Als een productteam met een AI-functie bij legal komt, begint het gesprek vaak met "mag dit?". Dat is de verkeerde eerste vraag. De nuttige vragen gaan over rollen, data en beloften. Beantwoord deze vijf en de rest van de analyse valt op zijn plaats.
1. Wat is onze rol onder de AI-verordening?
De AI-verordening verdeelt verplichtingen per rol: aanbieder (u ontwikkelt het systeem of laat het ontwikkelen en brengt het onder uw naam op de markt), gebruiksverantwoordelijke (u gebruikt een systeem onder uw verantwoordelijkheid) en enkele andere zoals importeur en distributeur. Een bedrijf dat een model van een derde fine-tunet en het resultaat aan klanten aanbiedt, kan aanbieder worden. Een bedrijf dat het model van een leverancier in zijn eigen product inbouwt, kan beide zijn. Stel eerst de rol vast; die bepaalt al het andere.
2. In welke risicocategorie valt de toepassing?
Vier niveaus doen er in de praktijk toe: verboden praktijken, hoog-risicosystemen (bijlage III en productveiligheidswetgeving in bijlage I), systemen met specifieke transparantieplichten (chatbots, synthetische content, emotieherkenning) en al het overige. Screening van sollicitanten, kredietwaardigheid, toegang tot onderwijs en essentiële diensten zijn klassieke hoog-risicogebieden. Veel interne productiviteitstools zijn dat niet. Leg de redenering in beide gevallen vast.
3. Welke persoonsgegevens zijn betrokken, en op welke grondslag?
De AVG pauzeert niet voor AI. Trainingsdata, prompts, output en logs kunnen allemaal persoonsgegevens bevatten. U heeft een grondslag nodig voor elk verwerkingsdoel, een DPIA waar de verwerking waarschijnlijk een hoog risico oplevert, en een technisch werkend antwoord op rechten van betrokkenen. Verwerkt een leverancier gegevens namens u, dan geldt artikel 28 en vereist doorgifte buiten de EER een mechanisme.
4. Wat moeten gebruikers weten?
Transparantieplichten komen tegelijk uit meerdere richtingen: de AI-verordening (interactie met een AI-systeem, AI-gegenereerde content), de AVG (geautomatiseerde besluitvorming, artikel 22), het consumentenrecht (oneerlijke handelspraktijken, dark patterns) en voor platforms de DSA (transparantie van aanbevelingssystemen). Schrijf één informatieplan dat aan alle vier voldoet.
5. Wie draagt welk risico in het contract?
Voorwaarden van AI-leveranciers zijn zelden geschreven met de AI-verordening in gedachten. Controleer garanties over de herkomst van trainingsdata, de verdeling van aanbiedersverplichtingen, audit- en documentatierechten, incidentmeldingen, IE-vrijwaringen en het recht om van model te wisselen. Spiegel dit richting uw eigen klanten in uw voorwaarden.
Hoe dit er in de praktijk uitziet
Een intakeformulier van één pagina dat deze vijf antwoorden vastlegt, besproken in een gesprek van dertig minuten, voorkomt de meeste late verrassingen. Het levert ook de documentatie op die de AI-verordening van u verwacht. Wilt u een template, mail mij dan.