Een AI-agent inkopen: wat regelt u in het contract?

Stel: uw klantenservice wil een AI-agent die de gedeelde mailbox leest, in het orderbeheer kijkt en klanten zelf antwoordt. De leverancier stuurt zijn standaardcontract: licentie, serviceniveau en een verwerkersovereenkomst als bijlage. Er staat niets in over wat de agent mag doen, wie hem kan stoppen, welke logs u krijgt en wat er gebeurt als het model wordt vervangen. Een agent antwoordt niet alleen, hij handelt. Algemene AI-inkoop staat in AI-inkoop en contracten en een AI-leverancier beoordelen; hier gaat het om wat een agent extra vraagt.

Welke rol hebt u als u een AI-agent inkoopt?

De rol bepaalt de plicht. Een agent is volgens de Europese Commissie doorgaans een AI-systeem, al noemt zij dat standpunt voorlopig. Aanbieder (provider) is wie een systeem ontwikkelt of laat ontwikkelen en onder eigen naam of merk in de handel brengt of in gebruik stelt, ook voor eigen gebruik (artikel 3 punt 3); gebruiksverantwoordelijke (deployer) is wie het onder eigen verantwoordelijkheid gebruikt. Onder de AVG bent u in de regel verwerkingsverantwoordelijke en de leverancier verwerker (artikel 4 punt 7 en 8). Uw AI-rol kan schuiven:

De plichten van de gebruiksverantwoordelijke bij hoog risico (artikel 26) gelden voor bijlage III vanaf 2 december 2027. Was het systeem vóór die datum al in de handel of in gebruik, dan gelden ze pas na een aanzienlijke wijziging in het ontwerp, voor overheidssystemen uiterlijk 2 augustus 2030 (artikel 111 lid 2). Een contract van nu kan langer lopen; regel dus wijzigingen en medewerking vooraf. Is de agent geen hoog risico, dan komt het meeste uit de AVG, aangevuld met artikel 4 en artikel 50. Leg de rollen per agent vast in een bijlage en lees de voorwaarden: heeft de oorspronkelijke aanbieder duidelijk aangegeven dat zijn systeem niet hoog risico mag worden, dan hoeft hij niet mee te werken (artikel 25 lid 2). Bouwt u een hoog-risicosysteem op het platform van een leverancier, dan vraagt artikel 25 lid 4 een schriftelijke overeenkomst over informatie, toegang en bijstand. Welke plichten gelden, ziet u in de Agent-check; het kader staat in de gids over AI-agents en de wet.

Wat moet de agent doen, en wat niet?

Beschrijf de taak in het contract of een bijlage: handelingen, gegevens, systemen en wat de agent nooit mag. Het beoogde doel dat de aanbieder opgeeft (artikel 3 punt 12) telt mee bij de risicoklasse. Onder de AVG moet het doel vooraf vaststaan en mag u niet meer gegevens gebruiken dan nodig (artikel 5 lid 1 onder b en c AVG). De Autoriteit Persoonsgegevens noemt één specifieke taak per agent een goede praktijk en merkt op dat aanbieders het inbouwen van vangrails aan organisaties overlaten (RAN 6). Leg vast welke begrenzingen de leverancier levert en begin met beperkte rechten.

Wat mag de leverancier met uw gegevens doen?

Een verwerker verwerkt alleen op uw schriftelijke instructies (artikel 28 lid 3 onder a AVG). Leg vast dat de leverancier en zijn onderaannemers uw invoer, uitvoer, logs en afgeleide gegevens, zoals het geheugen van de agent, niet gebruiken om modellen te trainen of te verbeteren, tenzij u dat schriftelijk toestaat voor een omschreven doel. Bepaalt hij in strijd met de AVG zelf doel en middelen, bijvoorbeeld door op uw gegevens te trainen, dan wordt hij voor die verwerking als verwerkingsverantwoordelijke beschouwd (artikel 28 lid 10 AVG). Staat u het wel toe, dan is hij voor dat doel zelf verwerkingsverantwoordelijke en hebt u een eigen grondslag nodig om de gegevens aan hem te verstrekken. Bedrijfsgeheimen beschermt vooral het contract, niet de AVG.

Wat staat er in de verwerkersovereenkomst, en wie zit er in de keten?

