Digitale autonomie wordt gewonnen of verloren bij het tekenen van het IT-contract

Digitale autonomie, de feitelijke vrijheid van een organisatie om van IT-leverancier te wisselen, haar data mee te nemen en zelf haar digitale koers te bepalen, wordt voor het grootste deel vastgelegd in de aanbesteding en het contract waarmee een IT-dienst wordt ingekocht. Dat is de gemeenschappelijke lijn in twee recente publicaties. De Autoriteit Consument & Markt bracht op 8 oktober 2026 een handreiking over digitale autonomie uit. Kort daarvoor verscheen het boek Grip op digitale afhankelijkheid van jurist en onderzoeker Mathieu Paapst, verbonden aan Forum Standaardisatie en de Rijksuniversiteit Groningen, dat vrij te downloaden is onder een Creative Commons-licentie. Voor juristen die IT-contracten opstellen, beoordelen of aanbesteden, leggen beide stukken het werk op dezelfde plek: bij de clausules die vandaag worden getekend.

Wat de ACM-handreiking over digitale autonomie toevoegt

De handreiking werkt de position paper van 10 juli 2026 uit, waarin de ACM samen met de AFM, de AP, DNB en de RDI opriep om de overgang naar meer digitale autonomie te versnellen. De toezichthouders omschrijven digitale autonomie daar als keuzevrijheid en regie bij het gebruik van IT-diensten. Volledige technologische onafhankelijkheid noemen zij uitdrukkelijk geen doel.

De handreiking zelf loopt vier kaders langs waarop de ACM toezicht houdt: de Mededingingswet, de Data Act, de Digital Markets Act en de Wet Markt en Overheid. Het mededingingsrechtelijke deel is voor veel organisaties het meest bruikbaar. Afspraken tussen concurrenten over open standaarden of over gezamenlijke eisen bij de inkoop van clouddiensten beperken de concurrentie volgens de ACM in de regel niet. Gaat een samenwerking verder, bijvoorbeeld door de inkoop te bundelen bij een Europese aanbieder die nog te weinig klanten heeft, dan kan die toelaatbaar zijn als aan vier voorwaarden is voldaan: aantoonbare voordelen, noodzaak van de afspraak om die voordelen te halen, een billijk aandeel voor afnemers en voldoende resterende concurrentie. Wie twijfelt, kan de ACM om een vroege, informele beoordeling van een samenwerkingsafspraak vragen.

Over inkoop is de ACM stellig: er is juridisch meer ruimte om voor digitaal autonome oplossingen te kiezen dan organisaties vaak denken, mits de eisen en gunningscriteria objectief, proportioneel en non-discriminatoir zijn. Tegelijk benadrukt de ACM dat de handreiking richting geeft en geen algemene juridische conclusies bevat. Op aanbestedingen houdt de ACM geen toezicht; daarvoor verwijst zij naar PIANOo.

Paapst: vendor lock-in begint bij contractsluiting

Paapst legt de nadruk op het moment waarop afhankelijkheid ontstaat. Vendor lock-in is de situatie waarin overstappen zo duur of omslachtig is dat alternatieven feitelijk buiten bereik raken. Volgens zijn analyse begint die situatie bij keuzes die op het moment zelf praktisch leken: een gesloten standaard, een uitvraag naar een merkproduct, een contract zonder exitafspraken. Een organisatie die autonomie niet als harde eis in de aanbesteding opneemt, kiest volgens hem in feite voor afhankelijkheid.

Het boek is geschreven voor de publieke sector, maar de juridische observaties gelden net zo goed voor bedrijven. Eisen uit de aanbesteding, zoals naleving van open standaarden of medewerking aan een exitplan, worden na gunning zelden nog gecontroleerd, terwijl de aanbestedingsstukken vaak wel deel uitmaken van de overeenkomst. Paapst pleit ervoor om het exitplan elk jaar te testen met een exitoefening, waarin de leverancier meewerkt aan een gesimuleerde ontkoppeling van systemen en data. Een organisatie die pas bij beëindiging ontdekt dat haar data niet volledig exporteerbaar zijn, heeft haar autonomie volgens hem al eerder verloren.

Voor aanbestedende diensten wijst Paapst op een arrest dat de ruimte voor één-op-één gunning verder inperkt. Een aanbestedende dienst kan zich niet op technische exclusiviteit beroepen om een vervolgopdracht rechtstreeks aan de zittende leverancier te gunnen als hij die exclusiviteit zelf heeft laten ontstaan of laten voortduren, zoals het Hof van Justitie oordeelde in HvJ EU 9 januari 2025, C-578/23, ECLI:EU:C:2025:4.

Het praktische hart van het boek is de bijlage met voorbeeldclausules over onder meer open architectuur, exit en migratie, rechten op software, ketencontrole en financiële transparantie. Die teksten zijn uitgebracht onder een CC0-licentie en mogen dus vrij worden hergebruikt. Paapst waarschuwt wel dat het geen standaardoplossingen zijn die zonder context kunnen worden overgenomen.

