Ga naar de hoofdinhoud
Praxikon

Gratis template · Word · Nederlands en Engels

Leveranciersvragenlijst AI: template met AI-bijlage bij de verwerkersovereenkomst

Een leveranciersvragenlijst AI is de set vragen die u een AI-leverancier vóór ondertekening stelt. De antwoorden bepalen wie aanbieder en gebruiksverantwoordelijke is onder de AI-verordening en wie verwerkingsverantwoordelijke en verwerker is onder de AVG. Daarna legt u de afspraken vast over training, subverwerkers, doorgifte, logs, modelwijzigingen en incidenten.

Laatst gecontroleerd tegen de wet
Redactie
, jurist privacy en AI
Versie en template-ID
2.0 · praxikon:template:ai-vendor-questionnaire
Rechtsgrond
Verordening (EU) 2024/1689, zoals gewijzigd bij Verordening (EU) 2026/1744; Verordening (EU) 2016/679 (AVG)

Voor wie is dit template?

  • Inkoop en contractbeheer, bij de inkoop van een AI-dienst of een AI-functie in bestaande softwareAfspraken met de leverancier; bij een hoog-risicosysteem de schriftelijke overeenkomst in de AI-waardeketen (artikel 25 lid 4 AI-verordening)
  • Privacyfunctionaris of FG, namens de verwerkingsverantwoordelijkeVerwerkersovereenkomst (artikel 28 lid 3 AVG), doorgifte buiten de EER (hoofdstuk V AVG) en de DPIA (artikel 35 AVG)
  • Proceseigenaar die de AI-dienst inzet, als gebruiksverantwoordelijkeGebruik volgens de gebruiksinstructies, menselijk toezicht, monitoring en logs (artikel 26 AI-verordening, voor bijlage III vanaf 2 december 2027)
  • IT- en productteams die een eigen toepassing bouwen op een AI-model voor algemene doeleindenInformatie van de modelaanbieder (artikel 53 lid 1 onder b en bijlage XII) en uw eigen plichten als aanbieder (artikel 50 lid 1 en 2)
  • Overheden die AI inkopenNaast de Europese modelclausules MCC-AI; registratie van hoog-risicogebruik (artikel 26 lid 8 en artikel 49) en de FRIA (artikel 27, vanaf 2 december 2027)
  • OndernemingsraadInstemming bij regelingen over personeelsgegevens en personeelsvolgsystemen (artikel 27 lid 1 onder k en l WOR)

Wat staat erin

  • Waarom u dit nu regelt en een tabel 'Wat geldt wanneer', met per regel de rol die de plicht draagt (inleiding)
  • Vier inkoopsituaties met uw rol en die van de leverancier onder de AI-verordening en de AVG, plus een uitgewerkt fictief voorbeeld van drie inkopen (hoofdstuk 1)
  • Vragenlijst voor de leverancier: 62 vragen in elf modules, van rol en beoogd doel tot AI-modellen voor algemene doeleinden, artikel 50, training, subverwerkers, logs en het einde van de overeenkomst, met per vraag het artikel (hoofdstuk 2)
  • Interne beoordelingswijzer met per onderwerp een sterk antwoord, het rode signaal en de vervolgstap, plus een stopkader voor verboden praktijken (hoofdstuk 3)
  • AI-bijlage bij de verwerkersovereenkomst: vijftien bepalingen om in uw contract te plakken, elk met een toelichting (hoofdstuk 4)
  • Bijlage A per AI-dienst, met een tabel voor subverwerkers, verwerkingslocaties en de grondslag bij doorgifte (hoofdstuk 4)
  • Checklist vóór ondertekening en een vastlegging van het besluit (hoofdstuk 5)

Zo gebruikt u het template

  1. Bepaal met hoofdstuk 1 de situatie en de rollen. Daaruit volgt welke modules u meestuurt.
  2. Stuur hoofdstuk 2 naar de leverancier, vóór de gunning of vóór ondertekening, en haal de modules weg die niet gelden.
  3. Beoordeel de antwoorden met de beoordelingswijzer in hoofdstuk 3. Dat hoofdstuk is alleen voor intern gebruik.
  4. Neem de AI-bijlage uit hoofdstuk 4 op naast de verwerkersovereenkomst en vul bijlage A per AI-dienst in.
  5. Leg het besluit vast met hoofdstuk 5 en bewaar de antwoorden bij uw AI-register en, als die nodig is, bij de DPIA.

Veelgemaakte fouten

  • De leverancier als verwerker behandelen terwijl zijn voorwaarden training op uw gegevens toestaan. Voor dat eigen gebruik is hij zelf verwerkingsverantwoordelijke (artikel 28 lid 10 AVG) en heeft u een eigen grondslag nodig.
  • Genoegen nemen met een uitvinkoptie in de beheeromgeving. Die instelling kan de leverancier wijzigen; het verbod op training hoort zonder voorbehoud in het contract.
  • De aanbieder van het onderliggende AI-model vergeten op de lijst van subverwerkers, terwijl het model vaak buiten de EER draait.
  • Ervan uitgaan dat u altijd gebruiksverantwoordelijke bent. Wie een eigen chat bouwt op een AI-model is aanbieder van dat systeem (artikel 50 lid 1 en 2), en wie een algemeen systeem inzet voor een doel uit bijlage III kan aanbieder van een hoog-risicosysteem worden (artikel 25 lid 1 onder c).
  • De hoog-risico-eisen laten liggen omdat ze pas vanaf 2 december 2027 gelden. Uw contract loopt vaak over die datum heen, en voor een systeem dat al eerder op de markt is gelden ze pas na een aanzienlijke ontwerpwijziging (artikel 111 lid 2).

