AI-vragen in de leveranciersvragenlijst: wat er wordt gevraagd en hoe u antwoordt

De meest voorkomende aanleiding om zich met de AI-verordening bezig te houden, is geen toezichthouder. Het is een vragenlijst uit de inkoop van een zakelijke afnemer, met twaalf vragen en een termijn van tien dagen. Hieronder staat wat erin staat — en wat u klaar zou moeten hebben voordat hij binnenkomt.

Door Patrick de Kathen, Oprichter van KlarComply · Vakinhoudelijk getoetst op 2 augustus 2026

Waarom deze vragen nu komen

Drie ontwikkelingen komen samen. Ten eerste gelden sinds 2 augustus 2026 de transparantieplichten van de AI-verordening, en grotere ondernemingen geven hun eigen verplichtingen door aan de keten. Ten tweede verlangen managementsystemen en accountantscontroles dat de inschakeling van dienstverleners is vastgelegd. Ten derde heeft de juridische afdeling van uw afnemer gemerkt dat uw AI-gebruik doorwerkt op zijn gegevens.

Het effect: zulke vragenlijsten duiken ook bij kleinere opdrachten op, niet alleen bij grote afnemers. En anders dan een markttoezichthouder kondigen ze zich niet aan.

De twaalf vragen die werkelijk komen

De formuleringen verschillen, de kern herhaalt zich. In de volgorde waarin ze doorgaans staan:

1. „Wie is bij u verantwoordelijk voor de inzet van AI?”

Staat meestal bovenaan en is de enige vraag die u niet op korte termijn kunt nasturen. Antwoord met naam, functie en datum van de aanwijzing. Hoe de rol wordt afgebakend, staat onder AI-verantwoordelijke aanwijzen.

2. „Houdt u een register bij van de ingezette AI-systemen?”

Antwoord met ja, het aantal regels en de datum van de laatste controle. Voeg het register niet ongevraagd bij — het toont uw hele toollandschap. Bied in plaats daarvan een uittreksel aan. Opbouw en verplichte velden: AI-register opstellen.

3. „Bestaat er intern beleid voor de inzet van AI?”

Ja, met datum van de huidige versie en het versienummer. Of u het beleid zelf meestuurt, is een afweging — meestal volstaat een inhoudsopgave. Opbouw onder AI-beleid schrijven.

4. „Hoe borgt u de AI-geletterdheid van uw medewerkers?”

Deze vraag mikt op artikel 4 van de AI-verordening. Antwoord met het systeem, niet met een getal: basisinstructie voor alle AI-gebruikers, verdiepte instructie voor de verantwoordelijke, jaarlijkse opfrissing, onboarding van nieuwe medewerkers, vastgelegd met datum en inhoud. Achtergrond: AI-opleidingsplicht.

5. „Zet u hoogrisico-AI-systemen in de zin van de verordening in?”

Antwoord alleen met ja of nee wanneer u het hebt getoetst. Een ongetoetst nee is een toezegging die u niet kunt nakomen. Netjes is: „Nee. Getoetst op [datum] aan artikel 5, bijlage III en artikel 6 lid 3; de indelingen zijn vastgelegd in het AI-register.” Systematiek onder risicocategorieën indelen.

6. „Hoe labelt u AI-gegenereerde inhoud?”

Noem de regel en een voorbeeld: chatvenster, AI-beelden, synthetische stemmen. Gratis labels in drie talen vindt u onder AI-labels; het bereik en de grenzen van de plicht staan onder transparantieplicht artikel 50. Let op het onderscheid: de machineleesbare markering van artikel 50 lid 2 is een plicht van de aanbieder, niet van u. Zegt u die toch toe, dan is dat een contractuele plicht die u zelf hebt geschapen.

7. „Worden onze gegevens in AI-systemen ingevoerd?”

De gevoeligste vraag van de hele lijst, omdat een verkeerd antwoord hier later opvalt. Antwoord gedifferentieerd: welke categorieën, in welke tools, op welke contractuele grondslag, met welke instelling voor modelverbetering. Een algemeen nee is alleen juist als u het kunt controleren.

8. „Bestaan er verwerkersovereenkomsten met de AI-aanbieders?”

Ja of nee per tool, met aanbieder en contractspartij. Achtergrond onder ChatGPT op het werk.

9. „Wordt uw invoer gebruikt om de modellen te trainen?”

Controleer dat per tool in de contractvoorwaarden en in de accountinstellingen, niet uit het hoofd. Het antwoord verschilt tussen productlijnen van dezelfde aanbieder.

10. „Bestaat er een vrijgaveproces voor nieuwe AI-tools?”

