AI-contracten en aansprakelijkheid: hoe beschermt u uw onderneming?

Gepubliceerd op 11 oktober 2025 · Laatst bijgewerkt op 10 oktober 2026

U beschermt uw onderneming bij de inkoop van AI vooral via het contract: leg prestaties, data-eigendom, auditrechten en de verdeling van aansprakelijkheid uitdrukkelijk vast. Een beperking van aansprakelijkheid helpt, maar een rechter kan een beroep daarop opzijzetten als dat onaanvaardbaar is, bijvoorbeeld bij opzet of bewuste roekeloosheid (artikel 6:248 lid 2 BW).

Wanneer u AI-technologie inkoopt of implementeert, kunnen onduidelijke contractuele afspraken leiden tot onverwachte aansprakelijkheid en financiële schade.

Goede contractuele afspraken en heldere aansprakelijkheidsverdeling zijn essentieel om uw onderneming te beschermen tegen de risico’s die AI-systemen met zich meebrengen.

Veel bedrijven onderschatten het belang van specifieke AI-clausules. Ze vertrouwen op standaard IT-contracten, die vaak niet voldoen aan de bijzondere eigenschappen van kunstmatige intelligentie.

Hieronder leest u welke afspraken over eigendom, databescherming, transparantie en contractbeheer daarbij het belangrijkst zijn.

Ondernemers krijgen zo praktische handvatten om hun organisatie juridisch en financieel te beschermen bij het gebruik van AI-technologie.

Wat moet er in een AI-contract staan?

AI-contracten vragen om specifieke afspraken over doelen, prestaties en technische eisen. U moet duidelijke contractuele kaders opstellen en kritisch kijken naar uw leveranciers.

Hoe legt u doelen en specificaties vast?

Leg concrete doelstellingen vast voordat u AI-systemen inkoopt. Vage omschrijvingen zorgen later voor problemen.

Het contract moet precies aangeven welke taken het AI-systeem uitvoert. Zo voorkomt u misverstanden tussen u en de leverancier.

Belangrijke specificaties om vast te leggen:

• Nauwkeurigheidseisen (bijvoorbeeld 95% correcte voorspellingen)
• Responsetijden voor het systeem
• Verwerkingscapaciteit per dag of maand
• Ondersteunde data-formaten

Stel ook grenzen aan het gebruik van het systeem. AI-systemen kunnen onverwachte resultaten geven buiten hun bedoelde functie.

Prestatie-indicatoren zijn handig om succes te meten. Maak ze meetbaar en realistisch, anders hebt u er weinig aan.

Welke bijzondere clausules horen in een AI-contract?

AI-contracten bevatten vaak speciale clausules die u in standaard IT-contracten niet vindt. Zulke clausules beschermen beide partijen.

Transparantievereisten zijn onmisbaar. De leverancier moet uitleggen hoe het AI-systeem werkt, zodat u aan de regels kunt voldoen.

Neem auditrechten op in uw contract. Zo kunt u inspecties uitvoeren op AI-processen en logbestanden inzien.

Data-eigendom vraagt om extra aandacht. Het contract moet duidelijk maken wie eigenaar is van inputdata, outputdata en trainingsdata.

De leverancier moet garanderen dat het systeem voldoet aan wet- en regelgeving. Zeker nu de Europese AI Act (Verordening (EU) 2024/1689) sinds 1 augustus 2024 van kracht is en stapsgewijs van toepassing wordt.

Leg update-procedures vast. AI-systemen veranderen door nieuwe training of algoritme-aanpassingen, en dat moet u afspreken.

Waar let u juridisch op bij de keuze van een leverancier?

Kies leveranciers zorgvuldig, vooral op juridisch vlak. Niet elke leverancier snapt AI-regelgeving even goed.

De leverancier moet laten zien dat hun systeem voldoet aan de risicocategorieën uit de AI Act. Hoog-risico systemen krijgen strengere eisen.

