Het AI-leveranciers- en derdenbeleid: de modellen besturen die u niet zelf bouwde The AI Vendor and Third-Party Policy: Governing the Models You Did Not Build

Bijna geen van de AI die in uw organisatie draait, is door uw organisatie gebouwd. Ze zit in uw CRM, uw HR-software, uw helpdesk, uw boekhoudtool, binnengekomen via leveranciers die haar trainden op data die u nooit zag, met methoden die u niet kunt inspecteren. En toch, wanneer dat geleende model een klant oneerlijk behandelt, klaagt de klant bij u, schrijft de toezichthouder u aan, en is de verantwoordelijkheid de uwe. U bouwde het niet. U bent er toch aanspreekbaar op.

Almost none of the AI running in your organisation was built by your organisation. It sits inside your CRM, your HR software, your helpdesk, your accounting tool, arriving through vendors who trained it on data you never saw, using methods you cannot inspect. And yet, when that borrowed model treats a customer unfairly, the customer complains to you, the regulator writes to you, and the accountability is yours. You did not build it. You are still answerable for it.

You outsourced the building, not the responsibility

U besteedde het bouwen uit, niet de verantwoordelijkheid

There is a quiet assumption that buying AI from a reputable vendor transfers the risk to them. It does not. It transfers the building. The law is direct about this: whoever deploys an AI system toward real people holds duties toward those people, and a vendor contract does not dissolve them. You can outsource the engineering. You cannot outsource being the one who answers for the outcome.

Er heerst een stille aanname dat AI kopen bij een gerenommeerde leverancier het risico naar hen verplaatst. Dat doet het niet. Het verplaatst het bouwen. De wet is hier direct over: wie een AI-systeem inzet richting echte mensen, draagt plichten jegens die mensen, en een leverancierscontract lost die niet op. U kunt de engineering uitbesteden. U kunt niet uitbesteden degene te zijn die voor de uitkomst antwoordt.

Vanaf augustus 2026 gelden de verplichtingen voor gebruiksverantwoordelijken onder de EU AI Act voor organisaties die hoog-risico-AI-systemen gebruiken, en niet slechts voor wie ze bouwde. Het systeem kopen koopt u niet vrij van de plicht erop toe te zien.

From August 2026, the EU AI Act's deployer obligations apply to organisations using high-risk AI systems, and not merely those who built them. Buying the system does not buy your way out of the duty to oversee it.

This is not an argument against buying. Building every model yourself is slower, more expensive, and usually worse, and no sensible organisation does it. The argument is against the illusion that buying transfers the duty of care along with the code. It transfers the code. The duty stays with whoever points the system at a real person and presses go. Once you accept that, the vendor policy stops feeling like paperwork and starts feeling like what it is: the record of how you kept a promise to people who never signed your vendor's contract and never will.

Dit is geen argument tegen kopen. Elk model zelf bouwen is trager, duurder, en meestal slechter, en geen verstandige organisatie doet het. Het argument is tegen de illusie dat kopen de zorgplicht samen met de code overdraagt. Het draagt de code over. De plicht blijft bij wie het systeem op een echte persoon richt en op start drukt. Zodra u dat accepteert, houdt het leveranciersbeleid op als papierwerk te voelen en begint het te voelen als wat het is: het bewijs van hoe u een belofte hield aan mensen die het contract van uw leverancier nooit tekenden en nooit zullen tekenen.

What to demand, and what to watch

Wat te eisen, en waar op te letten

A third-party policy turns that inherited accountability into a short list of things you require from every AI vendor, and a shorter list of things you watch for after the contract is signed. The demands go in the contract. The watching never stops, because the model you approved in the demo is not always the model running six months later.

Een derdenbeleid zet die geërfde verantwoordelijkheid om in een korte lijst dingen die u van elke AI-leverancier eist, en een kortere lijst dingen waar u na ondertekening op let. De eisen gaan het contract in. Het letten stopt nooit, want het model dat u in de demo goedkeurde, is niet altijd het model dat zes maanden later draait.

The embedded case is the one that catches people. AI now arrives inside updates to software you already own, often with no announcement louder than a release note. A scheduling feature you never evaluated starts prioritising cases. A support tool begins drafting the replies your customers read. Require your vendors to tell you when they add AI, and treat every such notice as a new system entering your responsibility, because that is exactly what it is.

De ingebedde situatie is degene die mensen betrapt. AI arriveert nu binnen updates van software die u al bezit, vaak zonder aankondiging luider dan een release-notitie. Een planningsfunctie die u nooit evalueerde, begint zaken te prioriteren. Een supporttool begint de antwoorden op te stellen die uw klanten lezen. Eis van uw leveranciers dat ze u vertellen wanneer ze AI toevoegen, en behandel elke zo'n melding als een nieuw systeem dat uw verantwoordelijkheid binnenkomt, want dat is het precies.

Run the watching as a standing habit, not a one-off review. The vendor who was safe at signing is a different vendor after two retrainings and a sub-processor change. A short quarterly check of what has moved is worth more than a thick due-diligence file that was true once.

Voer het letten uit als een vaste gewoonte, geen eenmalige toets. De leverancier die veilig was bij ondertekening, is een andere leverancier na twee hertrainingen en een subverwerkerwissel. Een korte kwartaalcheck van wat verschoven is, is meer waard dan een dik due-diligencedossier dat ooit klopte.