Een AI-contract moet minimaal clausules bevatten over aansprakelijkheid, datagebruik, prestatienormen, auditrechten en exitvoorwaarden. Voor IT-managers en operationeel directeuren die AI verantwoord willen invoeren, zijn deze afspraken geen juridische formaliteit maar een directe beheerstool. De vragen hieronder geven je per onderwerp een concreet antwoord op wat je moet vastleggen voordat je tekent.
Welke clausules mogen niet ontbreken in een AI-contract?
Een AI-contract moet op zijn minst de volgende onderwerpen regelen: aansprakelijkheid bij fouten, eigenaarschap en gebruik van data, prestatienormen met meetbare indicatoren, auditrechten voor logging en traceerbaarheid, en exitvoorwaarden inclusief dataportabiliteit. Ontbreekt een van deze elementen, dan loop je als afnemer een onbeheersbaar risico zodra het systeem in productie gaat.
Veel standaardcontracten van AI-leveranciers zijn geschreven vanuit het perspectief van de aanbieder. Ze beperken aansprakelijkheid zo veel mogelijk, laten datagebruik breed open en definiëren prestaties vaag. Als je als organisatie al bestaande compliance-verplichtingen hebt, een eigen IT-afdeling en datastructuren die je wilt beschermen, dan moet je deze standaardteksten actief aanpassen voordat je akkoord gaat.
Een goed AI-contract functioneert als een governancedocument: het legt vast wie waarvoor verantwoordelijk is, wat het systeem mag doen, en wat er gebeurt als het misgaat. Dat is geen juridische luxe, het is de basis van verantwoord AI-gebruik. Als je een oplossing zoekt voor AI-governance, kunnen we je koppelen aan de juiste specialisten.
Wie is aansprakelijk als een AI-model een fout maakt?
Aansprakelijkheid bij AI-fouten is in de meeste standaardcontracten bewust vaag gehouden. In de praktijk geldt: de organisatie die het systeem inzet, is primair verantwoordelijk voor de gevolgen van een fout, tenzij contractueel anders is vastgelegd. Je moet dus expliciet regelen in welke gevallen de leverancier aansprakelijk is, en voor welk deel van de schade.
Leg minimaal het volgende vast:
- Bij welke categorieën fouten de leverancier aansprakelijkheid erkent, bijvoorbeeld bij aantoonbare modelfouten of onjuiste trainingsdata
- Wat de maximale aansprakelijkheidsgrens is, en of die in verhouding staat tot de contractwaarde
- Wie verantwoordelijk is voor de kwaliteit van de inputdata, jijzelf of de leverancier
- Hoe foutmeldingen worden gedocumenteerd en binnen welke termijn de leverancier moet reageren
Een AI-systeem presenteert een onjuiste uitkomst met dezelfde stelligheid als een correcte. Dat maakt het lastiger om fouten tijdig te signaleren. Zorg daarom ook voor een contractuele verplichting tot logging: welke beslissingen heeft het systeem genomen, op basis van welke input, en op welk moment. Zonder die herleidbaarheid kun je aansprakelijkheid achteraf nauwelijks aantonen.
Wat moet er in een AI-contract staan over datagebruik?
Een AI-contract moet precies omschrijven welke data de leverancier mag gebruiken, voor welk doel, en of jouw bedrijfsdata wordt ingezet voor het trainen of verbeteren van modellen. Dit is een van de meest onderschatte risico’s: veel leveranciers behouden zich het recht voor om gebruikersdata te verwerken op manieren die niet direct zichtbaar zijn in de hoofdovereenkomst.
Stel contractueel vast:
- Dat jouw data uitsluitend wordt gebruikt voor de uitvoering van de overeengekomen dienst, niet voor modeltraining of productontwikkeling van de leverancier
- Waar data wordt opgeslagen en verwerkt, inclusief eventuele subverwerkers en locaties buiten de EU
- Hoe lang data wordt bewaard en wie het recht heeft om data te laten verwijderen
- Hoe de leverancier omgaat met AVG-verplichtingen, inclusief een verwerkersovereenkomst als bijlage
Als het AI-systeem toegang heeft tot meerdere databronnen binnen je organisatie, dan geldt bovendien het minimale-rechtenprincipe: het systeem mag alleen bij de data die het nodig heeft voor de specifieke taak. Leg dit vast als technische en contractuele eis, niet alleen als beleidsvoornemen. Een salesagent die toegang krijgt tot HR-data is een governancegat, ook als dat technisch mogelijk is.
Hoe leg je prestatienormen vast voor AI-systemen?
Prestatienormen voor AI-systemen leg je vast als meetbare serviceniveaus: nauwkeurigheidsdrempels, beschikbaarheidspercentages, maximale responstijden en afgesproken foutmarges per use case. Vermijd vage formuleringen zoals “het systeem levert kwalitatief goede uitkomsten”. Die zijn in de praktijk niet handhaafbaar.
