AI inkopen bij de overheid: AI Act-conformiteit als aanbestedingseis

Kort antwoord: Koopt een overheid een AI-systeem in, dan wordt zij onder de AI Act doorgaans gebruiksverantwoordelijke (deployer) — en bij een eigen merk of ingrijpende aanpassing zelfs aanbieder. De aanbestedingsregels (Richtlijn 2014/24/EU) laten ruimte om AI Act-conformiteit als technische specificatie en gunningscriterium op te nemen. Doe dat: maak conformiteit, documentatie en uitlegbaarheid harde eisen in het bestek.

Wie is wat in de keten?

De AI Act verdeelt verplichtingen over rollen. De aanbieder ontwikkelt of laat ontwikkelen en brengt op de markt; de gebruiksverantwoordelijke gebruikt het systeem onder eigen verantwoordelijkheid. Een inkopende overheid is meestal gebruiksverantwoordelijke. Maar wie het systeem onder eigen naam laat bouwen, het wezenlijk wijzigt of voor een ander doel inzet dan waarvoor het is bedoeld, schuift door naar de aanbiedersrol — met de zware hoogrisico-verplichtingen van dien. Bepaal die rolverdeling vóór de aanbesteding, want zij stuurt de eisen.

Conformiteit als inkoopeis

Veel overheids-AI valt in een hoogrisicocategorie van bijlage III (onderwijs, werk, essentiële diensten, rechtshandhaving, migratie). Voor zulke systemen mag je van de leverancier eisen:

• een CE-markering en EU-conformiteitsverklaring;
• de technische documentatie en gebruiksinstructies (art. 13);
• bewijs van risicobeheer, datakwaliteit en logging;
• registratie in de EU-databank voor hoogrisicosystemen.

Deze eisen horen in de technische specificaties (geschiktheid) én in de gunningscriteria (kwaliteit telt mee, niet alleen prijs). Verboden toepassingen sluit je categorisch uit — zie verboden AI-praktijken.

Grondrechten en transparantie

Als publieke instelling die een hoogrisicosysteem inzet, moet je vóór ingebruikname een grondrechtentoets uitvoeren — zie FRIA: de grondrechtentoets. Reserveer in het contract de toegang tot informatie die je daarvoor nodig hebt. Plan ook de opname in het algoritmeregister en de uitlegbaarheid richting burgers; behandel die als opleverbare prestaties, niet als wens. Zie ook AI bij de overheid.

Voorkom vendor lock-in op compliance

Een leverancier kan compliance als zwarte doos aanbieden. Dat is riskant: jij blijft als gebruiksverantwoordelijke aanspreekbaar. Bedwing dat met contractuele audit- en informatierechten, exit-afspraken (dataportabiliteit, documentatieoverdracht) en aansprakelijkheid voor non-conformiteit. Koppel betaling aan aantoonbare conformiteit, niet aan oplevering alleen.

Wat te doen

• Bepaal je rol (gebruiksverantwoordelijke of aanbieder) vóór de uitvraag; dat stuurt alle eisen.
• Zet conformiteit in het bestek: CE-markering, technische documentatie, logging en EU-registratie als knock-out én als gunningscriterium.
• Borg grondrechten: contractuele toegang voor de FRIA en opname in het algoritmeregister.
• Eis audit- en exitrechten om lock-in op compliance te vermijden.
• Koppel betaling aan aangetoonde conformiteit, niet aan enkele oplevering.

Inkopen is bij AI geen administratieve stap maar de eerste compliancebeslissing. Wat je niet in het bestek eist, koop je niet — en moet je later zelf repareren.