Wanneer je AI-leveranciers moet beoordelen en wat daarna volgt

De zorgvuldigheidsbeoordeling van een AI-leverancier hoort te beginnen voordat de dienst relevante gegevens ontvangt, verbinding maakt met bedrijfssystemen of beslissingen met belangrijke gevolgen beïnvloedt. Herhaal de betrokken controles wanneer doel, rechten, gegevensverwerking of dienstverlening veranderen. Definieer eerst het beoogde gebruik, wijs een verantwoordelijke aan en verzamel bewijs voor een afgebakende goedkeuring.

Voor SaaS-teams verbindt deze beoordeling inkoop met beslissingen over product, beveiliging, privacy en bedrijfsvoering. De onderstaande aanbevelingen vormen een praktische werkwijze, geen universeel wettelijk verplichte vragenlijst. De diepgang hoort te passen bij mogelijke fouten en de mensen die daardoor geraakt worden. Een assistent voor openbare helpteksten vraagt een andere beoordeling dan een agent die klantaccounts wijzigt.

Herken de aanleidingen

Begin wanneer het team nog van leverancier kan wisselen, het gebruik kan beperken of voorwaarden kan onderhandelen. Wachten tot ondertekening of lancering maakt open vragen lastiger. Neem gratis proefversies, werknemersabonnementen, API’s, ingebouwde modellen en AI-functies binnen bestaande platforms mee.

Open of heropen een beoordeling bij deze gebeurtenissen:

• Nieuwe aankoop: een team stelt een AI-dienst of integratie voor.
• Nieuwe mogelijkheid: een bestaande leverancier voegt een assistent, informatieophaling of geautomatiseerde actie toe.
• Meer gegevens: een pilot gaat van synthetische voorbeelden naar klantgegevens of vertrouwelijke documenten.
• Meer bevoegdheden: een hulpmiddel voert acties uit die het eerder alleen voorstelde.
• Wezenlijke wijziging: modelroutering, hosting, bewaartermijnen, voorwaarden of onderaannemers veranderen op een voor de goedkeuring relevante manier.
• Ongunstig bewijs: een incident, klacht of mislukte evaluatie ondermijnt een aanname voor voortgezet gebruik.

Verlenging is een nuttig controlemoment, maar hoort niet de enige aanleiding te zijn. Wijs iemand aan die dienstmeldingen ontvangt en aan het implementatiedossier koppelt. De leveranciersrelatie kan gelijk blijven terwijl het werkelijke risico sterk verandert.

Bepaal welke controles van toepassing zijn

Beschrijf taak, gebruikers, gegevens en handelingsgrenzen in één zin. Bijvoorbeeld: “Supportmedewerkers gebruiken de zakelijke werkruimte om antwoorden op basis van openbare documentatie op te stellen; medewerkers versturen de antwoorden; klanttickets zijn uitgesloten.” Leg ook het afgenomen pakket en de configuratie vast.

Bepaal vervolgens de beoordelingsgebieden. Privacy beoordeelt verwerking van persoonsgegevens; beveiliging beoordeelt toegang en integraties; productverantwoordelijken beoordelen uitvoerkwaliteit en gevolgen van fouten; juridische beoordelaars bepalen toepasselijke verplichtingen en contractuele verdeling. Inkoop coördineert bewijs en het commerciële proces. In een klein bedrijf kan één persoon meerdere rollen vervullen, maar elke beslissing heeft een benoemde verantwoordelijke nodig.

Waar de AVG geldt, vereist artikel 28 voldoende garanties van verwerkers. AVG, artikel 28. Laat privacy de rollen en verwerkingsafspraken vaststellen voordat je het standaardcontract van de leverancier voldoende acht.

Laat voor de AI-verordening de relevante rol, het beoogde doel, bepalingen en toepassingsdata vaststellen. Een algemene nalevingsclaim van de leverancier beantwoordt deze implementatiespecifieke vragen niet. Noteer de onderbouwing en open punten in plaats van een marketingclaim in de goedkeuring over te nemen.

Op 10 september 2026 zijn de mijlpalen voor hoog risico 2 december 2027 voor bijlage III en 2 augustus 2028 voor bijlage I. Bijgewerkte planning van de Europese Commissie. Controleer de bepalingen voor jouw gebruik afzonderlijk voordat je bepaalt wat nu moet gebeuren.

