# Contract met je AI-leverancier: afspraken over verwerking, datalocatie en exit

> Contract met je AI-leverancier: waar let je op bij verwerkersovereenkomst, datalocatie en overstappen? Checklist voor ondernemers, geen juridisch advies.

Bron: https://geo-kennisbank.nl/kennisbank/afspraken-met-ai-leveranciers/  
Uitgever: GEO-Kennisbank (geo-kennisbank.nl), een label van Harundo  
Bijgewerkt: 2026-11-10

Je kiest een AI-tool voor je klantenservice of je administratie, klikt op „akkoord” en begint. Een goed contract met je AI-leverancier regelt vooraf wie bepaalt wat er met je klantgegevens gebeurt, waar die gegevens staan en hoe je weer overstapt. Ook als zzp'er ben je verantwoordelijk voor de gegevens van je klanten. Hier staan de belangrijkste afspraken, met een checklist voor elke leverancier. Dit is algemene informatie, geen juridisch advies.

Kort antwoord

Leg bij elke AI-leverancier vast wie waarvoor verantwoordelijk is. Bij persoonsgegevens hoort een verwerkersovereenkomst. Weet waar je data staat en of die voor training wordt gebruikt, en regel hoe je opzegt en je gegevens meeneemt. Bij dat laatste helpt sinds 12 september 2025 de Europese Data Act.

## Wat hoort er in een contract met je AI-leverancier?

Een AI-dienst neem je vaak af met een paar klikken, zonder dat je ooit iemand van de leverancier spreekt. Volgens de AVG blijft jouw bedrijf toch verantwoordelijk voor de gegevens van je klanten, ook als een leverancier ze verwerkt.

De Autoriteit Persoonsgegevens (AP) publiceerde in 2026 een AVG-handreiking voor ontwikkelaars van generatieve AI en een praktisch hulpmiddel voor organisaties die zulke AI aanschaffen, implementeren of gebruiken. Haar eerste advies: zoek uit of het ook zonder persoonsgegevens kan.

Dan is er de afhankelijkheid. Volgens onderzoek van ABN Amro en MWM2 (2026) onder 777 organisaties leunt bijna de helft zwaar op een paar Amerikaanse cloud- en techbedrijven, en bijna tweederde van het mkb probeert die afhankelijkheid te verkleinen. Goede afspraken houden die keuze open. Denk ook aan tools die je klanten zien, zoals een chatbot op je site die namens jou antwoordt.

## De verwerkersovereenkomst

Verwerkt een leverancier namens jou persoonsgegevens, dan ben jij verwerkingsverantwoordelijke en is de leverancier verwerker. Artikel 28 van de AVG eist dan een schriftelijke overeenkomst. Daarin staat in elk geval waarvoor de gegevens gebruikt mogen worden, welke beveiliging geldt en dat de leverancier zijn medewerkers geheimhouding oplegt.

Verder regelt de overeenkomst of de leverancier onderverwerkers mag inschakelen, hoe snel hij een datalek meldt en wat er na afloop met de gegevens gebeurt: teruggeven of verwijderen. Kijk bij AI-diensten goed of het gebruik van jouw invoer om het model te verbeteren is uitgesloten. Zet je persoonsgegevens in een tool zonder verwerkersovereenkomst, dan loop je risico. Lees ook [persoonsgegevens in AI-tools](https://geo-kennisbank.nl/kennisbank/persoonsgegevens-in-ai-tools/).

## Datalocatie en training op jouw data

Vraag waar je gegevens worden opgeslagen en verwerkt, en wie er vanuit andere landen bij kan. Buiten de Europese Economische Ruimte gelden extra regels uit de AVG. Voor de VS kan het EU-VS Data Privacy Framework een basis zijn; de Europese Commissie nam daarvoor in 2023 een adequaatheidsbesluit. Kijk wel hoe dat kader er nu voor staat en of je leverancier is aangesloten.

Vraag ook of je invoer voor training wordt gebruikt. De AP waarschuwt dat gratis chatbots ingevoerde gegevens kunnen bewaren en gebruiken. Bij zakelijke abonnementen beloven aanbieders meestal iets anders, maar zet het toch in je overeenkomst en bewaar een kopie van de voorwaarden zoals ze luidden op de dag dat je tekende. Zie ook [ChatGPT en privacy](https://geo-kennisbank.nl/kennisbank/chatgpt-privacy/).

