Software-updates met AI horen langs dezelfde contracttoets als nieuwe software

Rijk, provincies, gemeenten en waterschappen hebben samen een handreiking uitgebracht voor software die al is ingekocht en waarin de leverancier tussentijds AI-functionaliteit toevoegt. De handreiking dateert van augustus 2026 en kreeg half oktober aandacht in onder meer Binnenlands Bestuur en Dutch IT Channel. Het uitgangspunt is dat je een update die AI toevoegt aan bestaande software toetst voordat de functie aangaat, omdat zo'n update het doel van het contract en de verwerking van gegevens kan veranderen.

De handreiking is geschreven voor inkopers bij de overheid. Wij lezen hem breder. Elke organisatie die software als dienst afneemt, krijgt updates waar ze zelf niet om heeft gevraagd, en daar zit steeds vaker een AI-functie in. Voor juristen speelt daarbij ook de vertrouwelijkheid van de stukken die al in die software staan.

Wat de handreiking vraagt bij een software-update met AI

De handreiking begint vóór de update. Organisaties spreken met hun huidige leveranciers af dat die tijdig melden wanneer een AI-functie wordt ingevoerd of gewijzigd, en leggen waar mogelijk vast dat de functie pas na akkoord van de opdrachtgever wordt aangezet.

Komt de update er toch, dan volgt een toets aan het contract. Als voorbeeld noemt de handreiking een systeem dat aanvragen registreert en na de update beslisvoorstellen gaat doen. Het zwaartepunt van de dienst verschuift dan. Ook de selectiecriteria en voorwaarden uit de oorspronkelijke opdracht kunnen onder druk komen, bijvoorbeeld door bias of nieuwe cybersecurityrisico's.

Daarna komen de risicoklasse onder de AI-verordening en de gegevensstromen aan bod. Gebruikt de leverancier overheidsdata om zijn model verder te trainen zonder dat dit is afgesproken, dan kan dat volgens de handreiking een contractschending opleveren. Gaat het om persoonsgegevens, dan is een DPIA waarschijnlijk nodig. Meestal raadt de handreiking een addendum aan, met afspraken over aansprakelijkheid voor foutieve output, een verbod op training met de gegevens van de opdrachtgever, inzicht in de werking van het systeem, de mogelijkheid de functie uit te zetten, activering pas na expliciete toestemming en toegang tot de eigen data bij beëindiging. Tot slot moet binnen de organisatie iemand verantwoordelijk zijn voor het signaleren van nieuwe updates.

Een AI-update kan een wezenlijke wijziging van de opdracht zijn

Voor overheden heeft de toets aan het contract een aanbestedingsrechtelijke kant. De Aanbestedingswet 2012 kent in de artikelen 2.163a tot en met 2.163g een gesloten stelsel van gronden waarop een opdracht tijdens de looptijd zonder nieuwe aanbesteding mag worden gewijzigd. Volgens de handreiking kan AI het toepassingsgebied van een opdracht zo verruimen dat sprake is van een wezenlijke wijziging. Hetzelfde geldt als de opdracht aan een andere partij was gegund wanneer de leverancier vanaf het begin AI had gebruikt.

Bijzonder aan deze situatie is wie de wijziging in gang zet. In het aanbestedingsrecht gaat het meestal om een opdrachtgever die iets wil aanpassen. Bij een AI-update verandert de leverancier zijn product, vaak voor alle klanten tegelijk en zonder meerprijs. Wie zo'n update laat doorlopen, neemt in feite een andere dienst af dan de dienst die is aanbesteed. Dat de handreiking op dit punt naar een aanbestedingsjurist verwijst, laat zien dat de beoordeling per geval verschilt.

Buiten de overheid ligt het aangrijpingspunt in de AVG

Organisaties zonder aanbestedingsplicht hebben dit kader niet. Voor hen begint de toets bij de verwerkersovereenkomst. Een verwerker mag volgens artikel 28 lid 2 AVG geen andere verwerker inschakelen zonder voorafgaande specifieke of algemene schriftelijke toestemming. Bij algemene toestemming moet de verwerker een nieuwe subverwerker vooraf melden, zodat de verwerkingsverantwoordelijke bezwaar kan maken. Draait een nieuwe AI-functie op het model van een andere partij, dan is die melding het moment om de update te beoordelen.

