Thema · AI

AI in ICT-inkoop, contractmanagement en leveranciersmanagement

Wat verandert er door AI bij het inkopen van ICT, het beheren van contracten en het sturen op leveranciers? Deze pagina bundelt de belangrijkste ontwikkelingen, de regels met hun data, en praktische clausules en vragen. Elke maandag een korte duiding door Ad Rem Consultants.

Bijgewerkt
Ritme
Elke maandag een duiding
Bronnen
Officiële bronnen, steeds gecontroleerd

Duiding van de week

Elke maandag drie AI-ontwikkelingen met wat ze betekenen voor inkoop en contractmanagement, en een concrete actie of clausule.

AI-duiding week 43 (19 oktober 2026)

Drie actuele AI-onderwerpen met gevolgen voor inkoop, contractmanagement en aanbesteden.

1. AP start directie voor AI-toezicht

Wat speelt. De Autoriteit Persoonsgegevens (AP) maakte op 9 oktober 2026 bekend dat de directie Toezicht en Coördinatie AI/Algoritmes is gestart. Die directie bereidt het markttoezicht op de AI-verordening voor en bouwt kennis op om AI-systemen te onderzoeken en te testen. Samen met de RDI zet de AP een AI-sandbox op: een proefomgeving onder begeleiding van toezichthouders. De AP is nog niet aangewezen als markttoezichthouder; dat volgt pas als de Nederlandse Uitvoeringswet AI-verordening van kracht is. Vanuit de AVG houdt de AP al wel toezicht op AI die persoonsgegevens verwerkt.

Betekenis voor inkoop. Het toezicht wordt concreet en technisch. Een algemene verklaring van een leverancier geeft dan te weinig inzicht in de risico's van de toepassing zelf.

Actie. Bepaal eerst het doel en de risico's van de toepassing. Vraag daarna om bewijsstukken: beoogd gebruik, bekende beperkingen, testaanpak, logging en menselijke controle. Leg vast wanneer de leverancier die stukken bijwerkt, wie gebreken herstelt en binnen welke termijn. Voor financiële organisaties onder DORA gelden bij ICT-diensten ook de contracteisen van artikel 30.

2. Transparantieplichten uit de AI-verordening gelden al

Wat speelt. Sinds 2 augustus 2026 geldt artikel 50 van de AI-verordening. Aanbieders moeten melden dat mensen direct contact hebben met een AI-systeem, en synthetische inhoud voorzien van een kenmerk dat software herkent. Gebruiksverantwoordelijken (de partij die het systeem inzet) moeten deepfakes en bepaalde AI-teksten over onderwerpen van algemeen belang herkenbaar maken. Er zijn uitzonderingen, bijvoorbeeld voor gewone bewerkingshulp. Voor generatieve AI-systemen die al voor 2 augustus 2026 op de markt waren, loopt de termijn voor de markering tot december 2026.

Betekenis voor contractmanagement. De wettelijke rol volgt uit wat een partij feitelijk doet, niet uit het contract. Het contract kan wel vastleggen wie welke melding, markering en bewijs verzorgt.

Clausule. "Een bijlage beschrijft per AI-functie de wettelijke rollen en de geldende transparantieplichten. Leverancier levert de functies en bewijsstukken die nodig zijn voor de eigen plichten en voor de afgesproken steun aan opdrachtgever, en meldt wijzigingen vooraf."

3. EDPB vraagt reacties op richtsnoer over webscraping voor generatieve AI

Wat speelt. De Europese privacytoezichthouders (EDPB) vragen tot en met 30 oktober 2026 reacties op conceptrichtsnoer 03/2026 over webscraping (automatisch gegevens verzamelen van websites) voor generatieve AI. De consultatie loopt sinds 8 juli 2026.

Betekenis voor inkoop. De AVG geldt al als de gegevens waarmee een model is getraind persoonsgegevens bevatten. Dat gegevens openbaar zijn, bewijst niet dat het gebruik rechtmatig is.