Artikel 28 lid 3 AVG schrijft de inhoud voor, van instructies en geheimhouding tot hulp bij datalekken en DPIA, wissen of teruggeven en audits. Bij een agent zit de moeite in de keten: achter de leverancier werken een modelaanbieder, hosting en tools als plug-ins en MCP-servers (koppelingen waarmee een agent tools en gegevensbronnen bereikt). Regel:

• een actuele lijst van alle subverwerkers met naam, adres en contactpersoon, die u volgens de EDPB steeds paraat moet hebben, plus de plaats van verwerking;
• toestemming vooraf, of kennisgeving met bezwaarrecht, bij elke nieuwe of vervangende subverwerker (lid 2), en via het contract ook bij een nieuw model of een nieuwe tool van een bestaande subverwerker;
• dezelfde plichten voor elke onderaannemer, waarvoor de leverancier tegenover u blijft instaan (lid 4);
• een toegestane lijst van tools en versies met een onderdelenoverzicht (SBOM), zoals zes cyberdiensten adviseren.

Welke beveiliging mag u eisen?

Artikel 32 AVG vraagt maatregelen die bij het risico passen. Bij een agent betekent dat: begrens wat hij kan. Eis een eigen identiteit per agent, minimale rechten, kort geldige sleutels en een testomgeving, zoals zes cyberdiensten gezamenlijk adviseren. Neem geen genoegen met de belofte dat prompt injection (verborgen opdrachten) is uitgesloten: het Britse NCSC acht het goed mogelijk dat die nooit helemaal te voorkomen is. Vraag een ontwerp dat schade begrenst, resultaten van red teaming (aanvallen nabootsen om zwakke plekken te vinden) en een termijn voor het verhelpen van kwetsbaarheden. Meer: beveiligingsrisico's van AI-agents.

Welke logs krijgt u, en hoe lang?

Zonder logs kunt u niet reconstrueren wat de agent deed. Leg vast wat wordt gelogd (toolaanroepen met uitkomst, goedkeuringen, modelversie), dat de agent de logs niet kan wijzigen, dat u ze kunt inzien en exporteren, en hoe lang ze bewaard blijven. Bij hoog risico moet het systeem logs vastleggen (artikel 12) en moet de aanbieder beschrijven hoe u ze leest (artikel 13 lid 3 onder f). De gebruiksverantwoordelijke bewaart logs die onder zijn controle vallen ten minste zes maanden, tenzij ander recht, met name gegevensbeschermingsrecht, iets anders bepaalt (artikel 26 lid 6). Staan ze alleen bij de leverancier, breng ze dan via het contract onder uw controle.

Wanneer moet de leverancier een incident melden?

Een verwerker meldt een datalek zonder onredelijke vertraging aan u (artikel 33 lid 2 AVG); u meldt het zelf zonder onredelijke vertraging en zo mogelijk binnen 72 uur nadat u het weet aan de Autoriteit Persoonsgegevens, tenzij het lek waarschijnlijk geen risico oplevert (lid 1); vastleggen moet u altijd (lid 5). Spreek dus een termijn in uren af, met een contactpunt dat dag en nacht bereikbaar is. Definieer incident breder dan een datalek: ook een agent die buiten zijn taak handelt of een geslaagde verborgen opdracht. Bij hoog risico meldt de aanbieder een ernstig incident onmiddellijk en uiterlijk 15 dagen nadat hij of u ervan weet; bij overlijden uiterlijk 10 dagen, bij een wijdverbreide inbreuk of verstoring van kritieke infrastructuur uiterlijk 2 dagen (artikel 73). U meldt een ernstig incident eerst aan de aanbieder (artikel 26 lid 5): leg vast hoe u elkaar informeert. Voor essentiële en belangrijke entiteiten komen bij een significant incident onder de Cyberbeveiligingswet termijnen van 24 en 72 uur erbij; zie AI-agents en de Cyberbeveiligingswet.

Wie keurt goed, en wie kan de agent stoppen?

Menselijk toezicht werkt alleen als het in de software zit en niet alleen in de opdracht aan het model. Leg vast welke handelingen nooit zonder goedkeuring van een mens mogen (extern versturen, betalen, verwijderen, besluiten over mensen), dat u die momenten zelf instelt en dat de agent bij twijfel stopt. Regel een noodstop die u zelf bedient: pauzeren en toegang intrekken zonder op de leverancier te wachten. Bij hoog risico moet het systeem met een stopknop of vergelijkbare procedure kunnen worden stilgezet (artikel 14 lid 4 onder e) en moet u bij een risico het gebruik onderbreken (artikel 26 lid 5). Besluit de agent over mensen, dan geldt ook artikel 22 AVG.

Wie zorgt voor de melding dat het een AI is?

Artikel 50 lid 1 rust op de aanbieder: een systeem dat bedoeld is om rechtstreeks met mensen te communiceren, moet zo zijn ontworpen dat zij weten dat het AI is, tenzij dat voor een normaal geïnformeerde en oplettende persoon al duidelijk is, uiterlijk bij de eerste interactie (lid 5). Dat geldt sinds 2 augustus 2026. Volgens de richtsnoeren van de Commissie van 20 juli 2026 (punt 31, niet bindend) maakt een agent ook bekend namens wie hij handelt. Leg vast dat de leverancier de melding inbouwt en dat u organisatienaam en taal per kanaal instelt. Zet u de agent onder eigen naam in, dan kunt u zelf aanbieder zijn.