Aansprakelijkheidsverdeling is enorm belangrijk bij leveranciersselectie. Sommige leveranciers nemen geen verantwoordelijkheid voor AI-beslissingen.

Check of uw leverancier verzekeringen heeft voor AI-gerelateerde schade. Zo dekt u financiële risico’s af.

Geografische beperkingen kunnen meespelen. Soms mag u een AI-systeem niet in bepaalde landen gebruiken.

De leverancier moet ondersteuning bieden bij regelgevingsvragen. Dat helpt u bij het voldoen aan nieuwe wetgeving.

Contractuele flexibiliteit is belangrijk, want AI-regelgeving verandert snel. Leveranciers moeten bereid zijn om contracten aan te passen als dat nodig is.

Wie is aansprakelijk als een AI-systeem schade veroorzaakt?

U moet in AI-contracten duidelijk afspreken wie aansprakelijk is als AI-systemen schade veroorzaken. De verdeling van risico’s, garantieclausules en aansprakelijkheidsbeperkingen bepalen wie verantwoordelijk is voor AI-gerelateerde problemen.

Hoe verdeelt u risico’s tussen leverancier en afnemer?

De verdeling van aansprakelijkheid hangt af van de rollen van leverancier en afnemer. Leveranciers blijven meestal aansprakelijk voor technische gebreken in het AI-systeem.

Afnemers zijn verantwoordelijk voor het juiste gebruik van AI-toepassingen binnen hun organisatie. Dat betekent onder meer het trainen van medewerkers en het volgen van gebruiksrichtlijnen.

Belangrijke risicoverdeling:

• Leverancier: Systeemfouten, algoritmegebreken, data-integriteit
• Afnemer: Onjuist gebruik, implementatiefouten, compliance

Leg specifiek vast wie aansprakelijk is voor hallucinerende AI-output. Leveranciers kunnen niet alles op gebruikers afschuiven, toch?

Bij gedeelde verantwoordelijkheden ontstaan vaak discussies over causaliteit. Beschrijf daarom concrete scenario’s in het contract waarin elke partij aansprakelijk is.

Wat regelen garantie- en vrijwaringsclausules?

Garantieclausules in AI-contracten dekken prestaties en betrouwbaarheid van het systeem. Leveranciers geven meestal beperkte garanties op algoritmeresultaten, want AI blijft nu eenmaal onvoorspelbaar.

Standaard garanties gaan over systeem-beschikbaarheid en technische specificaties. Leveranciers sluiten meestal garanties uit voor de juistheid van AI-gegenereerde content.

Typische garantiestructuur:

• Systeembeschikbaarheid (bijvoorbeeld 99,9% uptime)
• Compliance met relevante wetgeving
• Geen garantie op AI-outputkwaliteit
• Beperkte aansprakelijkheid voor indirecte schade

Vrijwaringsclausules beschermen partijen tegen claims van derden. AI-leveranciers vrijwaren afnemers vaak tegen inbreuk op intellectuele eigendomsrechten door het AI-systeem.

Afnemers moeten leveranciers vrijwaren voor schade door onjuist gebruik van de AI-toepassing. Deze wederzijdse vrijwaring helpt juridische conflicten tussen contractpartijen voorkomen.

Mag een leverancier zijn aansprakelijkheid beperken?

Leveranciers beperken hun aansprakelijkheid in AI-contracten vaak met maximumbedragen en uitgesloten schadesoorten. Zulke clausules moeten wel binnen de wettelijke grenzen blijven.

Ze vergoeden meestal directe schade tot een bepaald bedrag. Indirecte schade, zoals winstderving, sluiten ze vaak uit.

Veelvoorkomende beperkingen:

• Maximale aansprakelijkheid tot contractwaarde
• Uitsluiting van gevolgschade
• Korte termijnen voor schadeclaims
• Geen aansprakelijkheid voor AI-beslissingen

Een Nederlandse rechter kan een beroep op een aansprakelijkheidsbeperking opzijzetten als dat naar maatstaven van redelijkheid en billijkheid onaanvaardbaar is (artikel 6:248 lid 2 BW). Dat speelt vooral bij opzet of bewuste roekeloosheid van de leverancier of zijn leidinggevenden.

