Verwerkersovereenkomst AI-aanbieder: wat moet erin staan?

Wanneer heb je een verwerkersovereenkomst nodig bij AI-gebruik?

Zodra je als ondernemer persoonsgegevens invoert in een AI-tool, ben je volgens de AVG "verwerkingsverantwoordelijke" en is de AI-aanbieder je "verwerker". Denk aan het laten samenvatten van een sollicitatiebrief door ChatGPT, het genereren van een klantmail met Copilot, of het transcriberen van een verkoopgesprek met een AI-notulentool. In al die gevallen verwerkt de AI-aanbieder gegevens namens jou, en dat mag alleen op basis van een schriftelijke verwerkersovereenkomst (artikel 28 lid 3 AVG). Ontbreekt die overeenkomst, dan overtreed je de AVG — ongeacht of er daadwerkelijk iets misgaat met de gegevens.

Dit geldt niet alleen voor klantgegevens. Ook namen, e-mailadressen, functioneringsgesprekken of andere gegevens van je eigen personeel vallen eronder zodra je die in een AI-tool verwerkt. We bespraken dit al kort in ons artikel over persoonsgegevens in ChatGPT en de AVG; op deze pagina duiken we dieper in de verwerkersovereenkomst zelf.

Gratis versus zakelijke AI-abonnementen: wat is het verschil?

Een cruciaal, en vaak over het hoofd gezien, punt: niet elk abonnement van een AI-aanbieder komt met een verwerkersovereenkomst.

• Gratis en consumenten-tiers (zoals de gratis versie van ChatGPT of een persoonlijk Google Gemini-account) bieden meestal geen verwerkersovereenkomst. De algemene voorwaarden zijn geschreven voor consumentengebruik, en input kan in sommige gevallen zelfs gebruikt worden om het model te trainen, tenzij je dat handmatig uitzet.
• Zakelijke abonnementen (zoals ChatGPT Team of Enterprise, Microsoft 365 Copilot, Google Workspace met Gemini) bieden doorgaans wél een verwerkersovereenkomst, vaak "Data Processing Addendum" (DPA) genoemd. Hier wordt standaard uitgesloten dat je data voor modeltraining wordt gebruikt.
• API-toegang (rechtstreeks programmatisch gebruik van bijvoorbeeld de OpenAI-API of Azure OpenAI Service) valt bij de grote aanbieders vaak automatisch onder hun standaard-DPA, maar controleer dit altijd specifiek voor het product dat je gebruikt.

Gebruik je binnen je bedrijf nu een gratis account voor werkgerelateerde taken met persoonsgegevens? Dan loop je AVG-risico. De eerste praktische stap is dus vaak simpelweg: overstappen naar het zakelijke abonnement van dezelfde aanbieder.

Wat moet er in de verwerkersovereenkomst staan?

Een verwerkersovereenkomst met een AI-aanbieder moet, net als bij elke andere verwerker, voldoen aan de eisen van artikel 28 AVG. Let bij AI-tools specifiek op de volgende onderdelen:

• Doel en aard van de verwerking — welke AI-functionaliteit wordt gebruikt en waarvoor (bijvoorbeeld tekstgeneratie, transcriptie, samenvatting).
• Categorieën van gegevens en betrokkenen — gaat het om klantgegevens, personeelsgegevens, of mogelijk bijzondere persoonsgegevens?
• Gebruik van data voor modeltraining — expliciete uitsluiting dat jouw input en output worden gebruikt om het AI-model verder te trainen, tenzij je daar bewust voor kiest.
• Bewaartermijnen — hoe lang bewaart de aanbieder chatlogs, prompts en gegenereerde output, en kun je die zelf verwijderen?
• Beveiligingsmaatregelen — encryptie, toegangsbeheer en andere technische en organisatorische maatregelen.
• Sub-verwerkers — welke onderaannemers (bijvoorbeeld cloudhostingpartijen) worden ingeschakeld en waar deze zich bevinden.
• Meldplicht bij datalekken — binnen welke termijn de aanbieder jou informeert zodat jij op tijd kunt melden bij de Autoriteit Persoonsgegevens (AP). De AP heeft herhaaldelijk gewaarschuwd dat organisaties eindverantwoordelijk blijven voor datalekken die via AI-chatbots ontstaan, ook als de fout bij de aanbieder ligt.
• Doorgifte van gegevens buiten de EER — zie hieronder.
• Audit- en controlerechten — de mogelijkheid om naleving te controleren.