Definieer per toepassing wat succes betekent. Een waardehypothese helpt daarbij: wie heeft last van welk probleem, hoe vaak, en wat moet het systeem concreet verbeteren? Vanuit die hypothese kun je meetbare normen opstellen die in het contract komen. Voorbeelden:
- Het classificatiemodel heeft een minimale nauwkeurigheid van X procent op een gedefinieerde testset
- Het systeem is beschikbaar gedurende minimaal Y procent van de tijd per maand
- Afwijkingen boven een vastgestelde drempel worden automatisch gelogd en binnen Z uur gemeld
- De leverancier levert kwartaalrapportages over modelperformance, inclusief drift-indicatoren
Leg ook vast wat er gebeurt als de normen niet worden gehaald. Denk aan een escalatieprocedure, een recht op herstel binnen een bepaalde termijn, of een financiële verrekening. Zonder consequenties zijn SLA’s in een AI-contract weinig meer dan papier.
Welke exitrechten moet je bedingen bij een AI-leverancier?
Je moet bij een AI-leverancier minimaal de volgende exitrechten vastleggen: het recht om alle bedrijfsdata te exporteren in een bruikbaar formaat, een transitieperiode waarin de leverancier medewerking verleent aan migratie, en duidelijkheid over wat er met jouw data gebeurt na beëindiging van het contract.
Vendor lock-in is bij AI-systemen een reëel risico. Modellen worden soms getraind op jouw data of ingericht op jouw processen, waardoor overstappen technisch complex en kostbaar wordt. Bescherm jezelf contractueel door:
- Een dataportabiliteitsclausule die export garandeert in een open of gestandaardiseerd formaat
- Een minimale transitieperiode van dertig tot negentig dagen na opzegging
- Een verbod op het gebruik van jouw data na contractbeëindiging, inclusief voor modeltraining
- Afspraken over documentatie: de leverancier moet bij vertrek voldoende technische documentatie overdragen zodat je het systeem elders kunt voortzetten of herbouwen
Exitrechten zijn ook relevant als de leverancier failliet gaat, wordt overgenomen of zijn dienst staakt. Neem een clausule op die jouw rechten beschermt in die scenario’s, inclusief toegang tot escrow-code of modelparameters als dat voor jouw toepassing relevant is.
Hoe verhoudt een AI-contract zich tot de EU AI Act?
De EU AI Act legt verplichtingen op aan zowel aanbieders als gebruikers van AI-systemen, afhankelijk van het risiconiveau van de toepassing. Als organisatie die een AI-systeem inzet, ben je in de meeste gevallen “deployer” en draag je verantwoordelijkheid voor correct gebruik, logging en naleving van de wet. Je AI-contract moet die verantwoordelijkheidsverdeling expliciet regelen.
Twee bepalingen zijn direct relevant voor contractonderhandelingen in 2026:
- Artikel 4 (AI-geletterdheid) verplicht zowel aanbieders als gebruikers om voldoende AI-kennis bij personeel te borgen voor alle AI-systemen, ongeacht risiconiveau. Leg contractueel vast dat de leverancier bijdraagt aan onboarding en documentatie die dit mogelijk maakt.
- Artikel 12 (Record-keeping) vereist verplichte automatische logging gedurende de volledige levensduur van hoog-risico-AI-systemen, volledig van toepassing vanaf 2 augustus 2026. Zorg dat het contract de leverancier verplicht deze logging technisch te faciliteren en beschikbaar te stellen voor audits.
Vraag bij de leverancier na of het systeem is geclassificeerd als hoog risico onder de EU AI Act, en welke conformiteitsdocumentatie beschikbaar is. Als die documentatie ontbreekt of onduidelijk is, is dat een signaal om de contractonderhandelingen te vertragen totdat er duidelijkheid bestaat. Compliance is geen detail dat je achteraf kunt oplossen.
Hoe wij helpen bij AI-governance en contractvoorbereiding
Een AI-contract goed inrichten vraagt om meer dan juridische kennis. Je hebt inzicht nodig in hoe het systeem technisch werkt, welke data het raakt, en welke governance-structuur je organisatie al heeft. Dat is precies waar wij professionals en organisaties bij samenbrengen.
Via ons netwerk verbinden we je met specialty partners die dit werk in de praktijk uitvoeren:
- AI Compliance specialisten die de EU AI Act vertalen naar concrete contractvereisten
- Privacy Officers en DPO’s die AVG-verplichtingen en verwerkersovereenkomsten beoordelen
- Data Governance Leads die toegangsbeheer, logging en datacontracten inrichten
- AI Strategy Leads die helpen de waardehypothese scherp te formuleren voordat je een leverancier kiest
We werken zonder hoge marges van tussenpartijen. Je legt je vraag bij ons neer, wij selecteren de juiste partners uit ons netwerk, en samen bepaal je de aanpak en condities. Zo houd je grip op kwaliteit en kosten via het AI Foundationsmodel voor gestructureerde aanpak. Neem contact op en we plannen een kennismaking in.