Welke transparantie-eisen gelden voor AI-systemen?

Bedrijven moeten helder maken welke AI ze gebruiken en hoe die werkt. De AI Act stelt specifieke eisen aan documentatie en controle van AI-systemen in contracten.

Welke informatie moet de leverancier geven over AI-modellen?

Contractpartijen hebben recht op informatie over de AI-systemen die worden gebruikt. Dit speelt vooral bij generatieve AI en systemen die direct met mensen communiceren.

Leveranciers moeten duidelijk maken:

• Welk type AI-systeem ze inzetten
• Hoe het systeem werkt en beslissingen maakt
• Welke data ze gebruiken voor training
• Waar de beperkingen en risico’s liggen

Voor AI-systemen met beperkt risico gelden transparantieverplichtingen. Gebruikers moeten weten dat ze met AI te maken hebben.

Uitzondering: als het overduidelijk is dat het om AI gaat, hoeft dit niet expliciet gemeld te worden.

Deepfake en synthetische content vragen om speciale markering. De output moet herkenbaar zijn als kunstmatig gegenereerd, en dat moet in een machine leesbaar formaat gebeuren.

Welke audit- en rapportageverplichtingen gelden?

De AI Act eist regelmatige controles van AI-systemen. Bedrijven moeten bijhouden hoe ze aan de regels voldoen.

Belangrijke audit-elementen zijn onder meer:

• Risicobeoordeling van het AI-systeem
• Kwaliteitscontroles van data
• Testen van algoritmes en prestaties
• Documentatie van wijzigingen

Rapportages moeten incidenten melden. Problemen met AI-systemen meldt u aan toezichthouders, zeker bij hoog-risico systemen.

Contracten moeten audit-rechten regelen. Opdrachtgevers mogen leveranciers controleren en hebben toegang tot logbestanden en technische documentatie nodig.

Wanneer moet u voldoen aan de AI Act?

De AI Act wordt gefaseerd van toepassing: de verboden praktijken gelden sinds 2 februari 2025 en de regels voor AI-modellen voor algemene doeleinden sinds 2 augustus 2025. Voor de overige verplichtingen, waaronder die voor systemen met een hoog risico, gelden latere data.

De AI Act deelt systemen op in vier groepen:

• Onaanvaardbaar risico (verboden)
• Hoog risico (strenge eisen)
• Beperkt risico (transparantie verplicht)
• Minimaal risico (lichte eisen)

Contracten moeten regelen wie verantwoordelijk is voor naleving van de regels: leverancier of afnemer, afhankelijk van de situatie.

Generatieve AI krijgt extra regels. Systemen die tekst, beeld of video maken, moeten hun output markeren. Gebruikers moeten weten dat content kunstmatig is.

Boetes kunnen pittig zijn. Niet voldoen aan de AI Act kan tot 7% van de wereldwijde omzet kosten. Leg in contracten vast wie aansprakelijk is voor zulke boetes.

Hoe regelt u data-eigendom en privacy?

Bij AI-contracten ontstaat vaak discussie over wie eigenaar is van data en AI-output. Maak duidelijke afspraken over dataverwerking en zorg dat u voldoet aan privacywetgeving zoals de AVG.

Wie is eigenaar van data en AI-output?

Inputdata blijft meestal eigendom van de klant die het AI-systeem gebruikt. Dit geldt voor bedrijfsgegevens, klantinformatie en andere ingevoerde data.

De AI-output ligt ingewikkelder. Leveranciers claimen vaak eigendomsrechten op:

• Gegenereerde rapporten
• Analyses en voorspellingen
• Nieuwe inzichten uit dataverwerking

Leg contractueel vast dat u eigenaar blijft van uw originele data. Bepaal ook welke rechten u krijgt op de AI-output.