Wil je dit stap voor stap zelf opstellen of controleren? Met een verwerkersovereenkomst die je zelf kunt opstellen doorloop je alle verplichte onderdelen zonder juridische voorkennis.

Doorgifte van data naar de VS en andere landen

De meeste grote AI-aanbieders — OpenAI, Microsoft, Google — zijn Amerikaanse bedrijven of verwerken (mede) via Amerikaanse servers. Persoonsgegevens die naar de VS gaan, vallen onder de regels voor "doorgifte van persoonsgegevens naar een derde land" uit hoofdstuk V AVG. Sinds juli 2023 is er het EU-US Data Privacy Framework (DPF): Amerikaanse bedrijven die zich hierbij hebben aangesloten en gecertificeerd zijn, mogen persoonsgegevens uit de EU ontvangen zonder aanvullende waarborgen, omdat de Europese Commissie dit kader passend heeft verklaard.

• Controleer of de specifieke entiteit van je AI-aanbieder (bijvoorbeeld "OpenAI, L.L.C." of "Microsoft Corporation") daadwerkelijk op de DPF-lijst staat. Dit kun je narekenen via het officiële DPF-register.
• Staat de aanbieder niet op de lijst, of gaat het om doorgifte naar een ander land buiten de EER? Dan is meestal een aanvullende waarborg nodig, zoals de Standard Contractual Clauses (SCC's) van de Europese Commissie, vaak als bijlage bij de verwerkersovereenkomst.
• Let op regionale opties: sommige aanbieders bieden EU-dataresidentie aan (data blijft binnen de EER), wat doorgifteproblematiek grotendeels voorkomt.

Kortom: een goede verwerkersovereenkomst met een Amerikaanse AI-aanbieder verwijst expliciet naar het DPF óf bevat SCC's als aanvullende waarborg.

Hoe kom je aan een verwerkersovereenkomst met je AI-aanbieder?

In de praktijk werkt het bij grote AI-aanbieders meestal als volgt:

• Stap 1: Check je abonnement. Gebruik je een gratis of consumentenversie? Overweeg over te stappen naar een zakelijk abonnement waar een DPA beschikbaar is.
• Stap 2: Zoek het DPA-aanbod op. Grote aanbieders publiceren hun standaard-verwerkersovereenkomst (DPA) online, vaak in het beheerdersportaal of trust center van het account.
• Stap 3: Accepteer of onderteken de DPA. Bij veel diensten kun je dit digitaal accepteren via de accountinstellingen; bij enterprise-contracten loopt dit via een accountmanager.
• Stap 4: Controleer de inhoud. Toets het aanbod aan de checklist hierboven: modeltraining uitgesloten, bewaartermijnen duidelijk, doorgifteregeling (DPF/SCC's) aanwezig.
• Stap 5: Leg intern vast welke tools je gebruikt. Neem elke AI-tool op in je verwerkingsregister, inclusief de bijbehorende verwerkersovereenkomst.
• Stap 6: Herhaal dit voor elke nieuwe AI-tool. Elke nieuwe AI-toepassing die persoonsgegevens verwerkt, vraagt om dezelfde controle.

Heb je te maken met een kleinere of nichespeler die geen kant-en-klare DPA aanbiedt? Dan kun je zelf het initiatief nemen en een verwerkersovereenkomst opstellen die je ter ondertekening voorlegt aan de aanbieder.