Gratis template · Word · Nederlands en Engels

Inkoopchecklist AI voor overheden: template voor AI-inkoop onder de AI Act en AVG

Een inkoopchecklist AI voor overheden is een werkdocument waarmee een gemeente, provincie, waterschap of ministerie één AI-inkooptraject doorloopt, van behoefte tot ingebruikname. Per fase legt u vast welke rol uw organisatie heeft onder de AI-verordening en de AVG, welke plichten daaruit volgen en wat u van de leverancier vraagt en in het contract vastlegt.

Laatst gecontroleerd tegen de wet: 6 oktober 2026
Redactie: Zahed Ashkara, jurist privacy en AI
Versie en template-ID: 2.0 · praxikon:template:ai-inkoop-checklist-overheid
Rechtsgrond: Verordening (EU) 2024/1689, zoals gewijzigd bij Verordening (EU) 2026/1744; Verordening (EU) 2016/679 (AVG)

Voor wie is dit template?

Inkopers en contractmanagers bij gemeenten, provincies, waterschappen, ministeries en uitvoeringsorganisatiesUitvraag en contract: informatie van de aanbieder (artikel 13) en de plichten van de gebruiksverantwoordelijke (artikel 26)
Juristen en privacyfunctionarissenRolbepaling als aanbieder of gebruiksverantwoordelijke (artikel 3 punten 3 en 4, artikel 25) en de verwerkersovereenkomst (artikel 28 AVG)
Functionaris gegevensbescherming (FG)Advies bij de DPIA (artikel 35 lid 2 AVG) en voorafgaande raadpleging (artikel 36 AVG)
Proceseigenaren bij uitkeringen, voorzieningen en dienstverleningHoog risico via bijlage III punt 5 a; FRIA voor publiekrechtelijke organen vanaf 2 december 2027 (artikel 27)
CIO en informatiebeveiligingLogs (artikel 12 en artikel 26 lid 6) en beveiliging (artikel 15 lid 5, artikel 32 AVG)

Wat staat erin

Overzicht van de zeven fasen en een tijdlijn van wat wanneer geldt, met bij elke plicht de rol die hem draagt (inleiding)
Afweging van alternatieven en de aanpak van AI die via een update binnenkomt (fase 1)
Beslisbox aanbieder of gebruiksverantwoordelijke, plus de rollen onder de AVG (fase 2)
Verboden praktijken, de punten van bijlage III die voor overheden spelen en artikel 50, met fictieve voorbeelden uit de publieke sector (fase 3)
FRIA, IAMA, DPIA, registratie in de EU-databank en het Algoritmeregister per inkoopfase (fase 4)
19 leveranciersvragen met kolommen voor soort, antwoord en beoordeling (fase 5)
16 contractbepalingen om naast de MCC-AI, de ARBIT of de GIBIT 2025 te leggen (fase 6)
Acceptatietests T1 tot en met T10 en de voorwaarden voor het besluit tot ingebruikname (fase 7)
Uitgewerkt fictief voorbeeld: een AI-module voor bijzondere bijstand (bijlage A)

Zo gebruikt u het template

Gebruik één checklist per inkooptraject, ook als AI binnenkomt via een update van een pakket dat u al afneemt.
Doorloop fase 1 tot en met 3 vóór de marktconsultatie: behoefte, rol en classificatie bepalen wat u de markt vraagt.
Plan in fase 4 de FRIA, de DPIA en de registraties, en betrek de FG en informatiebeveiliging vanaf het begin.
Neem de leveranciersvragen en de contractbepalingen op in de uitvraag, zodat inschrijvers vooraf weten waarvoor zij tekenen.
Test in fase 7 met uw eigen dossiers, processen en medewerkers, en neem pas daarna het besluit tot ingebruikname.

Veelgemaakte fouten

Ervan uitgaan dat een overheid altijd gebruiksverantwoordelijke is. Wie een chatbot of model laat bouwen en onder eigen naam in gebruik neemt, is aanbieder (artikel 3 punt 3); wie een algemeen systeem inzet voor een doel uit bijlage III, kan dat worden (artikel 25 lid 1 onder c).
Wachten tot 2 december 2027. Een overheidscontract van vier jaar of langer loopt door na die datum; wat u nu niet afspreekt, is later moeilijk af te dwingen.
Beleid en wet door elkaar halen. Het IAMA en het Algoritmeregister zijn geen plicht uit de AI-verordening, en een IAMA vervangt de FRIA van artikel 27 niet.
Training op uw gegevens niet uitsluiten. Gebruikt de leverancier dossiers voor eigen doelen, dan is hij voor dat deel verwerkingsverantwoordelijke (artikel 28 lid 10 AVG).
De Europese modelbepalingen (MCC-AI) ongewijzigd overnemen. Ze volgen de tekst van juni 2024; de hoog-risicodata die Verordening (EU) 2026/1744 heeft uitgesteld, staan er niet in.