**Hoe ziet AI jouw website?** Doe de gratis GEO-scan: 40 controles en een cijfer van 0 tot 100.

[Start de GEO-scan](https://geo-kennisbank.nl/ai-scan/)

## Exit: opzeggen en je gegevens meenemen

Denk bij het tekenen al aan opzeggen. Kun je je gegevens in een bruikbaar formaat meenemen? Hoe lang bewaart de leverancier ze nog, en wanneer verwijdert hij ze aantoonbaar?

Voor cloudgebonden diensten geldt sinds 12 september 2025 de Europese Data Act. Volgens Alston & Bird mag je opzeggen met een opzegtermijn van maximaal twee maanden en moet de overstap binnen 30 dagen kunnen, al blijven boetes voor vroegtijdig opzeggen mogelijk. Tot 12 januari 2027 mogen overstapkosten niet hoger zijn dan de werkelijke kosten, daarna zijn ze in de regel niet toegestaan. Of een specifieke AI-dienst eronder valt, verschilt per dienst.

|Onderwerp |Vraag aan de leverancier |Waarom |

|Verwerker |Is er een verwerkersovereenkomst? |Verplicht bij persoonsgegevens |

|Locatie |Waar en door wie wordt data verwerkt? |Doorgifte buiten de EER heeft regels |

|Training |Wordt mijn invoer gebruikt voor modellen? |Voorkomt ongewenst hergebruik |

|Beveiliging |Welke maatregelen en meldtermijn bij lekken? |Je moet zelf snel kunnen handelen |

|Exit |Welk formaat, welke termijn, welke kosten? |Voorkomt vastzitten |

## Stappenplan: een contract met je AI-leverancier beoordelen

Voor de basis hoef je geen jurist te zijn. Loop deze stappen door voordat je tekent.

- **Bepaal welke gegevens erin gaan.** Persoonsgegevens, bedrijfsgeheimen of alleen openbare tekst?

- **Lees de voorwaarden en het privacybeleid.** Zoek naar training, bewaartermijn en onderverwerkers.

- **Vraag de verwerkersovereenkomst op.** Of controleer of die al in de voorwaarden zit.

- **Vraag naar de datalocatie.** Noteer land, onderverwerkers en wat er geldt bij doorgifte.

- **Regel de exit.** Opzegtermijn, exportformaat en verwijdering schriftelijk bevestigd.

- **Leg het vast en plan een herziening.** Zet datum en reden van je keuze in je administratie.

## Veelgemaakte fouten

Gratis en zakelijk door elkaar halen is de eerste fout. Een privéaccount valt onder andere voorwaarden dan een zakelijk abonnement. Ook alleen op prijs kiezen gaat vaak mis, want een goedkope tool die je data voor training gebruikt, kan duur uitpakken.

Europees staat niet gelijk aan veilig. Vraag ook bij een Europese aanbieder naar onderverwerkers. Aan de exit denken de meesten pas als ze willen overstappen. En wat je team zelf installeert, raakt makkelijk uit beeld (zie [schaduw-AI](https://geo-kennisbank.nl/kennisbank/schaduw-ai/)). Bij AI-bureaus of contentleveranciers wordt vaak niets afgesproken over wie de rechten op teksten heeft en of het bureau zelf AI gebruikt, terwijl je dat bij de opdracht al kunt regelen.

## Afspraken blijven controleren

Voorwaarden veranderen. Zet één keer per jaar een herinnering om je belangrijkste AI-leveranciers na te lopen. Stuur de leverancier een mail met drie vragen: zijn de voorwaarden gewijzigd, zijn er nieuwe onderverwerkers en is de datalocatie hetzelfde gebleven? Vaak is dat genoeg. Bewaar het antwoord bij je administratie, zodat je kunt laten zien dat je zorgvuldig hebt gehandeld.

