Voordat je een contract tekent met een AI-leverancier, stel je minimaal vragen over technische compatibiliteit, dataveiligheid, modeluitlegbaarheid, prestatiegaranties en exitopties. Voor IT-managers en operationeel directeuren in het MKB+ en midcap-segment zijn dit geen nice-to-haves: het zijn de vragen die bepalen of je de regie houdt of kwijtraakt. Hieronder vind je per thema de vragen die ertoe doen.
Hoe weet je of een AI-leverancier technisch bij jouw infrastructuur past?
Een AI-leverancier past technisch bij jouw infrastructuur als zijn oplossing aansluit op jouw bestaande systemen, dataformaten en beveiligingsarchitectuur zonder dat je daarvoor je hele IT-landschap moet omgooien. Vraag expliciet naar API-compatibiliteit, ondersteunde integraties en welke aanpassingen aan jouw kant nodig zijn voor een werkende koppeling.
Veel leveranciers presenteren hun product als breed inzetbaar, maar de details zitten in de connectiviteit. Stel deze vragen concreet:
- Welke integraties zijn standaard beschikbaar, en welke vereisen maatwerk?
- Hoe werkt de oplossing samen met onze bestaande ERP-, CRM- of dataplatforms?
- Wat zijn de minimale vereisten aan onze datakwaliteit en datastructuur?
- Wie draagt de verantwoordelijkheid als een integratie niet goed functioneert?
Een punt dat veel organisaties onderschatten: AI-agents zijn fundamenteel anders dan eenvoudige automatiseringstools. Ze lezen data, nemen beslissingen en voeren acties uit. Dat stelt hogere eisen aan de onderliggende data en processen dan een standaard softwarekoppeling. Als een leverancier niet diep ingaat op jouw datastructuur tijdens de verkoopgesprekken, is dat een signaal om alert op te zijn.
Vraag ook naar de technische roadmap. Een oplossing die vandaag past, moet over twee jaar nog steeds werkbaar zijn naarmate jouw infrastructuur evolueert.
Welke garanties moet je eisen rond dataveiligheid en AVG-compliance?
Je moet van een AI-leverancier minimaal schriftelijke garanties eisen over waar jouw data wordt opgeslagen, wie er toegang toe heeft, hoe lang data wordt bewaard en hoe de leverancier omgaat met een datalek. AVG-compliance is een gedeelde verantwoordelijkheid: de leverancier is verwerker, jij blijft verwerkingsverantwoordelijke.
Dat laatste punt is belangrijk. Jij blijft aansprakelijk tegenover toezichthouders, ook als er bij de leverancier een datalek ontstaat. Controleer daarom het volgende voordat je tekent:
- Is er een verwerkersovereenkomst (DPA) beschikbaar die voldoet aan de AVG?
- Waar worden data opgeslagen: binnen de EU of daarbuiten?
- Welke subverwerkers worden ingeschakeld, en zijn die ook contractueel gebonden?
- Wat is de procedure bij een datalek, en binnen welke termijn word jij geïnformeerd?
- Hoe worden toegangsrechten van de AI-oplossing zelf beheerd en gelogd?
Specifiek voor AI-toepassingen is er nog een extra laag: de EU AI Act stelt aanvullende eisen aan systemen die besluiten nemen die mensen raken. Laat de leverancier toelichten in welke risicocategorie zijn systeem valt en welke documentatieverplichtingen daarvoor gelden. Raadpleeg voor de juridische vertaling naar jouw situatie altijd een eigen adviseur, want dit is een snel bewegend regelgevingsgebied.
Hoe transparant is een AI-leverancier over modelgedrag en uitlegbaarheid?
Een betrouwbare AI-leverancier voor bedrijven kan uitleggen welk model zijn product aandrijft, hoe het tot een uitkomst komt en onder welke omstandigheden het systeem fouten maakt of onzeker is. Als een leverancier dit niet kan of wil beantwoorden, is dat een serieus risico voor jouw operatie.
Uitlegbaarheid is geen theoretisch vraagstuk. Als een AI-agent een beslissing neemt of een aanbeveling doet die invloed heeft op klanten, medewerkers of financiële processen, moet jij kunnen verantwoorden waarom die uitkomst tot stand is gekomen. Stel deze vragen:
- Hoe legt het systeem zijn uitkomsten uit aan eindgebruikers en aan beheerders?
- Wat gebeurt er als het model niet zeker is? Geeft het een foutmelding, een waarschuwing, of gaat het gewoon door?
- Hoe worden hallucinaties of onjuiste outputs gedetecteerd en afgevangen?
- Welke logging is beschikbaar zodat wij achteraf kunnen reconstrueren wat het systeem heeft gedaan?
