aan het model.

General-purpose AI (GPAI), extra transparantie over trainingsdata, copyright-naleving, en watermarking-features. Verwijs naar de AI Office GPAI Code of Practice.

Toepassingen die in de buurt van verboden AI komen, denk aan emotieherkenning op de werkvloer of social scoring, complete uitsluitingsclausule in het contract met expliciete erkenning dat de leverancier deze functies niet inschakelt.

Red flags bij een leverancier

Onderhandeltips voor MKB

Als MKB-organisatie heeft u beperkte macht tegenover de Big Tech leveranciers. Drie strategieen:

• Modelcontracten gebruiken, de EU model clauses geven u juridische rugdekking en zijn moeilijker af te wijzen door een leverancier
• Druk via collectieven, brancheverenigingen onderhandelen vaak ramboversovereenkomsten, sluit aan
• Weglooprecht, houd altijd een alternatieve leverancier in beeld zodat u kunt opzeggen als de bestaande leverancier weigert mee te bewegen

Wat te doen bij bestaande contracten?

De meeste organisaties hebben al AI-tools in gebruik op basis van contracten die geschreven zijn voor de AI Act in werking trad. Aanpak voor sanering:

• Inventariseer alle AI-leverancierscontracten (start met uw AI-register)
• Beoordeel per contract op de 12 clausules hierboven
• Categoriseer in groen (voldoet), oranje (gaten, addendum nodig) en rood (fundamentele tekorten)
• Onderhandel addendums voor oranje, wat in de praktijk vaak via een DPA-update plus AI Act-bijlage gaat
• Overweeg opzegging of overstap voor rood, plan dit minimaal 6 maanden vooruit

8-punts due diligence checklist

1. 1
   Rol onder de AI Act bevestigd

   Leverancier heeft schriftelijk aangegeven of zij provider, importer of distributor zijn voor dit specifieke systeem.

2. 2
   15-vragen-lijst beantwoord en gearchiveerd

   Schriftelijke beantwoording opgenomen in uw vendor-dossier, niet alleen mondeling.

3. 3
   CE-markering en EU-conformiteitsverklaring (hoog-risico)

   Beide aanwezig en geldig, met datum en uitgevende notified body genoteerd.

4. 4
   Technisch dossier of samenvatting ontvangen

   Voldoende informatie om uw eigen risicobeoordeling te onderbouwen.

5. 5
   DPA getekend

   Inclusief sub-processor-lijst, retentietermijnen en SCC's bij verwerking buiten EU.

6. 6
   Hoofdcontract bevat 12 essentiele clausules

   Zoals beschreven in stap 4, of waar afgeweken een schriftelijke onderbouwing waarom.

7. 7
   Audit en exit-procedure overeengekomen

   Inclusief termijnen, kostenverdeling en formaten voor data-export.

8. 8
   Review-cyclus in contract en in eigen agenda

   Jaarlijkse contractreview, met heronderhandelingsmomenten bij verlenging.