Wat als de leverancier het model of de agent verandert?

Een agent verandert ook zonder dat u iets merkt: een nieuw model, een tool met andere rechten, een verdwenen functie. Leg vast: aankondiging vooraf van wezenlijke wijzigingen, een testomgeving, de versie kunnen vastzetten, terugdraaien en een recht om bezwaar te maken of kosteloos te stoppen. Laat deze afspraken voorgaan op algemene voorwaarden en online documentatie, die de leverancier zelf kan aanpassen. Bezwaar tegen een nieuwe subverwerker staat in artikel 28 lid 2 AVG; bij hoog risico vermeldt de aanbieder vooraf bepaalde wijzigingen in de gebruiksinstructies (artikel 13 lid 3 onder c).

Hoe controleert u de leverancier?

De verwerkersovereenkomst moet bepalen dat de verwerker alle informatie geeft die nodig is om de nakoming van zijn plichten uit artikel 28 AVG aan te tonen, en dat hij audits, inclusief inspecties, mogelijk maakt (artikel 28 lid 3 onder h AVG). Dat wettelijke minimum gaat over de verwerking van persoonsgegevens. Inzage in configuratie, rechten en logs, auditrapporten en testresultaten legt u daarnaast als contractafspraak vast. De AI Act verplicht de aanbieder bij hoog risico tot gebruiksinstructies (artikel 13), niet tot audits door u; die instructies gebruikt u voor uw DPIA (artikel 26 lid 9). Een goedgekeurde gedragscode of certificering is slechts één element om garanties aan te tonen (artikel 28 lid 5 AVG).

Hoe komt u uit het contract?

Na afloop wist of retourneert de verwerker naar uw keuze alle persoonsgegevens en verwijdert hij bestaande kopieën, tenzij het recht bewaring verplicht (artikel 28 lid 3 onder g AVG). Noem bij een agent uitdrukkelijk het geheugen, de zoekindex, de logs en de kopieën bij subverwerkers, en vraag bevestiging van het wissen. Is de agent een clouddienst die onder de Data Act valt, dan moet het contract sinds 12 september 2025 een opzegtermijn van hooguit twee maanden om de overstap te starten, een overgangsperiode van hooguit 30 dagen, die de aanbieder bij technische onhaalbaarheid tot ten hoogste zeven maanden mag verlengen, en minstens 30 dagen om gegevens op te halen regelen (artikel 25 Data Act).

Wie draagt de schade als de agent iets fout doet?

Tegenover uw eigen klanten gelden de gewone regels; zie wie is verantwoordelijk als een AI-agent fouten maakt. Tussen u en de leverancier bepaalt vooral het contract wat u kunt verhalen. De herziene productrichtlijn (Richtlijn (EU) 2024/2853) helpt bedrijven niet: alleen natuurlijke personen hebben recht op vergoeding en eigendom dat uitsluitend zakelijk wordt gebruikt valt erbuiten (artikel 5 en 6); ze geldt bovendien alleen voor producten die na 9 december 2026 in de handel komen of in gebruik worden genomen. Regel zelf welke schade onder het contract valt, hoe hoog het schadeplafond is, wat daarbuiten blijft (zoals schending van geheimhouding of verwerkersplichten) en of de leverancier verzekerd is.

Checklist: de clausules op een rij

Gebruik de tabel als werklijst bij de onderhandeling; (hr) betekent: alleen bij hoog risico. Koopt u als overheidsorganisatie in, dan kunt u ook de Europese modelcontractbepalingen voor AI-inkoop gebruiken (MCC-AI, bijgewerkte versie van 5 maart 2025, met een versie voor hoog risico en een lichte versie), en als gemeente de GIBIT 2025 van de VNG. Dat zijn modellen, geen wet: de MCC-AI zijn geschreven voor overheidsorganisaties, regelen alleen onderwerpen uit de AI Act en vormen geen volledig contract, dus de AVG, het intellectueel eigendom en de schadeverdeling regelt u elders. Ze zijn iets anders dan de vrijwillige modelvoorwaarden die het AI-bureau volgens artikel 25 lid 4 kan aanbevelen voor contracten tussen een aanbieder van een hoog-risicosysteem en zijn toeleveranciers. Voor de uitvraag vooraf is er de leveranciersvragenlijst AI. Wilt u dat iemand de concepttekst meeleest, dan kunt u Zahed Ashkara inhuren als juridisch adviseur voor AI en privacy.