Wanneer heeft u een jurist nodig?

U laat iets bouwen of aanpassen. Laat u een chatbot of model bouwen dat u onder eigen naam in gebruik neemt, of zet u een algemeen AI-systeem in voor een doel uit bijlage III, dan kan uw organisatie aanbieder worden (artikel 3 punt 3 en artikel 25 lid 1).
Het systeem helpt beslissen over inwoners. Bij uitkeringen of voorzieningen is het al snel hoog risico (bijlage III punt 5 a): de gebruiksverantwoordelijke doet vanaf 2 december 2027 een FRIA, de verwerkingsverantwoordelijke toetst artikel 22 AVG.
De leverancier wil uw gegevens of houdt informatie achter. Hij wil dossiers gebruiken voor training (dan is hij voor dat deel verwerkingsverantwoordelijke, artikel 28 lid 10 AVG), of weigert de informatie van artikel 13, toegang tot logs of een auditrecht.

Veelgestelde vragen

Is een gemeente die AI inkoopt aanbieder of gebruiksverantwoordelijke?

Meestal gebruiksverantwoordelijke (artikel 3 punt 4). Een overheid wordt aanbieder als zij een systeem laat bouwen en onder eigen naam in gebruik neemt (artikel 3 punt 3), of als zij een systeem inzet voor een doel uit bijlage III waarvoor de leverancier het niet heeft bestemd (artikel 25 lid 1 onder c); de aanbiedersplichten gelden voor bijlage III vanaf 2 december 2027.

Wanneer moet een overheid een FRIA doen?

Vanaf 2 december 2027, vóór het eerste gebruik van een hoog-risicosysteem uit bijlage III (behalve punt 2). De plicht rust op de gebruiksverantwoordelijke die publiekrechtelijk orgaan is (artikel 27). Systemen die vóór die datum in gebruik zijn, vallen er alleen onder bij een aanzienlijke wijziging van het ontwerp; systemen bedoeld voor gebruik door overheidsinstanties moeten uiterlijk op 2 augustus 2030 voldoen (artikel 111 lid 2).

Moet een overheid haar AI-systeem registreren?

Een gebruiksverantwoordelijke die overheidsinstantie is, registreert vanaf 2 december 2027 het gebruik van een hoog-risicosysteem uit bijlage III (behalve punt 2) in de EU-databank (artikel 26 lid 8 en artikel 49 lid 3). Staat het systeem zelf niet in de databank, dan gebruikt u het niet. Publicatie in het Algoritmeregister is in Nederland beleid, geen wettelijke plicht (stand 6 oktober 2026).

Geldt artikel 50 al voor een chatbot op de website van een gemeente?

Ja, sinds 2 augustus 2026. De aanbieder zorgt dat inwoners weten dat zij met AI communiceren, tenzij dat voor een normaal geïnformeerde persoon duidelijk is (artikel 50 lid 1). Laat de gemeente de chatbot bouwen en neemt zij hem onder eigen naam in gebruik, dan is zij zelf aanbieder.

Zijn de Europese modelcontractbepalingen (MCC-AI) nog actueel?

De bijgewerkte versie is op 5 maart 2025 gepubliceerd en volgt de tekst van de AI-verordening van juni 2024. Het uitstel van de hoog-risicodata door Verordening (EU) 2026/1744 staat er niet in. Controleer daarom data en verwijzingen; de contractbepalingen in deze checklist gaan uit van de huidige data.

Welke boetes gelden voor een overheid?

De AI-verordening noemt maximale boetes die de lidstaten in eigen regels moeten vastleggen, en elke lidstaat bepaalt in hoeverre boetes aan overheidsinstanties kunnen worden opgelegd (artikel 99 lid 8). Nederland heeft op 6 oktober 2026 nog geen markttoezichtautoriteit voor de AI-verordening aangewezen en geen uitvoeringswet. De plichten zelf gelden wel.

Gebruik en bronvermelding

U mag dit template vrij gebruiken, aanpassen en delen, ook binnen uw organisatie, op voorwaarde dat de vermelding 'Bron: Praxikon' met de link naar dit template blijft staan.

Zo verwijst u naar dit template: Bron: Praxikon, Inkoopchecklist AI voor overheden: template voor AI-inkoop onder de AI Act en AVG, versie 2.0, stand 6 oktober 2026, https://www.praxikon.com/nl/templates/ai-inkoop-checklist-overheid

Dit template is een hulpmiddel en geen juridisch advies voor uw situatie. Het geeft de stand van de wet weer per 6 oktober 2026. Wetgeving, richtsnoeren en toezichtspraktijk kunnen daarna veranderen. Het gebruik van dit template is geen garantie op naleving: de toepassing in uw organisatie blijft uw eigen verantwoordelijkheid.

Praxikon is een handelsnaam van Embed AI · KvK 90283597