Actie. Vraag AI-leveranciers wie het model maakte, welke soorten bronnen zijn gebruikt en hoe de rechtmatigheid is beoordeeld. Leg vast dat leverancier en ingeschakelde partijen gegevens van de opdrachtgever, invoer en uitkomsten niet gebruiken voor training of eigen productverbetering. Een schriftelijk akkoord van de opdrachtgever vervangt geen AVG-grondslag.

Bronnen: Autoriteit Persoonsgegevens, AP zet volgende stap in toezicht op AI, 9 oktober 2026; Europese Commissie, Quick facts transparency rules AI systems, bijgewerkt 29 juli 2026; EDPB, consultatie Guidelines 03/2026 on web scraping in the context of generative AI, 8 juli tot en met 30 oktober 2026

Actuele ontwikkelingen

  • EDPB vraagt reacties op richtsnoer over webscraping voor generatieve AITot en met 30 oktober 2026 · EDPB

    Het conceptrichtsnoer 03/2026 gaat over het automatisch verzamelen van gegevens van websites voor AI. Voor inkoop: vraag leveranciers hoe zij de herkomst van trainingsgegevens verantwoorden.

  • Handreiking voor software-updates met AI13 oktober 2026 · Nederlandse Digitaliseringsstrategie

    Wat te doen als een bestaande dienst een update met AI krijgt. Kern: laat AI-updates vooraf melden, laat activering waar mogelijk alleen met toestemming gebeuren, toets of de wijziging binnen het contract past en of gegevens voor training worden gebruikt.

  • Autoriteit Persoonsgegevens start directie voor AI-toezicht9 oktober 2026 · Autoriteit Persoonsgegevens

    De directie bereidt het markttoezicht op de AI-verordening voor en zet met de RDI een AI-sandbox op. De AP is nog niet aangewezen als markttoezichthouder; dat volgt met de Uitvoeringswet AI-verordening.

  • Transparantieplichten uit de AI-verordening geldenSinds 2 augustus 2026 · Europese Commissie

    Mensen moeten weten dat ze contact hebben met AI, en synthetische inhoud krijgt een kenmerk dat software herkent. Leg in het contract vast wie welke melding en markering verzorgt.

  • Digitale omnibus inzake AI in werkingSinds 27 juli 2026 · Europese Commissie

    De regels voor AI met een hoog risico schuiven op: bijlage III naar 2 december 2027, AI in producten uit bijlage I naar 2 augustus 2028. Contracten die nu worden gesloten, lopen vaak over die data heen.

Laatste AI-nieuws uit de nieuwsfeed

  • VS sluiten DeepSeek uit bij civiele federale inkoop en eisen verwijdering, ook uit producten van derdenBron: Dutch IT Channel (Wouter Hoeffnagel, 20-10-2026, op basis van SiliconANGLE); Federal Register, DHS, document 2026-21447; DHS-order van 24-07-2026 (bijlage bij de bekendmaking) · 20 oktober 2026

    Het Amerikaanse ministerie van Binnenlandse Veiligheid (DHS) sluit AI-producten en -diensten van het Chinese DeepSeek uit bij de inkoop van federale civiele diensten. Die diensten moeten DeepSeek ook uit hun ICT verwijderen, ook in producten en diensten van andere leveranciers die met DeepSeek-toepassingen zijn gebouwd. De order is gedateerd 24 juli 2026, staat sinds 20 oktober 2026 in het Federal Register en raakt ook leveranciers die DeepSeek gebruiken in producten voor deze diensten.

