Verwerkersovereenkomst voor AI-tools: wanneer heb je die nodig?
7 juli 2026 · 4 min lezen
Zodra een AI-tool persoonsgegevens verwerkt, zoals namen van cliënten of medewerkers, heb je een verwerkersovereenkomst nodig met de aanbieder. Bij losse consumenten-accounts kun je die meestal niet sluiten, en precies daar gaat het in de praktijk mis.
Wat is een verwerkersovereenkomst?
Een contract tussen jouw organisatie en de partij die persoonsgegevens voor je verwerkt. Erin staat wat de aanbieder met jouw gegevens mag doen, waar ze staan, hoe lang ze bewaard blijven en wat er gebeurt bij een datalek. De AVG verplicht zo’n overeenkomst zodra een externe partij persoonsgegevens voor jou verwerkt. Een AI-dienst die jouw teksten leest, is zo’n partij.
Wanneer heb je hem nodig bij AI?
Sneller dan je denkt. Een mail samenvatten waar een naam in staat, een rapportage uitwerken, een lijst met medewerkers ordenen: allemaal verwerking van persoonsgegevens. Alleen bij volledig anonieme teksten, zonder herleidbare gegevens, speelt dit niet. In de zorg is dat de uitzondering, niet de regel.
Waar let je op in de overeenkomst?
- Traint de aanbieder op jouw invoer? Dat wil je uitgesloten of uitgezet hebben.
- Waar staan de servers en welke partijen werken eronder als subverwerker?
- Hoe lang worden invoer en uitvoer bewaard, en kun je dat beperken?
- Wat is de procedure bij een datalek en binnen welke termijn hoor je ervan?
En als de tool geen overeenkomst biedt?
Gebruik die tool dan niet voor persoonsgegevens. Onderzoek een zakelijke dienst of beheerde modelomgeving en laat contracten, opslag, toegang, beveiliging en doorgifte beoordelen voordat je kiest.
Dit is uitleg in gewone taal, geen juridisch advies. Ik ben geen jurist. Laat de overeenkomst zelf toetsen door je functionaris gegevensbescherming of een privacyjurist.