Ja, met een korte beschrijving: wie vraagt aan, wie beslist, welke toetsstappen, welke termijn. Opbouw onder vrijgaveproces voor AI-tools.

11. „Hoe gaat u om met AI-gerelateerde incidenten?”

Beschrijf de meldroute, de beoordeling naar privacyrecht en de vastlegging. Zegt u een informatieplicht jegens de afnemer toe, controleer dan vooraf de termijn. Werkwijze onder klantgegevens in een AI-tool.

12. „Zetten uw onderaannemers AI in?”

De meest onderschatte vraag. Artikel 4 van de AI-verordening omvat uitdrukkelijk ook personen die namens u werken. Praktisch lost u dat niet op met een training, maar met een contractclausule en een uitvraag bij de relevante dienstverleners.

De stukken die u moet kunnen overleggen

Zes documenten dekken de hele vragenlijst. Houd ze bij elkaar in één map, met de datum in de bestandsnaam.

Stuk	Dekt af	Meesturen?
Aanwijzingsbrief AI-verantwoordelijke	Vraag 1	Uittreksel met naam en taken volstaat
AI-register	Vraag 2, 5, 8, 9	Uittreksel, niet het volledige register
AI-beleid	Vraag 3, 6, 7, 10, 11	Inhoudsopgave, op verzoek het document
Instructiebewijs	Vraag 4	Overzicht zonder namenlijst
Indelingsdocumentatie	Vraag 5	Samenvatting met toetsdatum
Dienstverlenersoverzicht met AI-clausule	Vraag 12	Een bevestiging volstaat meestal

Hoe u antwoordt wanneer iets ontbreekt

Dit is de belangrijkste paragraaf, omdat zij het meest voorkomende geval betreft. Er staan drie wegen open, en maar één ervan houdt stand.

• Fout: mooier maken. „Ja, aanwezig” bij een document dat niet bestaat, is een contractuele garantie. Als het opvalt — en het valt bij de eerste vervolgvraag op — verliest u meer dan de opdracht.
• Fout: leeg laten. Onbeantwoorde velden worden in de inkoop als nee gelezen, zonder navraag.
• Goed: stand plus datum. „In bewerking, gereed op [concrete datum].” Een inkoper die kan kiezen tussen een hiaat met datum en een mooier gemaakte opgave, kiest vrijwel altijd het hiaat met datum — mits die datum in weken ligt en niet in maanden.

De drie formuleringsvallen

1. „Wij zetten geen AI in.” Die uitspraak is tegenwoordig vrijwel altijd onjuist. AI zit in kantoorpakketten, vertaaltools, klantenservicesystemen en spellingcontrole. Wie dat garandeert en één tool over het hoofd ziet, heeft een onjuiste verklaring afgelegd. Antwoord in plaats daarvan: „Wij zetten AI uitsluitend als gebruiksverantwoordelijke in op de volgende gebieden: …”
2. „Wij informeren u onverwijld.” Zonder termijn is dat onbepaald, met een te korte termijn onhoudbaar. Toets wat u organisatorisch aankunt voordat u tekent.
3. „Al onze medewerkers zijn opgeleid.” Alleen toezeggen als u het voor iedereen kunt aantonen — inclusief degenen die vorige week zijn begonnen. Veiliger: „Alle AI-gebruikende medewerkers krijgen een vastgelegde basisinstructie; nieuwe medewerkers binnen de eerste [X] weken.”

De contractclausules die met de vragenlijst meekomen

Vaak volgt op de lijst een addendum bij de raamovereenkomst. Vier clausules verdienen een precieze blik voordat u tekent:

• Doorleggingsplicht naar onderaannemers. Kunt u dat afdwingen? Zo niet, onderhandel dan een beperking tot dienstverleners die met gegevens van de afnemer werken.
• Auditrecht. Controles ter plaatse zijn bewerkelijk. Bied in plaats daarvan inlichtingen en inzage in documenten aan, met vooraankondiging.
• Labeltoezegging. Ga na of zij verder gaat dan de wettelijke plicht — sommige afnemers verlangen labeling van alle AI-ondersteunde werkresultaten, ook van teksten. Dat mag u overeenkomen, maar het is een contractuele extra plicht en geen wettelijke. Artikel 50 lid 4, tweede zin, verlangt bekendmaking alleen bij teksten die het publiek informeren over aangelegenheden van algemeen belang, en zelfs dan vervalt de plicht bij menselijke toetsing met redactionele verantwoordelijkheid.
• Verbod op bepaalde tools. Sommige afnemers sluiten aanbieders bij naam uit. Toets of u dat in de dagelijkse praktijk kunt naleven.