  • Meta wijzigt zakelijke voorwaarden: websites van klanten mogen vanaf 30 oktober worden uitgelezen voor advertentie- en bedrijfsproductenBron: Dutch IT Channel (ook The Register, Nieman Lab en de voorwaarden van Meta) · 19 oktober 2026

    Meta past per 30 oktober 2026 de zakelijke voorwaarden aan. Meta mag dan websites die verbonden zijn met zakelijke accounts automatisch uitlezen en de inhoud gebruiken om advertentie- en bedrijfsproducten te leveren, te ontwikkelen, te verbeteren en te onderzoeken. Een eerdere versie noemde ook trainen; na kritiek heeft Meta dat woord geschrapt. Volgens juristen blijft de tekst ruim. Het raakt organisaties die Meta zakelijk gebruiken, bijvoorbeeld voor een bedrijfspagina, advertenties of Meta Business Suite. Meta beschouwt voortgezet zakelijk gebruik als akkoord. De voorwaarden bieden geen aparte mogelijkheid om alleen deze bepaling te weigeren.

  • OpenAI haalt GPT-4o en GPT-4.1 op 14 januari 2027 uit de APIBron: Dutch IT Channel (bron: OpenAI) · 17 oktober 2026

    OpenAI stopt op 14 januari 2027 met GPT-4o, GPT-4o mini, GPT-4.1 en GPT-4.1 mini in de API. De aankondiging kwam op 14 oktober 2026; de opvolger is GPT-6 Luna.

Alle nieuwsberichten

Tijdlijn: wanneer geldt wat

  1. DORA geldt voor financiële organisaties, met eisen aan contracten met ICT-dienstverleners, ook voor AI-diensten.
  2. AI-verordening: verboden AI-toepassingen en de plicht tot AI-geletterdheid.
  3. AI-verordening: regels voor AI-modellen voor algemene doeleinden.
  4. AI-verordening: algemene toepassing en transparantieplichten (artikel 50).
  5. Einde overgangstermijn voor het markeren van inhoud uit generatieve AI-systemen die al voor 2 augustus 2026 op de markt waren.
  6. Data Act: overstappen tussen clouddiensten zonder overstapkosten.
  7. AI-verordening: regels voor AI met een hoog risico uit bijlage III, zoals werving en selectie en toegang tot essentiële diensten.
  8. AI-verordening: regels voor AI met een hoog risico in producten uit bijlage I.

Meer data en samenvattingen in de regelgevingskalender.

Contractclausules en vragen voor leveranciers

Voorbeeldteksten om aan te passen aan de eigen situatie. Ze groeien mee met de weekduidingen.

1. AI-updates in bestaande diensten

Vraag: welke AI-functies komen er de komende twaalf maanden bij?

"Leverancier meldt nieuwe of gewijzigde AI-functies vooraf schriftelijk. Een AI-functie wordt pas geactiveerd na schriftelijk akkoord van opdrachtgever."

2. Geen training op gegevens van de opdrachtgever

Vraag: worden invoer, uitkomsten of klantgegevens gebruikt om modellen te trainen of het product te verbeteren?

"Leverancier en ingeschakelde partijen gebruiken gegevens van opdrachtgever, invoer en uitkomsten niet voor training, verdere afstemming van modellen of eigen productverbetering."

Een akkoord van de opdrachtgever vervangt geen grondslag onder de AVG.

3. Rollen en transparantie onder de AI-verordening

Vraag: wie is aanbieder en wie is gebruiksverantwoordelijke, per AI-functie?

"Een bijlage beschrijft per AI-functie de wettelijke rollen en de geldende transparantieplichten. Leverancier levert de functies en bewijsstukken die nodig zijn voor de eigen plichten en voor de afgesproken steun aan opdrachtgever."

De wettelijke rol volgt uit wat een partij feitelijk doet, niet uit het contract.

4. Bewijsstukken en auditrecht

Vraag: welke documentatie is er over beoogd gebruik, beperkingen, testen, logging en menselijke controle?

"Leverancier stelt de afgesproken bewijsstukken beschikbaar, houdt ze actueel bij elke relevante wijziging en werkt mee aan een audit door of namens opdrachtgever en aan vragen van een toezichthouder."

