Verwerker of verwerkingsverantwoordelijke: wie is wat bij een AI-leverancier?
Bij een AI die jouw klantcontact afhandelt ben jij vrijwel altijd verwerkingsverantwoordelijke en is de leverancier verwerker. Dat is geen keuze die je in een contract vastlegt: de Autoriteit Persoonsgegevens kijkt naar wie feitelijk bepaalt waarvoor en hoe de gegevens verwerkt worden. Staat er iets anders in de verwerkersovereenkomst dan wat er in werkelijkheid gebeurt, dan telt de werkelijkheid.
Gepubliceerd op
Waarom dit meer is dan een etiket
De rolverdeling bepaalt wie er wordt aangesproken. De verwerkingsverantwoordelijke meldt een datalek bij de toezichthouder, beantwoordt verzoeken van betrokkenen, en is degene die verantwoording aflegt als er iets misgaat. De verwerker voert uit en is daarop aanspreekbaar door de verantwoordelijke, niet door de betrokkene.
Bij het inkopen van AI wordt die rolverdeling vaak in één zin afgedaan — "wij zijn verwerker" — en daar blijft het bij. Dat is te snel, want de toets is niet wat er in het contract staat.
Waar de toezichthouder naar kijkt
De Autoriteit Persoonsgegevens formuleert het als een feitelijke vraag: wanneer een organisatie geen verwerker is maar verwerkingsverantwoordelijke hangt af van waar de feitelijke invloed ligt op het doel en de middelen van de verwerking. Oftewel: wie bepaalt voor welk doel de persoonsgegevens worden verwerkt, en hoe dat gebeurt.
Dat is een toets op gedrag, niet op papier. Een leverancier die zelf besluit welke gegevens hij bewaart, hoe lang, of die ze gebruikt om zijn eigen model te verbeteren, gedraagt zich als verantwoordelijke — ongeacht wat er in de overeenkomst staat.
| Vraag | Wijst op jou als verantwoordelijke | Wijst op de leverancier als verantwoordelijke |
|---|---|---|
| Wie bepaalt welke berichten verwerkt worden? | Jij, per mailbox of kanaal | De leverancier bepaalt de scope |
| Wie bepaalt de bewaartermijn? | Jij, vastgelegd in de overeenkomst | De leverancier, "standaard beleid" |
| Worden je gegevens gebruikt om het model te trainen? | Nee, of alleen op jouw uitdrukkelijke instructie | Ja, voor productverbetering in het algemeen |
| Wie kiest de subverwerkers? | De leverancier stelt voor, jij geeft toestemming | De leverancier wisselt ze zonder je te vragen |
| Wie beantwoordt een verzoek van een klant om inzage? | Jij, met hulp van de leverancier | De leverancier, rechtstreeks |
Wat je hieruit meeneemt naar een gesprek
Drie vragen die scheiden of je met een verwerker te maken hebt of met iemand die zich als verantwoordelijke gedraagt. Eén: worden onze gegevens gebruikt om jullie model te verbeteren, en zo ja, kunnen we dat uitzetten? Twee: wie beslist hoe lang berichten bewaard blijven, en waar staat dat? Drie: welke subverwerkers zijn er vandaag, en wat gebeurt er als jullie er een toevoegen?
Een leverancier die op alle drie een concreet antwoord heeft, hoeft geen jurist te zijn. Een leverancier die op alle drie naar het contract wijst, heeft de vraag niet begrepen.
En de grens van wat de AI zelf mag beslissen
Los van de rolverdeling geldt artikel 22 van de AVG: besluiten die uitsluitend op geautomatiseerde verwerking berusten en iemand in aanmerkelijke mate treffen zijn als hoofdregel verboden. De Nederlandse Uitvoeringswet maakt daarop in artikel 40 een uitzondering, maar alleen in nauw omschreven gevallen en niet op basis van profilering. Die grens hoort vastgelegd te zijn vóórdat het systeem aanstaat, niet erna.
Dit artikel is geen juridisch advies en vervangt geen toetsing van je eigen situatie. Wat het wel doet: de vragen scherp maken die je aan een leverancier hoort te stellen.