Welke inkoopvragen stelt u een AI-leverancier?

Vermeld gebruikers, gegevenscategorieën, bronnen, koppelingen en ontvangers van de uitkomst. Geef aan of AI alleen een concept maakt of rechtstreeks iets naar een klant verstuurt. Beschrijf ook welk gebruik buiten de opdracht valt. Een hulpmiddel voor openbare productteksten hoeft niet meteen geschikt te zijn voor klantdossiers of personeelsbeoordeling. Koppel de gewenste functies aan een verantwoordelijke die de noodzaak en gevolgen kan toelichten.

Vraag vervolgens welke productvariant, accountvorm en instellingen bij deze specificatie horen. Maak onderscheid tussen mogelijkheden die standaard beschikbaar zijn en aanvullende modules. Leg aannames vast die nog bevestigd moeten worden. Als de leverancier alleen algemene documentatie aanlevert, wijs dan precies aan welke vraag onbeantwoord blijft. Dat geeft inkoop een concrete vervolgstap en voorkomt dat een technisch antwoord ten onrechte als juridische goedkeuring wordt gelezen.

Vraag welke gegevens de leverancier ontvangt en of bestanden of gekoppelde bronnen afzonderlijk worden opgeslagen. Onderzoek of mensen toegang kunnen krijgen voor ondersteuning of beoordeling. Vraag ook naar bewaartermijnen, verwijdering, export en gebruik door onderliggende partijen. Laat vastleggen welke instellingen dit beïnvloeden en wie ze mag wijzigen. De term ‘zakelijk account’ is op zichzelf geen bewijs dat al deze onderwerpen passend zijn geregeld.

Illustratief voorbeeld: een leverancier zegt dat klantgegevens niet voor modeltraining worden gebruikt. Dat antwoord is nuttig, maar zegt nog niets over hoe lang prompts worden bewaard of welke ondersteuning toegang heeft. De inkoper vraagt daarom afzonderlijke bevestiging voor opslag, menselijke toegang en verwijdering. Het besluit blijft gekoppeld aan de gekozen dienst en contractversie. Voor een later toegevoegde functie kan een nieuwe beoordeling nodig zijn.

De tabel is opzij te schuiven.

Een partij kan voor bepaalde handelingen als verwerker optreden en voor andere doelen een eigen verantwoordelijkheid hebben. Laat de contracten aansluiten op die werkelijke verdeling. Als sprake is van verwerking in opdracht, moet de verwerkersovereenkomst de relevante afspraken bevatten. Kijk onder meer naar instructies, beveiliging, onderliggende verwerkers, bijstand en beëindiging. Een ingevuld sjabloon helpt pas wanneer duidelijk is op welke dienst en gegevens het betrekking heeft.

Onderzoek ook waar gegevens worden verwerkt en vanwaar toegang mogelijk is. Alleen een Europese opslaglocatie beantwoordt niet alle vragen over doorgiften buiten de EER. De benodigde beoordeling hangt af van de gegevensstromen en betrokken partijen. Laat daarnaast vaststellen welke AI Act-verplichtingen bij uw rol en toepassing passen en of een DPIA nodig is. Een leveranciersbeoordeling neemt die eigen afwegingen niet automatisch over.

Kies fictieve of anderszins geschikt beoordeelde testgegevens en voorbeelden uit de beoogde taak. Test een normale vraag, ontbrekende informatie, een uitzondering en een verzoek buiten de afgesproken grens. Bekijk of bronverwijzingen bruikbaar zijn en of de medewerker het resultaat kan corrigeren. Noteer fouten op een manier die de proceseigenaar begrijpt: een onjuiste toezegging, informatie uit een verkeerd dossier of een onvindbare bron.

Spreek vooraf acceptatiecriteria af en benoem wie deze beoordeelt. Een snelle of prettig geformuleerde uitkomst is niet voldoende wanneer essentiële voorwaarden verdwijnen. Kijk ook of beheer en controle binnen de beschikbare capaciteit passen. Een product kan functioneel aantrekkelijk zijn en toch meer beoordeling vragen dan uw team kan organiseren. Laat het besluit zien welke beperkingen worden aanvaard, welke maatregelen nodig zijn en wat eerst opgelost moet worden.

Vraag naar veranderingen in functies, modellen, onderliggende partijen en voorwaarden. Spreek af wie berichten ontvangt en wie bepaalt of een wijziging uw gegevens of controles raakt. Zorg dat intern een eigenaar blijft bestaan voor accounts, instructies en incidentcontact. Onderzoek bij een storing welke taken tijdelijk anders kunnen worden uitgevoerd. Een continuïteitsafspraak is pas bruikbaar wanneer het team weet welke informatie en werkwijze dan beschikbaar zijn.

Bespreek beëindiging voordat u afhankelijk wordt van de toepassing. Welke gegevens en werkproducten kunt u meenemen, in welk formaat en hoe controleert u verwijdering? Houd rekening met contractuele of wettelijke bewaareisen en technische beperkingen. Bundel het uiteindelijke besluit met de belangrijkste bewijsverwijzingen. Laat inkoop, proceseigenaar, privacy en IT hun open vragen en adviezen in hetzelfde overzicht zetten. Benoem wie beslist als een voorwaarde nog niet is vervuld.