De AI Act voor de inkoper: leverancierseisen en contractclausules

Kort antwoord: Inkoop is de poort waardoor AI de organisatie binnenkomt — en daarmee een controlepunt voor compliance. Wie een AI-systeem inkoopt, wordt onder de AI Act meestal gebruiksverantwoordelijke en krijgt eigen verplichtingen. De verklaring "wij zijn AI Act-compliant" van een leverancier zegt weinig zonder bewijs. De inkoper moet uitvragen, vastleggen en aantoonbaar maken.

Je rol verandert bij inkoop

Koop je een AI-systeem in, dan ben je doorgaans geen aanbieder maar gebruiksverantwoordelijke. Dat klinkt lichter, maar brengt eigen plichten mee: het systeem inzetten volgens de gebruiksaanwijzing, menselijk toezicht borgen, invoergegevens controleren en bij hoogrisico-AI logging bewaren. Pas op: pas je een ingekocht systeem ingrijpend aan of zet je het onder eigen merk in de markt, dan kun je zélf aanbieder worden met veel zwaardere verplichtingen.

Due diligence vóór de handtekening

Een leverancier moet kunnen aantonen, niet alleen beweren. Vraag uit:

• Risicoclassificatie. In welke AI Act-klasse valt het systeem, en waarom?
• Conformiteit. Is er een conformiteitsbeoordeling, CE-markering en EU-conformiteitsverklaring waar vereist?
• Documentatie. Krijg je technische documentatie en een bruikbare gebruiksaanwijzing?
• Transparantie en data. Welke data is gebruikt, en hoe wordt bias beheerst?
• Beveiliging. Hoe zijn nauwkeurigheid en robuustheid getoetst — stem af met de CISO.

Wat in het contract hoort

Leg de afspraken hard vast. Zie AI in contracten voor de bredere clausuleset; voor inkoop zijn deze kernpunten essentieel:

• Rolverdeling: wie is aanbieder, wie gebruiksverantwoordelijke, en wie draagt welke verplichting?
• Compliance-garanties met bewijslast bij de leverancier.
• Medewerkingsplicht bij audits, incidenten en toezichtverzoeken.
• Update- en onderhoudsplichten zolang het systeem in gebruik is.
• Aansprakelijkheid en vrijwaring — koppel dit aan het aansprakelijkheidsrisico.

Werk samen, koop niet solo

Inkoop kan de eisen formuleren maar niet allemaal beoordelen. Betrek de DPO bij persoonsgegevens, de CISO bij beveiliging en het bestuur bij risicobereidheid. Veranker dit in het governance-raamwerk.

Wat te doen

• Bepaal je rol (aanbieder of gebruiksverantwoordelijke) per inkoop.
• Hanteer een due-diligence-checklist voor AI-leveranciers.
• Eis bewijs, geen verklaringen: documentatie, conformiteit, testresultaten.
• Standaardiseer contractclausules voor AI-inkoop.
• Beleg aansprakelijkheid expliciet bij de juiste partij.

De inkoper is de eerste verdedigingslinie. Wat hier niet wordt uitgevraagd, wordt later een compliance-gat dat de organisatie zelf moet dichten.