Verwerkersovereenkomst bij AI-tools: wanneer heb je er géén nodig?

Een verwerkersovereenkomst (artikel 28 AVG) is alléén verplicht als een externe partij persoonsgegevens verwerkt in jouw opdracht en onder jouw instructies — dat heet een verwerker [1][2]. Je hebt er dus géén nodig in drie situaties. Eén: als er helemaal geen externe partij bij je gegevens komt. Draait een AI-tool volledig lokaal op je eigen apparatuur en krijgt de leverancier de gesprekken nooit te zien, dan verwerkt die leverancier niets voor jou en is er geen verwerker [5][7]. Twee: als de andere partij zélf bepaalt waaróm en hóé de gegevens worden verwerkt — bijvoorbeeld een cloud-AI die jouw invoer gebruikt om het model te trainen. Die partij is dan zelfstandig verwerkingsverantwoordelijke, geen verwerker, en een verwerkersovereenkomst past juridisch niet [4][6]. Drie: bij gezamenlijke verwerkingsverantwoordelijkheid, waarvoor artikel 26 geldt in plaats van artikel 28. Let op: "geen verwerkersovereenkomst" betekent nooit "geen verplichtingen". Je moet de rol nog steeds vaststellen, vaak een ánder contract sluiten, en je DPIA blijft gewoon staan.

Dit artikel is zorgvuldig samengesteld en van bronnen voorzien, maar is geen juridisch advies. Leg beleidskeuzes altijd voor aan je eigen jurist, FG of DPO.

Wanneer is een verwerkersovereenkomst wél verplicht?

De regel is smaller dan veel mensen denken. Een verwerkersovereenkomst is verplicht zodra je persoonsgegevens laat verwerken door een verwerker: een externe partij die de gegevens uitsluitend in jouw opdracht en volgens jouw instructies verwerkt [1][2]. Jij bepaalt het doel en de middelen (je bent verwerkingsverantwoordelijke), de ander voert uit. Klassieke voorbeelden: een hostingpartij, een salarisadministratiekantoor of een cloudleverancier die jouw dossiers opslaat [2].

Het kernwoord is "in opdracht van". De Autoriteit Persoonsgegevens is hierover duidelijk: als je een andere organisatie inschakelt om gegevens voor jou te verwerken, en jij bepaalt wat ermee gebeurt en hoe, dan is die organisatie je verwerker en moet je afspraken vastleggen over wat de verwerker wel en niet met de gegevens mag doen [1][2]. Zonder die afspraken op papier ben je in overtreding van de AVG [1]. Maar valt de situatie buiten deze definitie, dan is een verwerkersovereenkomst niet aan de orde — en soms zelfs juridisch onjuist.

Drie situaties waarin je er géén nodig hebt

1. Er komt geen externe partij bij je gegevens. Verwerkt de leverancier feitelijk geen persoonsgegevens, dan is er geen verwerker en dus geen artikel 28. Bij zuivere on-premise of lokale software verwerkt de leverancier vaak alleen de contactgegevens van de opdrachtgever zelf; op de inhoud die jij ermee verwerkt heeft hij geen toegang [5][7]. Krijgt de leverancier hoogstens incidenteel toegang — bijvoorbeeld bij support op afstand — dan is hij daarmee nog geen verwerker, en volstaat vaak een geheimhoudingsafspraak [5][7]. Beslissend is of de opdracht onvermijdelijk en structureel tot het verwerken van persoonsgegevens leidt; toevallig iets kunnen zien is niet genoeg [5].

2. De ander is zelf verwerkingsverantwoordelijke. Een verwerker mag de gegevens niet voor eigen doeleinden gebruiken. Zodra een leverancier dat wél doet, wordt hij een zelfstandige verwerkingsverantwoordelijke [4]. Dit speelt sterk bij AI: veel cloud-AI-diensten gebruiken jouw invoer niet alleen om een antwoord te geven, maar óók om hun model te trainen of te verbeteren — dat is een eigen doel [6]. In dat geval is de leverancier geen verwerker maar verwerkingsverantwoordelijke, en past een verwerkersovereenkomst niet. De Europese toezichthouders benadrukken dat een verwerker die zijn eigen doel en middelen gaat bepalen, voor die verwerking als verantwoordelijke geldt en zelf aansprakelijk is [4]. Je maakt dan andere, duidelijke privacyafspraken — maar geen artikel 28-overeenkomst [6][8].

