Juridisch

Verwerkersovereenkomst voor AI-tools: wanneer nodig en wat erin hoort

Verwerkt een AI-tool persoonsgegevens, dan is een verwerkersovereenkomst verplicht. Met checklist en tabel: wanneer het moet en wat erin hoort.

AI WorkTalent Redactie · 18 augustus 2026 · 6 min leestijd

Gebruikt je team een AI-tool die klantgegevens of andere persoonsgegevens verwerkt, dan speelt een vraag die veel bedrijven over het hoofd zien: heb je een verwerkersovereenkomst met die aanbieder? Het antwoord is vaker ja dan ondernemers denken, en het is geen aanbeveling maar een wettelijke plicht. Hieronder lees je wanneer je er een nodig hebt, wat erin moet staan, hoe gratis en zakelijke versies verschillen, en wat er gebeurt als je het niet regelt.

Wanneer heb je er een nodig?

De regel is eenvoudig, ook al is de toepassing dat niet altijd. Verwerkt een AI-tool persoonsgegevens namens jou, dan is de aanbieder ervan verwerker in de zin van de AVG, en verplicht artikel 28 AVG een verwerkersovereenkomst, schriftelijk. Persoonsgegevens zijn alle gegevens over een identificeerbare persoon: namen, e-mailadressen, klantnummers, maar ook een chatlog waarin iemand herkenbaar is. Wil je eerst weten of jouw bedrijf daarbij verwerker of verwerkingsverantwoordelijke is en wat de AVG breder van je vraagt, lees dan wat de AVG echt van je vraagt. Dit artikel gaat specifiek over de overeenkomst zelf.

Om het concreet te maken, een paar herkenbare voorbeelden:

• Wel nodig: een AI-tool die inkomende klantmails leest en beantwoordt, een chatbot die klantvragen afhandelt, een tool die sollicitatie- of verkoopgesprekken transcribeert, of een assistent die toegang heeft tot documenten met naam- en contactgegevens.
• Meestal niet nodig: een tool waar alleen jij zelf anonieme, niet-herleidbare tekst in plakt, zoals een blogconcept of een algemene marktvraag zonder klantnamen. Geanonimiseerde gegevens vallen buiten de AVG (overweging 26 AVG), maar zodra er een naam, e-mailadres of ander herkenbaar detail bij komt, is dat niet meer zo.

Twijfel je of iets herleidbaar is, ga dan uit van het ruimere geval en behandel het als persoonsgegevens.

Gratis versus zakelijke versie: waar het meestal misgaat

Het probleem is meestal niet dat er geen zakelijke versie bestaat. Het probleem is dat iemand de gratis of consumentenversie gebruikt van een tool die wél een zakelijke variant heeft. Bij gratis en consumentenversies is er doorgaans geen verwerkersovereenkomst, en wordt je invoer bovendien vaak gebruikt om het model te verbeteren. Zet je daar persoonsgegevens in, dan verwerk je ze via een dienst zonder overeenkomst en zonder grip op waar ze heen gaan.

Deze tabel is functioneel bedoeld: de precieze voorwaarden verschillen per leverancier en per abonnement, en veranderen ook geregeld. Lees daarom altijd de actuele verwerkersvoorwaarden van de specifieke tool na, in plaats van op de marketingpagina af te gaan.

Wat er minimaal in moet staan

Artikel 28 lid 3 AVG somt op wat een verwerkersovereenkomst minimaal moet regelen. Gebruik dit als checklist bij het beoordelen van een overeenkomst die een AI-leverancier je voorlegt:

• Onderwerp en duur van de verwerking, inclusief de aard en het doel ervan.
• Soort persoonsgegevens en categorieën betrokkenen die worden verwerkt, concreet omschreven en niet slechts een verwijzing naar "persoonsgegevens" in het algemeen.
• Instructies: de verwerker verwerkt de gegevens alleen op basis van jouw gedocumenteerde instructies.
• Geheimhouding door iedereen die namens de verwerker toegang heeft.
• Beveiliging: passende technische en organisatorische maatregelen, afgestemd op het risico.
• Subverwerkers: voorwaarden voor het inschakelen van andere partijen door de verwerker, met jouw voorafgaande toestemming.
• Rechten van betrokkenen: bijstand bij verzoeken van betrokkenen en bij het afhandelen van datalekken.
• Teruggave of verwijdering van de gegevens na afloop, naar jouw keuze en inclusief bestaande kopieën.
• Audit: naleving kunnen aantonen en audits mogelijk maken.

