Wat is een verwerkersovereenkomst? De afspraak met een partij die persoonsgegevens voor jou verwerkt. Ook je AI-modelprovider. Waar je op let.
Een verwerkersovereenkomst is de schriftelijke afspraak met een partij die persoonsgegevens namens jou verwerkt: wat er verwerkt mag worden, waarvoor, hoe lang en met welke beveiliging. Elke AI-dienst die jouw klantgegevens raakt hoort eronder, inclusief de modelprovider. EIGHTY8 gebruikt hem als basis: zonder afspraak geen gegevensstroom, hoe mooi het ontwerp ook is.
Als jij klantgegevens hebt en een ander bedrijf verwerkt die gegevens voor jou (een hostingpartij, een maildienst, een AI-modelprovider) dan staat in de AVG dat dat op papier moet: de verwerkersovereenkomst. Zij schrijft voor dat de verwerker alleen handelt op jouw instructie, beveiliging op orde heeft, vertrouwelijkheid garandeert, onderaannemers meldt en na afloop gegevens teruggeeft of vernietigt.
Zonder die afspraak is de verwerking onzuiver: de partij aan de andere kant is dan niet gewoon jouw uitvoerder, maar handelt zonder de kaders die de wet vraagt. In de AI-praktijk is dit het onderbelichte punt: bedrijven koppelen enthousiast een taalmodel in en vergeten dat de provider daarbij persoonsgegevens verwerkt. De providercontracten van grote diensten bevatten doorgaans een verwerkersvorm die je apart moet aanzetten of accepteren. Precies daar hoort jouw aandacht.
Waar je op let bij het lezen: het doel, voor welke werkstroom en welke gegevens; de bewaartermijn, hoe lang in- en output worden vastgehouden en of ze worden gebruikt om te trainen; de subverwerkers, welke partijen eronder zitten en hoe je over wijzigingen wordt geïnformeerd; en de locatie, waar de gegevens verwerkt worden. Is een van die vier vaag, dan is dat een gesprek, geen detail.
Nodig is hij zodra een externe partij namens jou persoonsgegevens verwerkt. Dus vrijwel altijd zodra een externe dienst met klantgegevens meekijkt: hosting, mail, helpdesk, facturatie en zeker AI-modellen. De verwerkersovereenkomst is dan geen formaliteit maar de basis van de samenwerking: zij bepaalt wat de partij mag doen met de gegevens die jij toevertrouwt.
Niet nodig is hij wanneer er geen persoonsgegevens meegaan (een model dat alleen productdocumentatie verwerkt verwerkt niets namens jou) of wanneer de andere partij geen verwerker maar eigen verwerkingsverantwoordelijke is, zoals bij een publieke chatdienst die jij zelf gebruikt. Dat onderscheid klinkt juristisch; het uit zich heel praktisch: alleen wat namens jou verwerkt wordt, hoort onder een overeenkomst met jouw kaders erin.
In elk traject staat in de scope welke externe partijen bij de werkstroom betrokken zijn en op welke afspraak zij gegevens verwerken; onze eigen privacypagina noemt de partijen die wij standaard inzetten. We bouwen geen gegevensstroom in zonder dat de afspraak tussen jou en de provider er ligt. Is die er nog niet, dan is dat een actiepunt in de planning, geen voetnoot achteraf.
Omdat de provider bij elke aanroep namens jou gegevens verwerkt: de prompt met daarin mogelijk namen, orders of opmerkingen van klanten, en soms de output die je bewaart. De AVG vraagt daarvoor een schriftelijke afspraak over doel, beveiliging, bewaartermijn en subverwerkers. Grote modeldiensten bieden zo'n verwerkersvorm aan. Vaak via aparte instellingen of contractvoorwaarden. Zet hem aan, controleer de bewaar- en trainingsbepalingen, en leg vast welke velden überhaupt meegaan.
Op vier dingen: het doel en de gegevenscategorieën die de afspraak dekt; de bewaartermijn en of de gegevens worden gebruikt om te trainen; de subverwerkers, inclusief hoe je over wijzigingen wordt geïnformeerd; en waar de verwerking plaatsvindt. Klopt een van die vier niet met jouw werkstroom, dan is dat een onderhandelingspunt of een ontwerpwijziging. Wat juridisch exact vereist is, staat in de AVG zelf; laat twijfelgevallen beoordelen door wie daarin bevoegd is.
Alleen als jij dat in de afspraak toelaat, en wij raden dat voor klantgegevens niet aan. De standaardhouding is dat een verwerker verwerkt op jouw instructie en niets anders. Training op jouw bedrijfsgegevens hoort daar niet bij. Bij AI-diensten is dit het punt om expliciet te maken: kies instellingen en contractvormen waarin de invoer niet ten bate van training wordt gebruikt, en leg dat vast vóór de eerste aanroep in plaats van er later achter te komen.
Dan verwerkt een externe partij persoonsgegevens zonder de wettelijke kaders, en loop jij als verwerkingsverantwoordelijke met de verantwoordelijkheid. Zichtbaar wordt dat vaak pas als het misgaat: een klant vraagt naar de afspraken, of een incident dwingt de vraag 'wie stond er bij deze verwerking?'. En dan staat er niets. De oplossing is goedkoop: de bestaande contracten van je diensten nalopen, de verwerkersvorm aanzetten en de afspraken bij de scope noteren. Wij helpen dat per werkstroom uit te schrijven.
EIGHTY8