AI Act-vragenlijst van uw klant beantwoorden: zo levert u bewijs

Waarom stuurt een klant een AI Act-vragenlijst?

Een klant stuurt een AI Act-vragenlijst om te achterhalen of uw diensten, medewerkers of onderaannemers AI gebruiken en welk risico dat voor zijn gegevens en processen veroorzaakt. De klant kan die informatie nodig hebben voor leveranciersbeheer, een informatiebeveiligingsaudit, een privacybeoordeling, een interne AI-goedkeuring of een contractverlenging.

De vragenlijst combineert vaak verschillende onderwerpen. Naast de AI Act komen ook gegevensbescherming, beveiliging, intellectuele eigendom en continuiteit aan bod. Splits de vragen daarom op volgens onderwerp en laat elke inhoudelijke eigenaar alleen zijn deel bevestigen.

Een vragenlijst is geen bewijs dat uw onderneming onder elke genoemde wetsbepaling valt. Uw feitelijke rol blijft bepalend. U kunt aanbieder, gebruiksverantwoordelijke, importeur, distributeur of gewone dienstverlener zijn, afhankelijk van het systeem en de manier waarop u het inzet.

Bent u wettelijk verplicht om elke klantvraag te beantwoorden?

Nee, de AI Act verplicht ondernemingen niet om elke private leveranciersvragenlijst in de vorm van de klant in te vullen. De klant kan informatie wel contractueel eisen of als voorwaarde gebruiken bij selectie, onboarding en verlenging. Voor hoogrisico-AI bestaan er bovendien wettelijke informatie- en samenwerkingsplichten tussen partijen in de AI-keten.

Controleer dus eerst waarom de klant de informatie vraagt. Staat de verplichting in een contract, offerteaanvraag of gedragscode? Gaat het over een concreet AI-systeem of over uw volledige onderneming? Een afgebakend antwoord op de relevante dienstverlening is meestal nauwkeuriger dan een algemene verklaring dat uw bedrijf volledig AI Act-compliant is.

Welke vragen komen in een AI-leveranciersvragenlijst terug?

De precieze formulering verschilt per klant, maar de vragen vallen meestal binnen tien bewijsgebieden. Onderstaande tabel toont niet alleen wat er wordt gevraagd, maar ook welk document het antwoord kan ondersteunen.

Hoe sterk is het bewijs achter uw antwoord?

Niet elk bewijsstuk heeft dezelfde waarde. Een goedgekeurd beleid toont wat uw onderneming heeft afgesproken, maar nog niet dat medewerkers het ook toepassen. Gebruik daarom vier bewijsniveaus en kies het hoogste niveau dat u werkelijk kunt onderbouwen.

Voor een eenvoudige schrijfassistent kan niveau twee of drie voldoende zijn. Een toepassing die kandidaten beoordeelt, kredietbeslissingen ondersteunt of gevoelige gegevens verwerkt, vraagt doorgaans sterker bewijs. De vereiste diepgang hangt af van de toepassing, uw rol en het risico voor de klant.

Hoe formuleert u een antwoord zonder te veel te beloven?

Bouw elk antwoord op uit vijf elementen: status, reikwijdte, maatregel, bewijs en beperking. Daarmee vermijdt u een kaal ja of nee en kan de klant uw verklaring correct beoordelen.

Gebruik alleen een einddatum wanneer iemand eigenaar is van de actie en de timing intern is bevestigd. Een beloofde maatregel kan na opname in een contract zelf een afdwingbare verplichting worden.

Welke documenten deelt u wel en niet met de klant?

Deel het minimale bewijs dat de vraag beantwoordt. Een klant hoeft meestal niet uw volledige AI-register, deelnemerslijst of intern incidentendossier te ontvangen. Maak waar mogelijk een afgebakend uittreksel voor de betrokken dienstverlening.

• Deel een registeruittreksel met systeem, doel, eigenaar, leverancier en risicostatus.
• Verwijder persoonsgegevens van medewerkers wanneer namen niet nodig zijn.
• Markeer vertrouwelijke bedrijfsinformatie en leg gebruiksbeperkingen vast.
• Geef een samenvatting van opleiding of instructie in plaats van individuele resultaten.
• Deel relevante beleidsartikelen, niet automatisch het volledige interne handboek.
• Houd bij welke versie en bijlagen aan welke klant zijn bezorgd.

Uw AI-register is de centrale bron, maar niet noodzakelijk het document dat u integraal verstuurt. Een gecontroleerde exportsjabloon voorkomt dat verschillende klanten tegenstrijdige versies ontvangen.

