Kort antwoord. Beoordeel eerst de concrete dienst zoals iedere andere leverancier. Vraag aanvullend welke AI-functie wordt gebruikt, welke gegevens naar welke modelprovider gaan, of invoer voor training of verbetering wordt gebruikt, hoe resultaten worden gecontroleerd en hoe wijzigingen worden gemeld. De AI-verordening geldt niet op dezelfde manier voor iedere rol of toepassing.
Welke AI-keten moet je zichtbaar maken?
Vraag naar productfunctie, onderliggend model, modelprovider, hosting, gegevensstromen en contractpartij. De EU AI-verordening kent verschillende rollen en verplichtingen; kwalificeer de toepassing voordat je een algemene conformiteitsclaim verlangt. Bij persoonsgegevens blijven de AVG-rollen, verwerkersafspraken en doorgiftevoorwaarden afzonderlijk gelden.
- Welke gegevens gaan in prompts of bestanden naar de provider?
- Gebruikt de leverancier invoer of uitvoer voor modeltraining of productverbetering?
- Kan een medewerker output controleren of corrigeren?
- Wanneer wordt een model of subleverancier gewijzigd en hoe hoor je dat?
- Welke logs, bewaartermijnen en uitschakelmogelijkheden zijn er?
Welk bewijs vraag je bij een AI-functie?
Vraag een actuele product- en datastroomomschrijving, voorwaarden voor datagebruik, subleverancierslijst, toegangs- en wijzigingsproces, en een relevante evaluatie van fouten of ongewenste output. Een algemene “AI-safe”-verklaring zonder scope of onderbouwing is niet voldoende. Vergelijk de AI-functie met het proces waarin medewerkers haar gebruiken; een laag risico in één toepassing kan in een andere context hoog zijn. Dit is praktische DCA-duiding, geen automatische juridische classificatie.
Wanneer herbeoordeel je?
Maak een modelwissel, nieuwe trainingsvoorwaarde, nieuwe provider, incident of nieuwe gegevenscategorie een expliciete trigger. Leg vast wie intern wijzigingen beoordeelt en of de functie tijdens onderzoek kan worden uitgezet. Gebruik de AI-module in de modulaire vragenlijst naast de gewone privacy-, beveiligings- en continuïteitsvragen.
Verder lezen
Bronnen en broncontrole
Openbare primaire bronnen gecontroleerd op . Het werkmodel en de voorbeelden zijn praktische uitwerkingen van DCA.
- EU AI-verordening, geconsolideerde tekst — Rollen en toepasselijke verplichtingen moeten per AI-toepassing worden bepaald.
- AVG, artikelen 5 lid 2, 24, 28, 32 en 44 — Verantwoordingsplicht, selectie en afspraken met verwerkers, risicogerichte beveiliging en doorgifte.
- EDPB Opinion 22/2024, antwoorden op vragen 1–4 — Kennis van de verwerkersketen en toetsing van waarborgen; de diepgang is risicogericht.
- NCSC: bescherm je organisatie tegen leveranciersrisico’s — Inventariseer diensten en afhankelijkheden en prioriteer naar risico.