Je sluit een overeenkomst met een AI-leverancier. In de algemene voorwaarden staat, vaak ergens onderaan, dat jouw data mag worden gebruikt voor modeltraining of productverbetering. Wat op het eerste gezicht een technische nuance lijkt, kan in de praktijk een wezenlijk risico zijn.
Voor organisaties betekent dit namelijk dat klantdata, interne kennis of strategische informatie kan terechtkomen in systemen die ook door anderen worden gebruikt, waaronder concurrenten. De scheidslijn tussen jouw input en een gedeeld AI-model is daarbij niet altijd duidelijk.
Wie hergebruik van bedrijfsdata wil voorkomen, komt al snel uit bij gerichte contractuele afspraken, gecombineerd met inzicht in hoe AI-systemen technisch werken.
Waarom hergebruik van bedrijfsdata in AI risicovol is
AI-systemen functioneren op basis van data. Zodra je data invoert in een AI-tool, kan die worden gebruikt voor training, fine-tuning of andere vormen van modelverbetering.
Leveranciers presenteren dat vaak als kwaliteitsverbetering. In de praktijk betekent het regelmatig dat jouw data onderdeel wordt van een breder model. Daarmee neem je het risico dat jouw informatie indirect waarde creëert voor andere gebruikers.
Dat risico is niet louter theoretisch. Grote AI-modellen worden getraind op omvangrijke datasets. Als jouw input daarin terechtkomt, kan dat gevolgen hebben voor vertrouwelijkheid en exclusiviteit. Bij persoonsgegevens kan bovendien de AVG een rol spelen.
Daar komt bij dat de technische inrichting van AI-systemen complex is. Data kan worden opgeslagen via logging, caching of feedbackmechanismen. Zonder duidelijke afspraken is vaak onduidelijk hoe lang data wordt bewaard en waarvoor die later nog wordt gebruikt.
Datagebruik in AI-contracten: juridische basis en controle
Wie controle wil houden over data in AI-contracten, is vooral aangewezen op het contract. Het Nederlandse recht kent geen algemeen eigendomsrecht op data. De kernvraag is daarom welke rechten een leverancier krijgt om data te gebruiken.
Die rechten worden doorgaans vormgegeven als licenties. In de praktijk bevatten standaardvoorwaarden van AI-leveranciers vaak ruime gebruiksrechten voor inputdata, bijvoorbeeld voor modeltraining of productontwikkeling.
Als je dat wilt beperken, moet je die rechten expliciet en concreet inperken.
De AVG biedt aanvullende bescherming wanneer het om persoonsgegevens gaat. In dat geval mag een leverancier de data alleen verwerken volgens jouw instructies. Voor andere typen data, zoals bedrijfsgeheimen of commerciële informatie, ontbreekt een vergelijkbaar wettelijk kader. Daar ben je aangewezen op contractuele afspraken.
Hoe verbied je hergebruik van data in AI-contracten?
Een effectief verbod op hergebruik bestaat uit meerdere onderdelen.
Allereerst is een duidelijke verbodsbepaling nodig. Leg vast dat inputdata, outputdata en metadata niet mogen worden gebruikt voor modeltraining, productontwikkeling of andere doeleinden buiten de uitvoering van de overeenkomst. Vermijd open formuleringen zoals kwaliteitsverbetering.
Daarnaast is het belangrijk om afspraken te maken over bewaartermijnen en verwijdering. Bepaal dat data na verwerking wordt verwijderd en niet achterblijft in logs, caches of back-ups. Vraag zo nodig om bevestiging van verwijdering.
Ook controle speelt een rol. Door een auditrecht op te nemen, kun je verifiëren of de leverancier zich aan de afspraken houdt. Zonder controlemogelijkheid blijft een verbod lastig afdwingbaar.
Tot slot moet je rekening houden met onderaannemers. Veel AI-diensten maken gebruik van derde partijen. Zorg dat afspraken over datagebruik ook voor hen gelden.
Praktische waarborgen naast juridische afspraken
Contractuele afspraken alleen zijn meestal niet voldoende. De manier waarop systemen worden gebruikt, bepaalt in de praktijk een groot deel van het risico.
Beperk daarom wat je invoert. Dataminimalisatie is een logische eerste stap. Waar mogelijk kun je data anonimiseren of pseudonimiseren voordat die een AI-systeem ingaat.
Daarnaast kan de keuze voor een specifieke oplossing relevant zijn. Sommige leveranciers bieden enterprise-varianten waarin wordt vastgelegd dat data niet wordt gebruikt voor modeltraining. Het blijft wel belangrijk om de voorwaarden zorgvuldig te controleren.
Voor gevoelige data kan een private of on-premise oplossing passend zijn. Dat vraagt meer investering, maar biedt meer controle over datastromen.
AI-contract onderhandelen: waar moet je op letten?
AI-leveranciers werken vaak met standaardvoorwaarden. Toch is er, bij de inkoop van AI, in sommige gevallen ruimte voor onderhandeling, met name bij grotere contracten.
Een goede voorbereiding helpt. Bepaal vooraf welke data je gebruikt, welke risico’s je wilt vermijden en welke garanties noodzakelijk zijn. Stel daarnaast concrete vragen. Wordt data gebruikt voor modeltraining? Hoe lang wordt data bewaard? Welke partijen hebben toegang?
Als een leverancier hier geen duidelijk antwoord op geeft, is dat een relevant aandachtspunt. Leg afspraken altijd vast in het contract.
Let ook op wijzigingsbedingen. Sommige contracten geven leveranciers de mogelijkheid om voorwaarden eenzijdig aan te passen. Beperk die mogelijkheid of zorg voor een exitoptie.
Governance en interne processen bij AI-gebruik
Juridische afspraken werken alleen als ze ook intern worden nageleefd. Dat vraagt om duidelijke governance.
Bepaal wie verantwoordelijk is voor het gebruik van AI-tools en stel richtlijnen op voor welke data wel en niet mag worden ingevoerd. Voorkom dat medewerkers gevoelige informatie gebruiken in publieke AI-tools.
Zorg daarnaast voor monitoring van datagebruik. Zonder inzicht blijft het risico moeilijk beheersbaar.
Denk daarbij aan:
- classificatie van data naar gevoeligheid
- beleid per type AI-toepassing
- training van medewerkers
- technische maatregelen zoals toegangsbeheer en monitoring
Ook regelgeving zoals de NIS2-richtlijn onderstreept het belang van risicobeheer in de keten.
De rol van de AI-verordening
De Europese AI-verordening introduceert verplichtingen voor aanbieders en gebruikers van AI-systemen. Voor datagebruik is vooral relevant dat aanbieders van general-purpose AI-modellen meer transparantie moeten bieden.
Die transparantie geeft meer inzicht, maar geen automatisch recht om hergebruik van data te verbieden. Contractuele afspraken blijven daarom noodzakelijk.
Hergebruik van data voorkomen begint bij overzicht
Begin met het in kaart brengen van welke AI-tools je gebruikt, welke data daarin terechtkomt en wat daar contractueel over is vastgelegd. Dat overzicht ontbreekt in de praktijk vaak.
Bepaal vervolgens waar de grootste risico’s zitten en pak die als eerste aan. Werk met standaardclausules en zorg dat juridische, technische en organisatorische maatregelen op elkaar aansluiten.
Wil je beter grip op hoe jouw organisatie omgaat met data in AI-contracten? Neem gerust contact met ons op.