3. Jullie zijn gezamenlijk verantwoordelijk. Bepalen twee partijen samen doel en middelen, dan is er sprake van gezamenlijke verwerkingsverantwoordelijkheid. Daarvoor geldt artikel 26 AVG met een eigen soort regeling, niet de verwerkersovereenkomst van artikel 28 [4]. Ook hier geldt: een verkeerd etiket helpt niet. Een "verwerkersovereenkomst" sluiten met een partij die eigenlijk zelfstandig verantwoordelijke is, maakt die partij geen verwerker — de feitelijke situatie bepaalt de rol, niet het contract [4][6].

De valkuil: geen overeenkomst is niet geen plicht

Het gevaarlijkste misverstand is dat "geen verwerkersovereenkomst nodig" hetzelfde is als "niets te regelen". Dat klopt niet. Ook zonder verwerker blijf je verwerkingsverantwoordelijke voor je eigen verwerking, met alle verplichtingen die daarbij horen. Een paar dingen die blijven staan:

• Je moet de rol expliciet vaststellen en onderbouwen. Wie bepaalt doel en middelen? Leg die analyse vast — een toezichthouder kan erom vragen [4][5].
• Is de ander zelfstandig verantwoordelijke, dan sluit je alsnog een contract met heldere privacy- en geheimhoudingsafspraken; alleen niet ónder de noemer verwerkersovereenkomst [6][8].
• Verwerk je bijzondere persoonsgegevens, zoals gezondheidsdata, dan gelden strengere eisen en vaak een verplichte extra grondslag — los van de vraag of er een verwerker in het spel is.
• De DPIA-plicht vervalt niet omdat een tool lokaal draait of omdat er geen verwerker is. Een lokale AI-tool kan een verwerking met een hoog risico blijven; beoordeel dat op zijn eigen merites.

Kortom: het ontbreken van een verwerkersovereenkomst is een uitkomst van je analyse, geen manier om die analyse over te slaan.

Zo bepaal je de rol bij een AI-tool

Loop bij elke AI-tool deze vragen langs. Ze wijzen je naar de juiste rol — en dus naar het juiste (of geen) contract.

• Krijgt de leverancier de persoonsgegevens feitelijk in handen? Bij een cloud-dienst: ja. Bij software die volledig op jouw eigen apparatuur draait en niets verstuurt: nee — controleer dat en leg het vast [5][7].
• Gebruikt de leverancier jouw gegevens voor eigen doelen, zoals modeltraining, productverbetering of eigen analyses? Zo ja, dan is hij zelfstandig verantwoordelijke, geen verwerker [4][6].
• Wie bepaalt doel en middelen? Alleen jij → jij verantwoordelijke, ander verwerker (verwerkersovereenkomst). Samen → gezamenlijk verantwoordelijk (artikel 26). De ander alleen → twee zelfstandige verantwoordelijken (geen verwerkersovereenkomst) [2][4].
• Is toegang incidenteel of structureel? Eenmalige support-toegang maakt nog geen verwerker; structurele, onvermijdelijke verwerking wel [5].

Voor de zekerheid: de AP publiceert een voorbeeldlijst die per situatie aangeeft wie verwerker is en wie verantwoordelijke — handig als naslag bij twijfel [3].

Wat dit betekent voor lokale AI-verslagen

Precies hier zit het verschil tussen cloud-AI en lokale AI. Bij een clouddienst gaan je gesprekken naar de leverancier; je hebt vrijwel altijd een contract nodig, en de vraag is dan alleen nog: verwerker of zelfstandig verantwoordelijke. Bij een tool die volledig lokaal draait, verlaat er geen gegeven je organisatie — dan is er voor die verwerking geen externe verwerker en dus geen artikel 28-overeenkomst voor de gespreksdata.

Zo is Verbinn gebouwd: transcriptie en verslag draaien op één Mac in je eigen pand, en de Kern meet zijn eigen uitgaande verkeer en toont per verbinding waarvoor hij is — geen woord van het gesprek verlaat de organisatie. De leverancier krijgt de gesprekken nooit te zien en is voor die inhoud geen verwerker. Dat neemt je andere plichten niet weg: je blijft verantwoordelijke, je wist audio zo snel mogelijk, en je beoordeelt zelf of een DPIA nodig is. Maar de discussie "welke verwerkersovereenkomst met welke buitenlandse cloud" hoef je voor de gespreksinhoud niet te voeren.