Verwerkersovereenkomst voor AI-tools: wanneer heb je die nodig?
7 juli 2026 · 4 min lezen
Zodra een AI-tool persoonsgegevens verwerkt, zoals namen van cliënten of medewerkers, heb je een verwerkersovereenkomst nodig met de aanbieder. Bij losse consumenten-accounts kun je die meestal niet sluiten, en precies daar gaat het in de praktijk mis.
Wat is een verwerkersovereenkomst?
Een contract tussen jouw organisatie en de partij die persoonsgegevens voor je verwerkt. Erin staat wat de aanbieder met jouw gegevens mag doen, waar ze staan, hoe lang ze bewaard blijven en wat er gebeurt bij een datalek. De AVG verplicht zo’n overeenkomst zodra een externe partij persoonsgegevens voor jou verwerkt. Een AI-dienst die jouw teksten leest, is zo’n partij.
Wanneer heb je hem nodig bij AI?
Sneller dan je denkt. Een mail samenvatten waar een naam in staat, een rapportage uitwerken, een lijst met medewerkers ordenen: allemaal verwerking van persoonsgegevens. Alleen bij volledig anonieme teksten, zonder herleidbare gegevens, speelt dit niet. In de zorg is dat de uitzondering, niet de regel.
Waar let je op in de overeenkomst?
- Traint de aanbieder op jouw invoer? Dat wil je uitgesloten of uitgezet hebben.
- Waar staan de servers en welke partijen werken eronder als subverwerker?
- Hoe lang worden invoer en uitvoer bewaard, en kun je dat beperken?
- Wat is de procedure bij een datalek en binnen welke termijn hoor je ervan?
En als de tool geen overeenkomst biedt?
Dan gebruik je die tool niet voor werk met persoonsgegevens. Kies de zakelijke variant van de dienst, die vrijwel altijd wel verwerkersafspraken biedt, of draai een lokaal model in je eigen omgeving, zodat de gegevens je organisatie niet verlaten.
Dit is uitleg in gewone taal, geen juridisch advies. Ik ben geen jurist. Laat de overeenkomst zelf toetsen door je functionaris gegevensbescherming of een privacyjurist.