Twee extra aandachtspunten voor AI

Bovenop de standaardelementen zijn er bij AI-tools twee dingen die je specifiek nakijkt:

• Waar vindt de verwerking plaats? Draait het model buiten de EU, dan is er sprake van doorgifte, en gelden aanvullende eisen. Wil je je data binnen de EU houden, controleer dat dan expliciet.
• Wordt je invoer voor training gebruikt? Dit is het verschil tussen een tool die je data verwerkt en een tool die ervan leert. Lees de voorwaarden en zorg dat het antwoord bij persoonsgegevens "nee" is.

Dit geldt niet alleen voor een chatbot. Verplaatst een automatiseringsplatform persoonsgegevens tussen systemen, bijvoorbeeld n8n of een ander platform uit het overzicht van automatiseringstools, dan speelt dezelfde vraag: is er een verwerkersovereenkomst, en waar landt de data onderweg? Controleer dat per platform én per koppeling: de ene stap in een workflow verwerkt persoonsgegevens, de andere niet.

Wat als je het niet regelt

De verantwoordelijkheid verdwijnt niet doordat je geen overeenkomst hebt. Als verwerkingsverantwoordelijke blijf jij aanspreekbaar op de verwerking, ook als de AI-leverancier zelf in gebreke blijft; de leverancier neemt die rol niet van je over. Het ontbreken van de overeenkomst is bovendien op zichzelf al een overtreding van artikel 28 AVG, los van de vraag of er ooit iets misgaat. Zowel jij als de aanbieder kunnen daarop apart worden aangesproken. De Autoriteit Persoonsgegevens kan bij die overtreding bovendien een boete opleggen tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, waarbij het hoogste bedrag geldt (artikel 83 lid 4 AVG).

Voor de meeste mkb-bedrijven blijft handhaving door de toezichthouder in de praktijk uitzonderlijk; die richt zich vooral op grotere en risicovollere gevallen. Het reële risico zit ergens anders: bij een datalek, een klacht van een klant of een geschil kun je zonder overeenkomst niet aantonen wat er is afgesproken over instructies, beveiliging en aansprakelijkheid. En je staat daardoor zwakker dan wanneer dat wel op papier staat.

Praktisch: hoe je het regelt

Je hoeft zelf geen verwerkersovereenkomst op te stellen; de aanbieder biedt er doorgaans een aan die je accepteert of ondertekent. Breng in kaart welke AI-tools je bedrijf gebruikt, controleer per tool of er een verwerkersovereenkomst is en of die aan de checklist hierboven voldoet, en neem de tools op in je verwerkingsregister. Ontbreekt een overeenkomst bij een tool die persoonsgegevens verwerkt, dan stap je over op een versie die er wel een biedt, of je stopt het gebruik van die tool voor die gegevens.

Rol je AI breder uit in je bedrijf, neem dit dan meteen mee in je aanpak in plaats van er achteraf achteraan te lopen; zie het stappenplan voor AI in het mkb. Laat je de inrichting door een externe partij doen, controleer dan ook diens eigen verwerkersovereenkomst en subverwerkers; zie AI-freelancer inhuren: zo doe je het juridisch veilig.

Verwerkt een AI-tool persoonsgegevens, dan is een verwerkersovereenkomst geen formaliteit maar een verplichting, en de gratis versie voldoet meestal niet. Breng je tools in kaart, toets ze aan de checklist, en let op waar je data draait. Kom je er zelf niet uit, dan helpt een AI-expert inhuren je verder. Op AI WorkTalent plaats je je opdracht en ontvang je voorstellen van specialisten.