Vraag ook naar het onderscheid tussen wat het systeem zelfstandig doet en waar een mens in de loop zit. Goede leveranciers denken actief na over autonomieniveaus: wanneer beslist de agent, wanneer adviseert hij en wanneer escaleert hij naar een mens. Als die grens niet helder is in het product, is de kans op ongewenste uitkomsten reëel.
Wat moet er in het contract staan over prestaties en SLA’s?
In een contract met een AI-leverancier moeten minimaal beschikbaarheidsgaranties, responstijden, meetbare kwaliteitsindicatoren voor modeloutput en duidelijke herstelafspraken bij storingen zijn opgenomen. Generieke SLA-taal over “best efforts” is onvoldoende voor systemen die operationele processen ondersteunen.
Het verschil met traditionele software-SLA’s zit in de outputkwaliteit. Een server kan beschikbaar zijn terwijl het model slechte of onjuiste antwoorden geeft. Dat onderscheid moet contractueel zijn vastgelegd. Let op het volgende:
- Welke uptime wordt gegarandeerd, en hoe wordt downtime gemeten en gecompenseerd?
- Zijn er kwaliteitsmetrieken afgesproken voor de nauwkeurigheid of relevantie van de modeloutput?
- Hoe snel reageert de leverancier bij een storing die jouw processen raakt?
- Wat zijn de afspraken over modelupdates: worden die vooraf aangekondigd, en wie test de impact op jouw gebruik?
- Zijn er boeteclausules of credits als de leverancier de afgesproken prestaties niet haalt?
Modelupdates zijn een specifiek aandachtspunt bij AI implementeren voor bedrijven in groei. Een update die het model verbetert voor de gemiddelde gebruiker, kan jouw specifieke use case negatief beïnvloeden. Zorg dat het contract afspraken bevat over hoe updates worden gecommuniceerd en hoe jij als klant invloed hebt op het moment van uitrollen.
Hoe beoordeel je de exitstrategie en vendor lock-in risico’s?
Je beoordeelt vendor lock-in risico’s door te kijken naar dataportabiliteit, de beschikbaarheid van open standaarden in de integratie en de kosten en doorlooptijd van een eventuele overstap naar een andere leverancier. Hoe moeilijker het is om weg te gaan, hoe sterker jouw onderhandelingspositie nu moet zijn.
Lock-in bij AI-oplossingen werkt op meerdere niveaus tegelijk: technisch, via proprietary API’s en dataformaten; operationeel, doordat processen en werkwijzen zijn ingericht rondom één systeem; en organisatorisch, doordat medewerkers zijn getraind op één specifieke tool. Stel deze vragen voordat je tekent:
- In welk formaat kan ik mijn data opvragen en exporteren als ik wil overstappen?
- Zijn de integraties gebouwd op open standaarden, of op proprietary protocollen van de leverancier?
- Wat is de contractuele opzegtermijn en zijn er uitstapkosten?
- Blijft de historische data en logging beschikbaar na beëindiging van het contract?
- Wat gebeurt er met fine-tuning of aanpassingen die specifiek voor onze organisatie zijn gemaakt?
Een leverancier die moeite doet om exitvragen te ontwijken of vaag blijft over dataportabiliteit, geeft daarmee al een antwoord. De beste leveranciers maken de exitstrategie juist transparant, omdat ze weten dat klanten die vrij kunnen vertrekken ook vrijwillig blijven.
Hoe wij helpen bij het beoordelen van AI-leveranciers
De vragen hierboven klinken overzichtelijk op papier, maar in de praktijk ontbreekt vaak de tijd, de technische diepgang of het referentiekader om antwoorden echt te beoordelen. Wij helpen MKB+ en midcap-organisaties om die beoordeling gestructureerd te maken, voordat er een handtekening staat.
Dat doen we via de Foundation Scan: een gestructureerde quickscan in drie gerichte gesprekken van elk circa 45 minuten, gericht op de negen fundamenten van het AI Foundationsmodel die bepalen of een organisatie klaar is voor AI. De scan brengt in kaart waar de risico’s zitten op het gebied van datakwaliteit, security, procesvolwassenheid en compliance, en geeft je een concreet beeld van wat je van een leverancier mag verwachten en wat je zelf op orde moet hebben.
- Drie gesprekken van 45 minuten, met de juiste mensen in jouw organisatie
- Output: een score per fundament op een driepuntsschaal, met concrete risico’s en aanbevelingen
- Totale tijdsinvestering aan jouw kant: twee tot drie uur, verspreid over drie personen
- Geen generieke consultancy, maar specialisten per vakgebied die uitsluitend binnen hun eigen expertise werken
Via AIConnected verbinden we je met de specialisten die jouw specifieke vraagstuk het beste begrijpen. Wil je weten wat de Foundation Scan voor jouw organisatie oplevert? Meld je aan voor een eerste gesprek en we plannen een eerste gesprek in.