Training data vormt een apart risico. Sommige leveranciers gebruiken klantdata om hun systemen te verbeteren, waardoor concurrenten indirect kunnen profiteren van uw data.

Contracten moeten helder maken:

• Welke data de leverancier mag gebruiken
• Waarvoor ze data verwerken
• Hoe lang ze data bewaren
• Wanneer data verwijderd wordt

Welke afspraken maakt u over gegevensbescherming?

Maak concrete afspraken over de bescherming van uw data. Vage bepalingen geven alleen maar gedoe.

Technische beveiligingsmaatregelen moeten duidelijk zijn:

• Encryptie van data in rust en tijdens transport
• Toegangscontroles en authenticatie
• Backup- en herstelprocedures
• Monitoring van dataverwerking

De verwerkersovereenkomst regelt de juridische kant. Deze moet voldoen aan de AVG-eisen en precies aangeven welke verwerkingen zijn toegestaan.

Data locatie telt mee voor compliance. Contracten moeten benoemen:

• In welke landen data wordt opgeslagen
• Of data buiten de EU wordt verwerkt
• Welke waarborgen gelden bij internationale overdracht

Maak afspraken over wat er gebeurt bij een datalek. Spreek af dat de leverancier een datalek binnen bijvoorbeeld 24 uur aan u meldt, zodat u zelf de termijn van 72 uur voor een melding bij de Autoriteit Persoonsgegevens haalt (artikel 33 AVG). Zorg dat er procedures zijn voor onderzoek en herstel.

Hoe voldoet een AI-systeem aan de AVG?

AI-systemen moeten voldoen aan de AVG en andere privacyregels, vooral als ze persoonsgegevens verwerken.

De rechtsgrond voor verwerking moet duidelijk zijn. Dat kan zijn:

• Contractuele noodzaak
• Gerechtvaardigd belang
• Toestemming van betrokkenen

Transparantie is verplicht. U moet kunnen uitleggen hoe het AI-systeem werkt en welke beslissingen het neemt. Zeker bij geautomatiseerde besluitvorming is dit belangrijk.

De EU AI Act legt nieuwe eisen op aan bepaalde AI-systemen. Leveranciers van hoog-risico systemen moeten laten zien dat ze aan de regels voldoen.

Contracten moeten regelmatige audits mogelijk maken. Klanten moeten kunnen controleren of leveranciers zich aan de afspraken houden. Dit helpt om compliance aan te tonen richting toezichthouders.

Welke clausules horen in uw inkoopvoorwaarden?

Leveranciers gebruiken steeds vaker AI-tools in hun dienstverlening. Dat brengt nieuwe risico’s voor organisaties. Specifieke contractclausules voor transparantie, toestemming en exit-regelingen zijn nodig om controle te houden.

Welke informatie vraagt u van leveranciers?

Vraag leveranciers om exacte informatie over hun AI-gebruik. Zo voorkomt u verrassingen en weet u waar u aan toe bent.

Vereiste informatie van leveranciers:

• Welke AI-toepassingen ze inzetten
• Het type AI-model (generatief, predictief, enz.)
• Welke trainingsdata ze gebruiken
• Of u AI-beslissingen kunt beïnvloeden

Leveranciers moeten ook een conformiteitsverklaring geven voor hun AI-systemen. Dit geldt zelfs als de EU AI Act het nog niet verplicht.

Voor generatieve AI-tools zijn extra details belangrijk, zoals prompt-logs en fallback-opties als de AI faalt.

Een AI-register helpt om alle systemen bij te houden. De leverancier moet dit register regelmatig updaten.

Wanneer mag een leverancier AI gaan inzetten?

Spreek af dat de leverancier pas AI inzet na uw schriftelijke toestemming. Dit beschermt tegen ongewenst of ongecontroleerd AI-gebruik.