Wanneer een beperktere beoordeling redelijk is

Heeft een product geen AI-functionaliteit, dan kan het gewone leveranciersproces volstaan. Verwerkt een hulpmiddel uitsluitend openbaar materiaal, zonder systeemtoegang of uitvoerende acties, dan kan een kortere AI-beoordeling evenredig zijn. Leg die grenzen vast en bevestig dat de configuratie ze afdwingt.

Geen persoonsgegevens betekent niet automatisch geen beoordeling. Vertrouwelijkheid, intellectueel eigendom, betrouwbaarheid, continuïteit en klantafspraken kunnen relevant blijven. Omgekeerd rechtvaardigt AI niet dat je elk document bij elke leverancier opvraagt. Vraag bewijs voor een concrete beslissing en motiveer waarom een controle niet geldt.

Een pilot verzamelt bewijs binnen afgesproken grenzen. Het is geen automatische toestemming om productiegegevens te uploaden. Bepaal gegevens, gebruikers, integraties, duur en stopvoorwaarden vóór toegang. Leg vast wie uitbreiding mag toestaan na beoordeling van de resultaten.

Volg een besluitproces in zes stappen

1. Maak het gebruiksdossier

Leg taak, dienst, pakket, gebruikers, gegevenscategorieën, locaties, integraties en toegestane acties vast. Benoem de zakelijke en technische verantwoordelijke. Verwijs naar architectuur of gegevensstroomschema en som uitgesloten toepassingen op. Dit dossier wordt het gezamenlijke vertrekpunt voor specialisten.

Scheid de beoogde implementatie van mogelijke toekomstige functies. Wil het team later terugbetalingen automatiseren, registreer dat als een toekomstige wijziging die beoordeling vereist. Een brede productplanning mag de huidige goedkeuring niet stilzwijgend uitbreiden.

2. Volg gegevens en toegang

Vraag wat er gebeurt met prompts, bijlagen, opgehaalde inhoud, uitvoer, feedback en logboeken. Bepaal bewaring, verwijdering, supporttoegang, verdere ontvangers en trainingsgebruik. Koppel antwoorden aan het exacte pakket en de instellingen die je wilt gebruiken.

Registreer voor verbonden diensten inlogmiddelen en rechten. Gebruik de minimaal benodigde toegang en test de grens. “Alleen lezen” op een inkoopformulier volstaat niet als de integratie schrijfrechten krijgt. Bewaar een configuratie-export of vergelijkbaar bewijs bij de beoordeling.

3. Koppel claims aan bewijs

Gebruik een korte tabel: claim, document of test, reikwijdte, datum, beoordelaar en resterende lacune. Een beveiligingsrapport kan controles binnen zijn bereik onderbouwen; een contract afgesproken toezeggingen; een test waargenomen gedrag onder vastgelegde omstandigheden. Houd die verschillen zichtbaar.

Vraag door wanneer een document de AI-functie uitsluit of een andere omgeving betreft. Ontbreekt bewijs, leg dan onzekerheid en gevolgen voor de beslissing vast. Omvang, reputatie of een overtuigende demonstratie hoort een onbeantwoorde vraag niet af te sluiten.

4. Test het werkelijke proces

Stel acceptatiecriteria vast vóór het testen. Neem representatieve taken, onvolledige informatie, misleidende invoer, rechtenbegrenzing en herstel na fouten mee. Gebruik synthetische of anderszins toegestane gegevens. Noteer beschikbare dienstversie, instellingen, datum, resultaten en onopgeloste fouten.

Test ook menselijke controle. Kan de beoordelaar onderbouwing bekijken, een onjuist voorstel afwijzen en een actie tijdig stoppen? Pas anders het proces aan of beperk de functie. Een hoge gemiddelde kwaliteit mag een fout die gegevens van een andere klant blootlegt niet verhullen.

5. Neem een expliciet besluit

Kies: goedkeuren binnen de reikwijdte, voorwaardelijk goedkeuren, beperken tot een pilot, escaleren of afwijzen. Scheid productieblokkerende voorwaarden van latere verbeteringen. Geef elke voorwaarde een eigenaar, termijn en vereist afrondingsbewijs.