Houd per tool een eenvoudig overzicht bij van waarvoor je hem gebruikt, welke gegevens erin gaan, wie de eigenaar is en wanneer je hem voor het laatst hebt gecontroleerd. Bij een datalek, een vraag van een klant of een overstap heb je dat meteen bij de hand. Past je gebruik niet meer bij de afspraken, pas dan het gebruik aan of de afspraken.

## Wat dit betekent voor jou

Begin bij de tool die de meeste klantgegevens ziet, zoals je chatbot, boekhouding of mailpakket. Controleer daar drie punten: verwerkersovereenkomst, datalocatie en exit. De checklist van de AP kun je als richtlijn gebruiken. Laat je website- of contentbureau schriftelijk vastleggen of het AI gebruikt en wie de rechten heeft, want wat dat bureau over je bedrijf publiceert, lezen AI-assistenten later ook. Twijfel je over een contract, leg het dan voor aan een jurist of je brancheorganisatie. Zie ook [een AI-beleid opstellen](https://geo-kennisbank.nl/kennisbank/ai-beleid-opstellen/).

## Conclusie

Met een verwerkersovereenkomst bij persoonsgegevens, duidelijkheid over datalocatie en training, en een geregelde uitgang heb je de belangrijkste afspraken met een AI-leverancier rond. De Data Act maakt overstappen makkelijker, maar je moet er bij het tekenen wel zelf naar vragen. Wil je weten hoe AI je bedrijf nu beschrijft? Doe de gratis [GEO-scan](https://geo-kennisbank.nl/ai-scan/) of de [vermeldingscheck](https://geo-kennisbank.nl/vermeldingscheck/).

## Veelgestelde vragen

### Heb ik een verwerkersovereenkomst nodig voor een AI-tool?
Verwerkt de leverancier namens jou persoonsgegevens, bijvoorbeeld klantmails of namen in een chatbot, dan vraagt de AVG in artikel 28 om een schriftelijke overeenkomst. Veel aanbieders hebben een standaardversie in hun voorwaarden staan. Lees die door en vraag na wat je niet begrijpt of wat niet bij jouw gebruik past.

### Mag mijn data in de VS worden verwerkt?
Doorgifte buiten de EU mag onder voorwaarden. Voor de VS kan het gaan om bedrijven die onder het EU-VS Data Privacy Framework vallen, waarvoor de Europese Commissie in 2023 een adequaatheidsbesluit nam. Kijk of je leverancier is aangesloten en wat de actuele stand van dat kader is.

### Wat kost overstappen naar een andere leverancier?
Voor cloudgebonden diensten geldt sinds 12 september 2025 de Europese Data Act. Je kunt opzeggen met een opzegtermijn van maximaal twee maanden en de overstap duurt maximaal 30 dagen. Tot 12 januari 2027 mogen er kostengebonden overstapkosten gelden, daarna in principe niet. Boetes voor vroegtijdig opzeggen blijven mogelijk.

### Gebruikt de leverancier mijn gegevens om zijn model te trainen?
Dat verschilt per aanbieder en per abonnement. Volgens de Autoriteit Persoonsgegevens mogen gratis versies invoer vaak bewaren en gebruiken. Zakelijke abonnementen beloven meestal het tegendeel. Lees de voorwaarden en laat het in je contract vastleggen.

### Waar vind ik hulp bij het beoordelen van een AI-leverancier?
De Autoriteit Persoonsgegevens publiceerde in 2026 een hulpmiddel voor organisaties die generatieve AI aanschaffen of gebruiken. Gaat het om jouw specifieke situatie, dan kun je bij een jurist of je brancheorganisatie terecht.

## Bronnen

- Europese Unie: Algemene verordening gegevensbescherming (AVG), artikel 28 en hoofdstuk V
- Autoriteit Persoonsgegevens: AVG-handreiking en checklist voor generatieve AI (2026)
- Europese Unie: Data Act, Verordening (EU) 2023/2854, hoofdstuk over overstappen tussen dataverwerkingsdiensten
- Alston & Bird: EU Data Act switching requirements for cloud services (2025)
- ABN Amro en MWM2: onderzoek naar cyberweerbaarheid van organisaties (2026)
- Europese Commissie: adequaatheidsbesluit EU-VS Data Privacy Framework (2023)