Toestemmingsvereisten:

• Specifieke AI-toepassing
• Duidelijk doel van het AI-gebruik
• Welke data wordt verwerkt
• Of AI-training plaatsvindt op organisatiedata

De organisatie mag toestemming altijd intrekken. Dit moet zonder boetes of extra kosten kunnen.

Elke wijziging in AI-gebruik vraagt om nieuwe toestemming. Leveranciers mogen niet zomaar andere AI-tools toevoegen.

Data-eigendom moet glashelder zijn. Organisaties willen weten wie eigenaar is van AI-gegenereerde output en resultaten.

Wat regelt u voor het einde van het contract?

Bij contractbeëindiging zijn duidelijke afspraken nodig over data en AI-output. Zo voorkomt u vendor lock-in en beschermt u uw bedrijfsinformatie.

Belangrijke exit-afspraken:

• Wie welke data behoudt
• Toegang tot AI-output na beëindiging
• Verwijdering van bedrijfsdata uit AI-systemen
• Overdracht van logbestanden

Leveranciers moeten alle bedrijfsdata volledig wissen uit hun AI-modellen. Dit geldt ook voor trainingsdata die is afgeleid van uw organisatie-informatie.

De organisatie moet kopieën kunnen maken van relevante AI-output voor het contract eindigt. Dat is echt nodig voor de bedrijfscontinuïteit.

Overgangsperiodes maken een soepele exit mogelijk. Leveranciers moeten genoeg tijd geven voor data-export en systeemmigratie.

Hoe beheert u AI-contracten in de praktijk?

De uitvoering van AI-contracten vraagt om duidelijke afspraken over automatisering, leveranciersondersteuning en continue monitoring.

Deze zaken bepalen uiteindelijk hoe succesvol AI binnen een organisatie wordt ingezet.

Hoe helpt AI bij contractbeheer?

AI-systemen kunnen contractbeheer flink verbeteren door routinetaken te automatiseren.

Ze analyseren contractvoorwaarden en pikken belangrijke deadlines er automatisch uit.

Generatieve AI zoals ChatGPT helpt bij het opstellen van standaard contractclausules.

Het systeem neemt repetitieve klussen over, zoals compliance-checks.

Voordelen van geautomatiseerd contractbeheer:

• Snellere verwerking van contractwijzigingen
• Minder menselijke fouten bij data-invoer
• Automatische waarschuwingen voor verloopdatums
• Consistente toepassing van bedrijfsregels

Toch moet u als organisatie grenzen stellen aan AI-automatisering.

Bij complexe onderhandelingen en strategische keuzes blijft menselijk inzicht onmisbaar.

Het AI-contract hoort vast te leggen welke taken u automatiseert.

Zo voorkomt u onduidelijkheid over wie waarvoor verantwoordelijk is.

Welke ondersteuning moet de leverancier bieden?

Leveranciers moeten hun AI-systemen blijven ondersteunen zolang het contract loopt.

Daar valt technische support, updates, bugfixes en training onder.

Het contract hoort duidelijke service level agreements (SLA’s) te bevatten:

• Reactietijden bij storingen (bijvoorbeeld 4 uur voor kritieke problemen)
• Beschikbaarheidspercentages (minimaal 99,5% uptime)
• Onderhoudsmomenten en duur van geplande onderbrekingen

Leveranciers leveren regelmatig updates voor de AI-algoritmes.

Die updates houden prestaties op peil en zorgen dat u aan nieuwe regels voldoet.

Training is echt cruciaal voor een goede implementatie.

Het contract moet vastleggen hoeveel trainingsuren u krijgt en of die training online of fysiek is.

Als er problemen zijn, hoort de leverancier een duidelijke escalatieprocedure te volgen.

Eerste lijn support pakt simpele vragen, lastigere issues gaan door naar specialisten.

Hoe bewaakt u de risico’s van AI?