Wanneer heeft u een jurist nodig?

  • De leverancier wil uw gegevens gebruiken voor training of productverbetering. Dan is hij voor die verwerking zelf verwerkingsverantwoordelijke, en buiten uw instructies zelfs in strijd met de AVG (artikel 28 lid 10 AVG). U heeft als verwerkingsverantwoordelijke een eigen grondslag nodig en moet toetsen of het nieuwe doel verenigbaar is (artikel 6 lid 4 AVG).
  • U past het systeem aan, zet uw naam erop of gebruikt het voor een doel uit bijlage III. Dan kunt u zelf aanbieder worden (art. 25 lid 1), met de plichten van artikel 16 en een schriftelijke overeenkomst met uw toeleveranciers (artikel 25 lid 4). Uw leverancier is dan niet meer de enige die plichten draagt.
  • Gegevens gaan buiten de EER of de leverancier valt onder buitenlandse inzagebevoegdheden. Als verwerkingsverantwoordelijke moet u een grondslag uit hoofdstuk V AVG hebben en vaak een doorgiftetoetsing doen. Dat geldt ook als alleen het model of de support buiten de EER draait.

Veelgestelde vragen

Schrijft de AI-verordening een leveranciersvragenlijst voor?

Nee, er is geen voorgeschreven vragenlijst. Wel heeft u de informatie nodig om uw eigen plichten na te komen, zoals die van de gebruiksverantwoordelijke (artikel 26) en de AVG-plichten van de verwerkingsverantwoordelijke. De aanbieder moet die informatie deels leveren (artikel 13 bij hoog risico, artikel 53 bij AI-modellen voor algemene doeleinden). De vragenlijst maakt dat concreet.

Is de leverancier of mijn organisatie verantwoordelijk onder de AI-verordening?

Dat hangt af van de rol. Neemt u een kant-en-klare AI-dienst af, dan is de leverancier meestal aanbieder en uw organisatie gebruiksverantwoordelijke. Bouwt u zelf een toepassing op een AI-model, of stelt u een systeem onder uw eigen naam in gebruik, dan bent u zelf aanbieder (artikel 3 punt 3 en artikel 25).

Waarom staat het verbod op training zo centraal?

Gebruikt de leverancier uw gegevens voor eigen doelen, zoals het trainen van modellen, dan is hij voor die verwerking zelf verwerkingsverantwoordelijke (artikel 28 lid 10 AVG als hij buiten uw instructies gaat). U heeft dan een eigen grondslag en een verenigbaarheidstoets nodig (artikel 6 lid 4 AVG). De AI-bijlage sluit dat uit, ook voor geanonimiseerde gegevens.

Gelden de hoog-risico-eisen al voor mijn contract?

Op 6 oktober 2026 nog niet. Voor AI-systemen uit bijlage III gelden ze vanaf 2 december 2027, voor bijlage I vanaf 2 augustus 2028. Een systeem dat vóór die datum op de markt is, valt pas onder de hoog-risicoregels na een aanzienlijke ontwerpwijziging; voor systemen die bedoeld zijn voor overheidsinstanties geldt uiterlijk 2 augustus 2030 (artikel 111 lid 2). Bepaling 4.3 legt de eisen daarom contractueel vast.

Welke informatie moet de aanbieder van een AI-model voor algemene doeleinden mij geven?

Bouwt u op het model, dan moet de modelaanbieder u documentatie geven met ten minste de elementen van bijlage XII (artikel 53 lid 1 onder b). Die plicht geldt sinds 2 augustus 2025; sinds 2 augustus 2026 kan de Commissie haar handhaven en boetes opleggen (artikel 101). Voor modellen die vóór 2 augustus 2025 op de markt waren, geldt uiterlijk 2 augustus 2027 (artikel 111 lid 3).

Mag ik het template aanpassen en binnen mijn organisatie delen?

Ja. U mag dit template vrij gebruiken, aanpassen en delen, ook binnen uw organisatie, op voorwaarde dat de vermelding 'Bron: Praxikon' met de link naar dit template blijft staan.

Gebruik en bronvermelding

U mag dit template vrij gebruiken, aanpassen en delen, ook binnen uw organisatie, op voorwaarde dat de vermelding 'Bron: Praxikon' met de link naar dit template blijft staan.

Zo verwijst u naar dit template: Bron: Praxikon, Leveranciersvragenlijst AI: template met AI-bijlage bij de verwerkersovereenkomst, versie 2.0, stand 6 oktober 2026, https://www.praxikon.com/nl/templates/ai-vendor-questionnaire

Dit template is een hulpmiddel en geen juridisch advies voor uw situatie. Het geeft de stand van de wet weer per 6 oktober 2026. Wetgeving, richtsnoeren en toezichtspraktijk kunnen daarna veranderen. Het gebruik van dit template is geen garantie op naleving: de toepassing in uw organisatie blijft uw eigen verantwoordelijkheid.

Praxikon is een handelsnaam van Embed AI · KvK 90283597