Wat zijn op dit moment de belangrijkste juridische aandachtspunten voor de inzet van AI binnen het bedrijf?

In dit artikel:

Bedrijven die AI op de werkvloer willen inzetten, moeten volgens ict-jurist Arnoud Engelfriet eerst goed bepalen om welk type AI-dienst het gaat: een externe SaaS-oplossing, een self-hosted model of onofficieel gebruik door medewerkers. Dat onderscheid bepaalt welke juridische en praktische risico’s spelen.

Bij veelgebruikte AI-diensten die als online dienst worden afgenomen, zijn de belangrijkste aandachtspunten vergelijkbaar met die van andere ict-inkoop: kwaliteit, aansprakelijkheid, beveiliging, data-toegang, exit-mogelijkheden en — als er persoonsgegevens worden verwerkt — een verwerkersovereenkomst. Specifiek bij AI is volgens Engelfriet extra belangrijk dat contractueel wordt vastgelegd dat ingevoerde data niet zomaar wordt gebruikt om het model verder te trainen. Ook moeten bedrijven letten op datasoevereiniteit: blijft informatie in Europa en kunnen zij snel vertrekken als de juridische basis voor doorgifte naar de VS wegvalt?

Bij self-hosted AI verschuift de focus naar beheer, veiligheid, continuïteit, training van gebruikers en hoe goed de organisatie de dienst zelf onder controle heeft. Als een toepassing onder de AI-verordening als hoogrisico geldt, komen daar vanaf december 2027 extra eisen bij, zoals een CE-markering en goed ingericht toezicht en gebruik.

Tot slot waarschuwt Engelfriet voor shadow AI: medewerkers die privé AI-tools gebruiken voor werk. Omdat dat steeds aantrekkelijker en dus vaker voorkomt, zijn beleid, voorlichting en toezicht volgens hem onmisbaar.