Continue monitoring van AI-prestaties is gewoon nodig voor goed risicomanagement.

Organisaties zetten systemen in die afwijkingen in AI-gedrag signaleren.

Belangrijke monitoring aspecten:

• Nauwkeurigheid van AI-beslissingen over tijd
• Ongewenste bias in algoritmes
• Beveiligingsincidenten en data-lekken
• Naleving van privacy-regelgeving

Het AI-contract moet auditrechten bevatten.

Hiermee krijgt u toegang tot logs en documentatie van AI-processen.

Leveranciers moeten open zijn over hoe hun algoritmes werken.

Regelmatige risico-evaluaties brengen nieuwe bedreigingen aan het licht.

AI-systemen kunnen zich best gek gedragen als ze nieuwe data krijgen.

U moet als organisatie procedures hebben voor als het echt misgaat.

Dat kan betekenen dat u tijdelijk AI-functies uitzet bij ernstige problemen.

Data-eigendom blijft tijdens monitoring een belangrijk punt.

Het contract hoort duidelijk te maken wie toegang heeft tot de inzichten en rapporten die AI genereert.

Waar let u als afnemer op?

• Leg meetbare prestatie-eisen vast, zoals nauwkeurigheid, responstijd en beschikbaarheid.
• Controleer of de aansprakelijkheidsbeperking schade door foutieve AI-output niet volledig uitsluit.
• Neem auditrechten en toegang tot logbestanden en technische documentatie op.
• Leg vast dat de leverancier uw data niet zonder toestemming gebruikt om het model te trainen.
• Sluit een verwerkersovereenkomst als het systeem persoonsgegevens verwerkt (artikel 28 AVG).

Waar let u als leverancier op?

• Beschrijf de beperkingen van het systeem en sluit garanties op de juistheid van output uitdrukkelijk uit.
• Leg een maximum voor uw aansprakelijkheid vast, bijvoorbeeld de contractwaarde.
• Laat de afnemer u vrijwaren voor schade door gebruik buiten de afgesproken toepassing.
• Bepaal in welke risicocategorie van de AI Act het systeem valt en wie welke verplichtingen draagt.

Wat kunnen wij voor u doen bij AI-contracten en aansprakelijkheid?

Wij helpen afnemers en leveranciers van AI-systemen om afspraken en risico’s helder vast te leggen.

• Wij beoordelen het AI-contract of de algemene voorwaarden van de leverancier op prestatie-eisen, garanties en aansprakelijkheidsbeperkingen.
• Wij stellen clausules op over data-eigendom, gebruik van trainingsdata, auditrechten en exit, inclusief teruggave en verwijdering van data.
• Wij stellen de verwerkersovereenkomst op of beoordelen die aan de hand van artikel 28 AVG.
• Wij brengen in kaart in welke risicocategorie van de AI Act uw systeem valt en welke verplichtingen bij u of bij de leverancier liggen.
• Wij staan u bij als AI-output tot schade leidt en beoordelen of een beroep op een aansprakelijkheidsbeperking standhoudt (artikel 6:248 lid 2 BW).

Samengevat

• Leg prestaties, data-eigendom en auditrechten uitdrukkelijk vast in het AI-contract.
• Een beroep op een aansprakelijkheidsbeperking kan opzij worden gezet als dat onaanvaardbaar is, vooral bij opzet of bewuste roekeloosheid (artikel 6:248 lid 2 BW).
• De AI Act is sinds 1 augustus 2024 van kracht en wordt gefaseerd van toepassing; boetes lopen op tot 7% van de wereldwijde jaaromzet.
• Een datalek meldt u binnen 72 uur bij de Autoriteit Persoonsgegevens (artikel 33 AVG); spreek met de leverancier een kortere meldtermijn af.
• Regel bij beëindiging dat uw data worden teruggegeven en verwijderd.

Veelgestelde vragen

Meer over hoe Law & More u hierbij helpt, leest u op de pagina ICT-recht advocaat.