Wat als documenten of een ISO 42001-certificaat ontbreken?

Antwoord eerlijk met nee, gedeeltelijk of niet van toepassing en voeg context toe. De AI Act verplicht niet dat elke KMO ISO/IEC 42001 gecertificeerd is. ISO/IEC 42001 is een internationale norm voor een managementsysteem rond AI en kan vertrouwen ondersteunen, maar de noodzaak van certificatie volgt uit de klantvraag, sector of uw eigen keuze, niet automatisch uit de AI Act.

Bied bij ontbrekende certificatie concreet alternatief bewijs aan: een actueel register, goedgekeurd beleid, toegewezen rollen, risicobeoordelingen en uitvoeringsregistraties. Schrijf niet dat u gecertificeerd bent, de norm volledig toepast of een audit doorstond wanneer dat niet aantoonbaar klopt.

Hoe behandelt u vragen over klantgegevens en AI-leveranciers?

Beschrijf de volledige route van klantgegevens. Noteer welke gegevens uw onderneming ontvangt, of medewerkers ze in AI-tools mogen invoeren, waar de verwerking plaatsvindt, welke instellingen gelden en of invoer voor modelverbetering kan worden gebruikt. Verwijs naar de passende privacy- en verwerkersafspraken wanneer persoonsgegevens betrokken zijn.

Vraag dezelfde kerninformatie aan uw eigen AI-leveranciers en onderaannemers. U kunt een klant niet geloofwaardig beloven dat zijn gegevens niet voor training worden gebruikt wanneer u de voorwaarden en instellingen van de onderliggende tool niet hebt gecontroleerd.

Maakt uw dienstverlening chatbots, synthetische media of publiek verspreide AI-content, controleer dan ook de actuele regels van Artikel 50 over transparantie.

Hoe beantwoordt u de vragenlijst binnen twee werkdagen?

1. Bevestig de deadline, reikwijdte en gewenste bijlagen bij de klant.
2. Markeer welke vragen juridisch, technisch, operationeel of privacygerelateerd zijn.
3. Koppel elke vraag aan een eigenaar en een bestaand bewijsstuk.
4. Gebruik de antwoordformule voor gedeeltelijke en negatieve antwoorden.
5. Laat salesbeloften controleren door de eigenaar van het betrokken proces.
6. Verwijder overbodige persoonsgegevens en vertrouwelijke details uit bijlagen.
7. Bewaar de definitieve vragenlijst, bijlagen en toezeggingen in één klantdossier.
8. Zet ontbrekende maatregelen in een actielijst met eigenaar en herbeoordelingsdatum.

Begin niet telkens opnieuw. Maak na de eerste vragenlijst een standaardantwoordenset waarin elke verklaring naar de actuele bron verwijst. Bij een volgende klant controleert u dan vooral reikwijdte, uitzonderingen en gewijzigde systemen.

Wanneer hebt u een klantklaar AI-bewijsdossier?

Uw bewijsdossier is klantklaar wanneer antwoorden herhaalbaar, afgebakend en controleerbaar zijn. Een andere medewerker moet kunnen zien waarop een verklaring gebaseerd is, welke versie geldig was en welke uitzondering voor de klant geldt.

• De relevante AI-systemen en leveranciers staan in een actueel register.
• Rollen, toegelaten toepassingen en menselijke controles zijn vastgelegd.
• AI-geletterdheidsmaatregelen zijn gekoppeld aan de betrokken functies.
• Antwoorden over gegevens zijn afgestemd met privacy en informatiebeveiliging.
• Toezeggingen hebben een eigenaar, bewijsstuk en geldige versie.
• De gedeelde bijlagen bevatten geen onnodige persoonsgegevens of bedrijfsgeheimen.

Schrijft u in op een publieke procedure, bekijk dan ook de aparte gids over de AI Act en overheidsopdrachten. Daar spelen formele selectiecriteria en uitvoeringsvoorwaarden een andere rol dan bij een private klantvragenlijst.

Welke officiële bronnen ondersteunen uw antwoorden?

Baseer juridische verklaringen op de actuele, geconsolideerde tekst van de Europese AI Act. Controleer voor AI-geletterdheid de uitleg van de Europese Commissie over Artikel 4 en voor klantgerichte AI de recente richtsnoeren over Artikel 50. De officiële informatie over ISO/IEC 42001 legt uit wat de managementsysteemnorm wel en niet omvat.