5. Levensduur van het AI-model

Vraag: welk model zit er in de dienst en hoe lang van tevoren wordt een stopzetting gemeld?

"Leverancier meldt het stopzetten of vervangen van een onderliggend AI-model ten minste zes maanden vooraf, biedt een testperiode voor de opvolger en draagt de kosten van de overstap."

6. Exit zonder lock-in

Vraag: wat krijgt de opdrachtgever mee bij het einde van het contract?

"Bij beëindiging levert leverancier klantgegevens, configuraties, prompts, logbestanden en relevante metadata in een gedocumenteerd en gangbaar formaat, en werkt mee aan de overdracht."

Voor financiële organisaties onder DORA gelden daarnaast de contracteisen van artikel 30. Zie ook de Europese modelclausules voor het inkopen van AI.

AI-tools beoordelen

Geen ranglijst en geen reclame. Een tool komt hier alleen met waarde, beperkingen en risico's, onderbouwd met een officiële bron. Het overzicht is in opbouw. Deze vragen gelden voor elke AI-tool:

  • Waarde: welk probleem lost de tool op, en hoe is dat gemeten?
  • Beperkingen: waar gaat de tool de mist in, en hoe wordt dat zichtbaar?
  • AVG: is de leverancier verwerker, is er een verwerkersovereenkomst en is een DPIA nodig?
  • Datalocatie: waar worden gegevens opgeslagen en verwerkt, ook door onderaannemers?
  • Lock-in en exit: kunnen gegevens, prompts en configuraties mee naar een andere aanbieder?
  • Auditlog: wordt vastgelegd wie wat deed met de tool, en is dat op te vragen?
  • Model: welk AI-model zit erin, en wat gebeurt er als dat model stopt?

AI-inkoopcheck

Tien vragen voordat een AI-dienst wordt ingekocht of een AI-functie wordt aangezet.

  1. Welk doel dient de AI, en is dat beter dan zonder AI?
  2. Valt de toepassing mogelijk onder hoog risico uit de AI-verordening?
  3. Wie is aanbieder en wie is gebruiksverantwoordelijke?
  4. Welke persoonsgegevens worden verwerkt, en is een DPIA nodig?
  5. Worden gegevens van de organisatie gebruikt voor training?
  6. Past de AI-functie binnen het bestaande contract en de aanbesteding?
  7. Welke bewijsstukken levert de leverancier, en hoe vaak worden ze bijgewerkt?
  8. Hoe is menselijke controle geregeld?
  9. Wat gebeurt er als het onderliggende model stopt of verandert?
  10. Hoe ziet de exit eruit: gegevens, configuraties en logbestanden?

Binnenkort beschikbaar De AI-inkoopcheck als invulbaar Word-bestand.

Prompt van de week

Gebruik deze prompt alleen met openbare of geanonimiseerde contracttekst, en controleer de uitkomst zelf.

Lees de volgende contracttekst over een AI-dienst. Geef in een tabel per onderwerp aan wat de tekst regelt en citeer het artikel: rolverdeling onder artikel 50 AI-verordening, gebruik van klantdata voor training, auditrecht, logging, exit en teruggave van data, melding bij wijziging of stopzetting van het model. Verzin niets: staat een onderwerp er niet in, schrijf dan "niet aangetroffen in deze tekst".

Hulpmiddelen voor AI-analyse van uitvragen en inschrijvingen

Binnenkort beschikbaar

UitvraagToets

AI-analyse van een uitvraag of offerteaanvraag.

uitvraagtoets.nl
Binnenkort beschikbaar

TenderToets

AI-analyse van een inschrijving of offerte.

tendertoets.nl

Deze pagina is algemene informatie en geen juridisch advies. Zie ook de disclaimer.

Contact

Vragen over AI in inkoop of contracten?

Een kennismaking is kosteloos en vrijblijvend. Mail naar info@adremconsultants.nl of gebruik het contactformulier.

Naar het contactformulier