Leg restrisico’s en bevoegde uitzonderingen vast met reden en vervaldatum. Ondertekening mag een technisch of privacybezwaar niet stilzwijgend opheffen. Degene die de integratie inschakelt moet de beslissing begrijpen zonder e-mail- en chatgesprekken te reconstrueren.

6. Bewaak en bereid vertrek voor

Plan een beoordeling op basis van gebruik en risico’s, naast de eerdere gebeurtenissen. Wijs verantwoordelijkheid toe voor meldingen, incidenten, klachten en evaluaties. Heropen alleen betrokken controles wanneer dat gerechtvaardigd is en bewaar de besluitgeschiedenis.

Beschrijf hoe je toegang intrekt, integraties verwijdert, benodigde gegevens exporteert, verwijdering aanvraagt en de taak bij storing of vertrek voortzet. Oefen kritieke stappen voordat je erop vertrouwt. Herbruikbare dossiers beperken ook dubbel werk uit onze gids over handmatige leveranciersrisicobeoordelingen.

Voorbeeld: een assistent gaat privétickets lezen

Stel dat een supportteam al een assistent gebruikt voor antwoordconcepten uit openbare documentatie. Product wil nu privétickets ophalen. Leverancier en abonnement blijven gelijk, maar de gegevensgrens verandert. Beoordeling moet vóór activering plaatsvinden.

De verantwoordelijke actualiseert het dossier. Privacy controleert de verwerkingsafspraken; beveiliging test ticketrechten en scheiding tussen klanten; product onderzoekt onnodige informatie in antwoorden. Inkoop bevestigt dat toezeggingen de nieuwe functie dekken. Het bestaande schrijfgebruik blijft ondertussen mogelijk.

Falen de toegangscontroles, dan blijft de nieuwe functie geblokkeerd. Slagen de controles, dan legt de goedkeuring toegestane gegevens, instellingen, testresultaten, toezicht en heropeningstriggers vast. Dit voorbeeld illustreert een besluitproces, geen conclusie dat een bepaalde implementatie aan alle wetgeving voldoet.

Vermijd veelgemaakte fouten

Een bedrijfsnaam goedkeuren in plaats van een afgebakend gebruik maakt latere veranderingen onzichtbaar. Veel documenten verzamelen zonder bevindingen levert opslag op in plaats van bewijs. Een pilot “laag risico” noemen zonder gegevens of rechten te begrenzen laat de belangrijkste vraag open.

Een andere fout is elke actie bij “compliance” neerleggen. De zakelijke eigenaar moet de taak uitleggen en operationele verantwoordelijkheid dragen; engineering moet controles verifiëren; specialisten moeten binnen hun expertise beslissen. Een coördinator kan voortgang bewaken zonder elk risico te bezitten.

Veelgestelde vragen

Wat is het praktische doel?

Bepalen of een specifieke dienst voor een afgebakende taak gebruikt kan worden, met bewijs, voorwaarden en verantwoordelijken. Het resultaat moet aangeven wat het team mag inschakelen en wat beperkt blijft.

Wat legt een oprichter eerst vast?

Taak, gegevens, rechten en eigenaar. Die feiten maken vervolgvragen concreet. Begin met één relevant gebruik in plaats van een ongerichte vragenlijst door het hele bedrijf te verspreiden.

Moet elke wijziging de hele beoordeling herstarten?

Nee. Vergelijk de wijziging met vastgelegde aannames en heropen relevante controles. Bewaar de reden als er geen wezenlijk effect is. Escaleer bij onduidelijke gevolgen.

Wat moet volgende week gebeuren?

Kies een voorgestelde of actieve AI-dienst. Schrijf het gebruiksdossier, bepaal de grootste bewijslacune en wijs een beoordelaar aan. Spreek een afgebakend besluit af en noteer de volgende aanleiding voordat je toegang uitbreidt.

Bronnen en fotovermelding

Juridische verwijzingen gecontroleerd op 10 september 2026. De gekoppelde bronnen ondersteunen de juridische uitspraken en data; werkwijze en voorbeeld zijn redactionele aanbevelingen.

Foto: Team Meeting, woodleywonderworks, CC BY 2.0. Verkleind tot 1280 × 482 pixels. Illustratieve foto.