Microsoft 365 Copilot laat zien hoe dat in de praktijk gaat. Microsoft heeft Anthropic als subverwerker toegevoegd, zodat Claude-modellen in Copilot te gebruiken zijn. Volgens de documentatie van Microsoft staat die instelling voor klanten in de EU, de EVA en het Verenigd Koninkrijk standaard uit, en voor de meeste andere klanten standaard aan. Dezelfde documentatie meldt dat de Anthropic-modellen buiten de EU Data Boundary vallen en dat sommige functies verdwijnen als je Anthropic als subverwerker uitzet.

Voor de praktijk is dit voorbeeld leerzaam. De bescherming zat hier in een standaardinstelling die de leverancier zelf koos, en die standaard kan bij een volgende update anders uitvallen. Of de functie aangaat, is een beheerinstelling. De vraag of gegevens buiten de EU mogen worden verwerkt, is een juridische vraag. Wie die instelling beheert, moet dus weten wanneer een jurist of privacy officer meebeslist.

Vertrouwelijke stukken in software die al in gebruik is

Voor juristen maakt het verschil in welke software een AI-functie verschijnt. Een documentmanagementsysteem, een dossiersysteem of de mailomgeving bevat stukken die onder het beroepsgeheim of een contractuele geheimhoudingsplicht vallen. Krijgt zo'n systeem een functie die documenten samenvat of doorzoekt, dan verwerkt die functie diezelfde stukken.

Dat kan verantwoord zijn, mits de verwerkersovereenkomst de nieuwe verwerking dekt, vaststaat dat de leverancier en zijn subverwerkers niet trainen op deze gegevens en bekend is waar de verwerking plaatsvindt. Ons advies: zolang dat niet is vastgesteld, blijft de functie uit. Die keuze is achteraf moeilijk te herstellen als de stukken al zijn verwerkt.

Een update kan de risicoklasse onder de AI-verordening veranderen

Een AI-functie kan een systeem ook in een andere categorie van de AI-verordening brengen. Een HR-systeem dat na een update sollicitanten gaat rangschikken, kan daardoor onder de hoog-risicocategorie voor werving en selectie uit bijlage III vallen. Of dat zo is, hangt af van wat de functie precies doet. Met de Digital Omnibus, Verordening (EU) 2026/1744, zijn de verplichtingen voor deze categorie verschoven naar 2 december 2027.

Wie zo'n systeem inzet, is gebruiksverantwoordelijke. Artikel 26 AI-verordening verplicht je dan onder meer het systeem volgens de gebruiksaanwijzing te gebruiken en het menselijk toezicht te beleggen bij mensen met de nodige bekwaamheid, opleiding en autoriteit. Hetzelfde artikel vraagt de logs die onder jouw controle vallen ten minste zes maanden te bewaren en, als je werkgever bent, werknemersvertegenwoordigers en betrokken medewerkers vooraf te informeren. Het uitstel geeft tijd, maar een update die vandaag binnenkomt, draait in december 2027 nog steeds.

Wat een organisatie nu kan vastleggen

Begin met een overzicht van de software waarin AI-functies kunnen verschijnen, met per leverancier de regeling voor wijzigingen van de dienst en voor subverwerkers. Dan weet je welke updates je kunt tegenhouden en welke je alleen kunt zien aankomen.

Bij nieuwe contracten en verlengingen is de handreiking direct bruikbaar als checklist. Leg een meldplicht vast voor nieuwe of gewijzigde AI-functies, activering pas na akkoord, een verbod op training met jouw gegevens en een exitregeling die toegang tot je eigen data waarborgt. De Europese modelcontractbepalingen voor AI (MCC-AI) uit maart 2025 bieden daarvoor een uitgewerkte basis, in een versie voor hoog-risico-AI en een lichtere versie voor overige AI. Ze zijn opgesteld voor overheden, maar volgens de toelichting ook voor private partijen bruikbaar als referentie. In onze blog over de eerste handhavingsstappen onder de AI Act legden we uit waarom contractuele meldplichten nodig zijn zolang het toezicht beperkt is.

Leg ten slotte intern vast wie release notes en beheerinstellingen volgt, en wanneer een jurist of privacy officer meebeslist voordat een functie aangaat. Die afspraak hoort in het AI-beleid, naast de regels voor het gebruik van algemene taalmodellen.