Wat u zelf zou moeten uitvragen

De vragenlijst werkt twee kanten op. Wie AI-compliance heeft toegezegd, moet dezelfde vragen aan de eigen dienstverleners stellen — anders staat de toezegging op zand. Vier vragen volstaan voor de dienstverleners die met gegevens van uw klanten werken:

1. Zet u bij het leveren van onze dienst AI-systemen in? Zo ja, welke en waarvoor?
2. Komen daarbij gegevens die wij u verstrekken in AI-tools van derden terecht? Op welke contractuele grondslag?
3. Wordt onze inhoud gebruikt voor modelverbetering?
4. Labelt u AI-gegenereerde inhoud die u voor ons maakt?

De vierde vraag is die welke het vaakst ontbreekt. Maakt een bureau voor u fotorealistische beelden en publiceert u die, dan raakt de bekendmakingsplicht van artikel 50 lid 4 u als gebruiksverantwoordelijke — niet het bureau. Regel in het contract wie het label plaatst, en controleer dat steekproefsgewijs.

Voorbereiding in een halve dag

1. De zes stukken bij elkaar leggen en nagaan welke ontbreken.
2. Ontbrekende punten van een realistische datum voorzien — en die datum halen.
3. Standaardantwoord van één pagina formuleren, in eigen taal.
4. Vastleggen wie in huis vragenlijsten beantwoordt. Twee personen die zonder afstemming antwoorden, veroorzaken tegenstrijdigheden die opvallen.
5. Kwartaalafspraak zetten: standaardantwoord en register samen doorlopen.

Welke van de uitgevraagde punten bij u al staan, laat de gratis quick-check in twee minuten zien — hij is op precies deze vragen afgestemd.

Veelgestelde vragen

Wat vragen zakelijke afnemers uit over AI-compliance?

Stelselmatig twaalf punten: de verantwoordelijke persoon, het AI-register, intern beleid, de instructiestand, de inzet van hoogrisicosystemen, labeling, de omgang met klantgegevens, verwerkersovereenkomsten, het gebruik van invoer voor training, het vrijgaveproces, incidentafhandeling en AI-gebruik bij onderaannemers.

Wat doen wij als wij bepaalde punten niet halen?

Schrijf de stand op en noem een concrete datum. Mooier maken is riskant, omdat de opgave een contractuele garantie is en bij de eerste vervolgvraag opvalt. Leeg laten wordt in de inkoop als nee gelezen. Een hiaat met een datum over enkele weken is in de beoordeling vrijwel altijd aanvaardbaar.

Moeten wij ons AI-register meesturen?

In de regel niet volledig — het toont uw hele toollandschap. Noem het aantal regels en de datum van de laatste controle en bied een uittreksel aan voor de onderdelen die de opdracht raken. Dat volstaat in vrijwel alle gevallen.

Hebben wij een ISO/IEC 42001-certificering nodig?

Voor kleine en middelgrote ondernemingen in de regel niet. Zij kost een vijfcijferig bedrag en meerdere maanden en wordt zelden tot uitsluitingsgrond gemaakt. Antwoord eerlijk met nee en leg uw eigen documentatie over. Een officieel EU-keurmerk voor AI-conformiteit bestaat niet.

Mogen wij opgeven dat wij geen AI inzetten?

Alleen als het klopt, en dat is tegenwoordig zelden zo. AI zit in kantoorpakketten, vertaaldiensten, spellingcontrole en klantenservicesystemen. Een onjuiste garantie is contractueel riskant. Formuleer liever positief op welke gebieden u AI als gebruiksverantwoordelijke inzet.

Geldt de uitvraag ook voor onze dienstverleners?

In de regel wel, en veel vragenlijsten vragen er uitdrukkelijk naar. Artikel 4 van de AI-verordening omvat ook personen die namens u AI inzetten. Praktisch lost u dat op met een contractclausule en een uitvraag bij de dienstverleners die met gegevens van de afnemer werken.

Moeten wij toezeggen dat wij AI-teksten labelen?

Wettelijk niet in het algemeen. Artikel 50 lid 4, tweede zin, verlangt bekendmaking alleen bij teksten die worden gepubliceerd om het publiek te informeren over aangelegenheden van algemeen belang, en zelfs dan vervalt de plicht bij menselijke toetsing met redactionele verantwoordelijkheid. Verlangt een afnemer meer, dan is dat een contractuele afspraak — toets vooraf of u haar kunt naleven.

Hoe lang duurt de voorbereiding?

Staan de grondslagen — aangewezen persoon, register, beleid, instructiebewijs, indelingen, dienstverlenersoverzicht — dan ongeveer een halve dag voor de bewijsmap en het standaardantwoord. Ontbreken de grondslagen, dan is de vragenlijst niet het probleem maar het symptoom.