De Data Act legt een wettelijke ondergrens voor overstappen

Voor clouddiensten bestaat sinds 12 september 2025 een wettelijke basis. De artikelen 23 tot en met 31 van de Data Act verplichten aanbieders van cloud- en SaaS-diensten om overstappen mogelijk te maken. Paapst vat samen dat een contract onder meer een overstapprocedure moet bevatten, een opzegtermijn van maximaal twee maanden, redelijke ondersteuning bij de overstap en exportmogelijkheden voor data, en dat die eisen ook voor bestaande contracten gelden. Overstapkosten mogen tot 12 januari 2027 niet hoger zijn dan de werkelijke kosten en vanaf die datum helemaal niet meer in rekening worden gebracht. Systemen die volledig als maatwerk voor één afnemer zijn ontwikkeld, vallen volgens Paapst buiten dat verbod.

Paapst plaatst ook een kanttekening. De Data Act verplicht niet tot volledige interoperabiliteit van SaaS-applicaties en niet tot het vrijgeven van broncode, en afhankelijkheid door maatwerkconfiguraties of geconcentreerde kennis blijft bestaan. Contracteisen over interoperabiliteit en leveranciersonafhankelijkheid blijven daarom nodig. De ACM is in Nederland datacoördinator en ontvangt meldingen wanneer de rechten uit de Data Act in de praktijk onvoldoende beschikbaar zijn.

AI-tools vormen de volgende laag van afhankelijkheid

Bij TIL lezen we beide publicaties ook als waarschuwing voor de manier waarop organisaties nu AI-tools inkopen. Paapst noemt het achteraf toevoegen van extra diensten, AI-ondersteuning uitdrukkelijk inbegrepen, als een van de factoren die het economisch onaantrekkelijk maken om onderdelen van een pakket los te vervangen. AI-assistenten worden steeds dieper in bestaande kantoorsoftware ingebouwd, zoals bij de vernieuwde Copilot-app van Microsoft, en medewerkers bouwen er eigen instructies, assistenten en werkprocessen omheen. Daarmee groeit precies de organisatorische afhankelijkheid die Paapst beschrijft: wat medewerkers gewend zijn en wat in een tool is ingericht, maakt een latere overstap zwaarder dan de licentieprijs doet vermoeden.

Het is verleidelijk om eerst alles bij één leverancier onder te brengen en pas later over een exit na te denken. Paapst noemt die tussenstap riskant, omdat ze bestaande afhankelijkheden verdiept en in de praktijk vaak het eindstation blijkt. Voor AI-tools ligt het daarom voor de hand de exitvraag te stellen voordat de eerste assistent wordt gebouwd. Eerder schreven we al dat wie AI-tools inkoopt een exitregeling contractueel moet vastleggen.

Aandachtspunten voor de contract- en inkooppraktijk

Voor juristen die IT-contracten opstellen of beoordelen, vertalen de twee publicaties zich naar concrete stappen.

Begin met een inventarisatie van de lopende clouddiensten en toets de exitbepalingen aan de Data Act. Kijk of de overstapprocedure, de opzegtermijn en de exportmogelijkheden zijn vastgelegd, en houd 12 januari 2027 in het oog: overstapkosten die een aanbieder daarna nog rekent, zijn in strijd met de verordening.

Leg bij nieuwe contracten de exit concreet vast: wat de leverancier bij een migratie moet doen, binnen welke termijn, tegen welke kosten, in welke dataformaten en hoe de dienstverlening tijdens de overgang doorloopt. Spreek een periodieke exitoefening af en vraag om actuele documentatie van interfaces. De voorbeeldclausules van Paapst zijn daarvoor een bruikbaar vertrekpunt.

Richt het contractmanagement zo in dat de eisen uit de aanbesteding na gunning ook worden gecontroleerd. Een toezegging over open standaarden of een exitplan die niemand opvraagt, levert bij een overstap weinig op.

Overweeg samenwerking met andere organisaties in je sector, bijvoorbeeld om gezamenlijke eisen te stellen aan open standaarden en overstapbaarheid. Toets een verdergaande afspraak aan de vier voorwaarden uit de handreiking en vraag zo nodig de ACM om een informele beoordeling.

Werk je voor een overheidsorganisatie, laat dan de uitvraag van merkproducten en merkgebonden licenties uit aanbestedingen en pas het 'pas toe of leg uit'-beleid voor open standaarden consequent toe. Paapst merkt op dat het noemen van een merknaam alleen bij uitzondering is toegestaan, en dan met de toevoeging "of gelijkwaardig".

Neem AI-tools ten slotte mee in dezelfde afweging. Leg in je AI-beleid vast welke tools medewerkers gebruiken, welke data en configuraties daarin terechtkomen en hoe je die bij een overstap terugkrijgt.