Vraagt een klant wat u met AI doet?
Leveranciersvragenlijsten hebben nu een onderdeel over artificiële intelligentie: welke tools, welke gegevens, welke aanbieders. Deze gids legt uit waarom u die vragen krijgt, wat er gevraagd wordt, en wat de Europese AI-verordening (AI Act) al oplegt.
Waarom uw klant het vraagt
Uw klant is verantwoordelijk voor zijn gegevens onder de AVG, en voor zijn eigen gebruik van AI onder de AI Act. Wanneer u zijn gegevens met een AI-tool verwerkt, wordt die tool een schakel in zijn keten: hij moet weten welke, waar, en met welke waarborgen. De vragenlijst is hoe hij dat controleert.
Wat u gevraagd wordt
De vragen verschillen van klant tot klant, maar komen bijna altijd neer op deze acht punten. Per punt: wat erop antwoordt.
Welke AI-tools gebruikt u, en waarvoor?
De lijst van tools (schrijf-, code-, supportassistenten…) en waarvoor elk dient.
Welke gegevens stuurt u ernaar?
De categorieën gegevens die in elke tool terecht kunnen komen, en welke u uitsluit, vooral de gegevens van uw klanten.
Worden onze gegevens gebruikt om een model te trainen?
Per tool wat het contract of de instellingen bepalen: training uitgeschakeld, hoe lang prompts bewaard worden.
Waar worden onze gegevens verwerkt?
De verwerkingsregio van elke AI-aanbieder, en of gegevens de EU verlaten.
Staan uw AI-aanbieders bij uw subverwerkers?
Uw actuele lijst van subverwerkers, met de AI-aanbieders die persoonsgegevens verwerken.
Wie controleert wat de AI produceert?
De stappen waarin een persoon het resultaat nakijkt voor het naar een klant gaat of een beslissing voedt.
Hoe is uw personeel opgeleid?
De maatregelen waarmee uw teams leren AI te gebruiken en de grenzen ervan kennen: interne regels, opleiding, hulpmiddelen.
Meldt u AI aan uw gebruikers?
Als uw klanten met een geautomatiseerde assistent praten of gegenereerde inhoud ontvangen, hoe u hen dat laat weten.
Het verklaringssjabloon volgt deze acht punten, één onderdeel per punt. Vertrek van het verklaringssjabloon
Eén keer antwoorden, niet per klant
Deze vragen komen bij elke nieuwe klant terug. Publiceer een verklaring over uw AI-gebruik op uw trust center en zet uw AI-aanbieders op uw lijst van subverwerkers: u stuurt een link, en elke versie blijft gedateerd wanneer uw tools veranderen.
Wat de AI Act oplegt, en wanneer
Verordening (EU) 2024/1689 is gefaseerd van toepassing. Dit zijn de data die tellen voor een bedrijf dat AI-tools gebruikt, zoals gewijzigd door Verordening (EU) 2026/1744, die een deel ervan uitstelde.
2 februari 2025
Verboden AI-praktijken (artikel 5), en de plicht maatregelen te nemen voor de AI-geletterdheid van uw personeel (artikel 4).
2 augustus 2026
Transparantieverplichtingen (artikel 50): melden dat men met AI communiceert, deepfakes bekendmaken.
2 december 2027
Regels voor AI-systemen met een hoog risico uit bijlage III, zoals werving of kredietbeoordeling. Uitgesteld: ze waren voorzien voor 2 augustus 2026.
2 augustus 2028
Regels voor AI in producten die al gereglementeerd zijn (bijlage I). Eveneens uitgesteld.
Of een bepaald gebruik een hoog risico inhoudt, of u aanbieder bent eerder dan gebruiksverantwoordelijke, vraagt een analyse geval per geval. Deze pagina maakt die niet: de tekst en de richtsnoeren van de Commissie zijn de bronnen om te raadplegen.
De AI Act op EUR-Lex (opent in een nieuw tabblad)Veelgestelde vragen
- Maakt het gebruik van ChatGPT of Copilot mij een « aanbieder » volgens de AI Act?
- Meestal niet: u bent dan een « gebruiksverantwoordelijke », een professionele gebruiker van een systeem dat een ander aanbiedt. U wordt aanbieder wanneer u een AI-systeem ontwikkelt of laat ontwikkelen en het onder uw eigen naam in de handel brengt of in gebruik stelt.
- Hebt u een certificering nodig?
- Voor gewoon gebruik van AI-tools legt de AI Act er geen op. Conformiteitsbeoordelingen gelden voor systemen met een hoog risico, vanaf december 2027. Een klant kan wel een norm zoals ISO/IEC 42001 vragen.
- Moet mijn verklaring openbaar zijn?
- Nee. U kunt de lijst van tools publiceren en de details van instellingen en contracten voorbehouden aan de klanten aan wie u toegang geeft.