AI-clausules in leverancierscontracten

Het juridisch kader

Een standaard softwarelicentie of SaaS-overeenkomst zegt zelden iets over de vragen die AI oproept. De wet geeft een paar houvasten, maar het meeste regel je in het contract.

De waardeketen onder de AI-verordening

Verordening (EU) 2024/1689 verdeelt plichten per rol. Aanbieders van hoogrisicosystemen moeten gebruiksinstructies (artikel 13), logmogelijkheden (artikel 12) en technische documentatie (artikel 11) leveren. Deployers moeten die instructies volgen, logs minstens zes maanden bewaren en toezicht regelen (artikel 26). Artikel 25, lid 4 zegt dat de aanbieder van een hoogrisicosysteem en een derde die tools, diensten, componenten of processen levert die erin worden gebruikt, in een schriftelijke overeenkomst moeten vastleggen welke informatie, mogelijkheden, technische toegang en bijstand nodig zijn, zodat de aanbieder aan de verordening kan voldoen. Een klant kan zelf aanbieder worden als hij zijn naam op een hoogrisicosysteem zet, het substantieel wijzigt of het beoogde doel wijzigt (artikel 25, lid 1). Zet dus in het contract wie welke rol heeft. Zie aanbieder of deployer.

AI-modellen voor algemene doeleinden

Aanbieders van AI-modellen voor algemene doeleinden moeten sinds 2 augustus 2025 technische documentatie bijhouden, downstream-aanbieders informatie geven zodat die aan de regels kunnen voldoen, een auteursrechtbeleid hebben en een samenvatting van de trainingsinhoud publiceren (artikel 53). Bouw je op zo'n model, dan kun je die informatie opvragen.

Gegevensbescherming

Verwerkt de leverancier persoonsgegevens, dan heb je een verwerkersovereenkomst nodig op grond van artikel 28 GDPR. Leveranciers die hun eigen modellen op klantgegevens trainen, kunnen daarvoor zelf verwerkingsverantwoordelijke zijn, en dan hebben ze een eigen grondslag nodig. Zie de AI Act en de GDPR.

Aansprakelijkheidsrecht

De nieuwe Richtlijn productaansprakelijkheid (EU) 2024/2853 breidt de risicoaansprakelijkheid voor gebrekkige producten uit tot software, ook AI, voor producten die na 9 december 2026 in de handel komen. Zuiver zakelijke schade valt er niet onder, en tussen bedrijven blijft het contract het belangrijkste instrument.

In de praktijk

Clausules waar een klant naar moet zoeken

1. Naleving en classificatie. De leverancier zegt of het systeem hoog risico is of een model voor algemene doeleinden, bevestigt zijn eigen AI Act-stappen en meldt wijzigingen die dat veranderen.
2. Klantgegevens en training. Mogen input, output en gebruiksgegevens modellen trainen of verbeteren? De standaard hoort nee te zijn, met hooguit een beperkte opt-in die je kunt terugdraaien.
3. Eigendom van output en IP. Output die volledig door AI is gegenereerd, is mogelijk niet auteursrechtelijk beschermd. Het contract moet de klant dus alle rechten geven die de leverancier kan geven, plus de feitelijke exclusiviteit die hij kan bieden, met een vrijwaring tegen IP-claims van derden. Zie AI en intellectuele eigendom.
4. Prestaties en nauwkeurigheid. Beschrijf het beoogde gebruik en de bekende beperkingen, spreek af wat er bij fouten en hallucinaties gebeurt en kies serviceniveaus die bij probabilistische systemen passen.
5. Transparantie en audit. Documentatie, toegang tot logs, incidentmelding en hulp bij de DPIA of effectbeoordeling van de klant.
6. Wijzigingsbeheer. Een seintje vóór grote modelwijzigingen, oudere versies bewaren als resultaten reproduceerbaar moeten zijn, en het recht om te stoppen als een wijziging jouw naleving raakt.
7. Aansprakelijkheid. Plafonds en uitsluitingen die bij het risico passen, met uitzonderingen voor inbreuken op gegevensbescherming, vertrouwelijkheid en IP-vrijwaringen.
8. Subverwerkers en locatie. Welke modelaanbieders en hosts worden gebruikt en waar je data naartoe gaan.
9. Uitstap. Data terugkrijgen en laten verwijderen, ook uit gefinetunede modellen waar dat speelt.

Voorbeeld

Een Mechels boekhoudkantoor koopt een AI-tool voor documentanalyse. In de standaardvoorwaarden mag de leverancier klantinhoud gebruiken om zijn diensten te verbeteren, en aansprakelijkheid voor onjuiste output is uitgesloten. Het kantoor onderhandelt een verbod op training met cliëntgegevens, een toezegging om modelwijzigingen te melden, een plafond met uitzondering voor inbreuken op vertrouwelijkheid en een IP-vrijwaring. Het schrijft ook op wat de leverancier moet doen en wat het kantoor zelf doet, zoals output door een mens laten controleren, zodat beide kanten dat opvolgen.

Veelgestelde vragen

Hebben we AI-clausules nodig als de tool geen hoog risico is?

Ja. Datagebruik, eigendom van output en aansprakelijkheid tellen altijd, wat de risicoklasse ook is.

Mag een leverancier technische documentatie weigeren?

Bij hoogrisicosystemen verplicht de AI Act aanbieders om deployers de informatie te geven die ze nodig hebben om het systeem goed te gebruiken. Bij andere systemen hangt het af van wat je afspreekt.

Wie is eigenaar van wat een AI-tool genereert?

Daar bestaat geen automatisch antwoord op. Zonder menselijke creatieve inbreng is er mogelijk geen auteursrecht. Het contract verdeelt de rechten die er wel zijn en geeft garanties dat er geen inbreuk wordt gemaakt.

En als wij zelf AI aan onze klanten leveren?

Dan ben jij de leverancier, en gelden deze clausules andersom. Check wat je eigen toeleveranciers je beloven voordat je iets aan je klanten belooft.

Hoe dit samenhangt

AI-voorwaarden van leveranciers horen bij commerciële contracten en transacties. Onze contractreview legt inkomende voorwaarden naast een playbook dat een advocaat goedkeurt, met de Document Studio maak je je eigen voorwaarden klaar en het register van rechten en verplichtingen houdt de plichten bij na ondertekening.