Uw CRM-systeem, HR-applicatie of andere SaaS-dienst krijgt een update. Ineens is een AI-assistent beschikbaar, zonder dat u daarom hebt gevraagd. De leverancier presenteert het als een verbetering. Dit verschijnsel wordt ook wel sluip-AI genoemd. Maar mag een leverancier zulke functionaliteit eenzijdig toevoegen? En wie is verantwoordelijk voor de juridische en beveiligingsrisico's?
Nieuwe handreiking voor bestaande softwarecontracten
In september 2026 verscheen de overheidsbrede handreiking 'Help! Mijn huidige dienst krijgt een update met AI erin, wat te doen?'. De overheid signaleert dat bestaande software steeds vaker AI-functionaliteit krijgt, terwijl contracten daar niet op zijn ingericht.
De handreiking richt zich op overheidsorganisaties, maar het probleem speelt evenzeer bij commerciële SaaS-contracten. De centrale aanbeveling: beoordeel of de AI-toevoeging binnen de bestaande overeenkomst past, onderzoek de risico's en leg zo nodig aanvullende afspraken vast.
Mag de leverancier de dienst zomaar wijzigen?
Veel SaaS-contracten geven de leverancier ruimte om de software door te ontwikkelen en functionaliteiten te wijzigen. Zo'n wijzigingsbeding betekent echter niet dat iedere AI-toepassing is toegestaan.
Daarbij speelt mee wat partijen zijn overeengekomen en wat ze redelijkerwijs van elkaar mochten verwachten. Een optionele tekstassistent kan een andere impact hebben dan AI die persoonsgegevens analyseert of beslisvoorstellen doet. Ook de gevolgen voor beveiliging, kosten en de oorspronkelijke functie van de dienst tellen mee.
Voor overheidsopdrachtgevers geldt als extra aandachtspunt dat als een AI toevoeging een wezenlijke wijziging van de opdracht kan opleveren, dit aanbestedingsrechtelijke gevolgen kan hebben.
AVG: worden uw gegevens anders gebruikt?
De toevoeging van AI betekent niet automatisch dat gegevens worden gedeeld met een externe modelaanbieder of worden gebruikt om AI te trainen. Dat moet wel duidelijk worden aangegeven.
Verwerkt de SaaS-leverancier persoonsgegevens namens de klant, dan mag hij deze in beginsel alleen volgens gedocumenteerde instructies verwerken (artikel 28 AVG). Gebruik voor eigen trainingsdoeleinden valt niet vanzelfsprekend binnen die opdracht. Ook de inzet van een nieuwe subverwerker kan aanvullende toestemming of informatie vereisen.
Onderzoek daarom welke gegevens de AI-functie verwerkt, voor welke doeleinden, waar zij terechtkomen en of de verwerkersovereenkomst nog aansluit. Levert de gewijzigde verwerking waarschijnlijk een hoog privacyrisico op, dan is een DPIA verplicht (artikel 35 AVG).
Eisen AI-verordening
De AI-verordening stelt eisen afhankelijk van de toepassing en de rol van betrokken partijen. Zo gelden transparantieverplichtingen voor bepaalde AI-systemen. Voor hoog-risico-AI-systemen, zoals genoemd in de categorieën van bijlage III (artikel 6, lid 2) gaan de specifieke verplichtingen vanaf 2 december 2027 gelden.
Niet iedere AI-assistent is dus hoog risico. Maar een nieuwe AI-functie vraagt wel om beoordeling van het beoogde gebruik en de toepasselijke regels.
Welke afspraken zijn verstandig?
De overheidsbrede handreiking adviseert aanvullende AI-voorwaarden. Voor SaaS-contracten zijn vooral deze afspraken relevant:
Voorafgaande melding van nieuwe AI-functionaliteit en, waar mogelijk, activering na akkoord.
Geen training met klantgegevens zonder afzonderlijke afspraak.
Duidelijkheid over gebruikte modellen, subverwerkers en gegevensstromen.
Mogelijkheden om AI uit te schakelen en afspraken over menselijke controle.
Aansprakelijkheid, beveiliging en toegang tot gegevens bij beëindiging.
Voorkom ongewenste contractwijzigingen
Een software-update kan meer veranderen dan alleen de functionaliteit. Ook de juridische risico's en verantwoordelijkheden kunnen verschuiven.
Wilt u weten of uw SaaS-overeenkomst voldoende bescherming biedt tegen ongewenste AI-toevoegingen?
Legalz kan uw wijzigingsbedingen, verwerkersovereenkomst en AI-voorwaarden gericht beoordelen en waar nodig aanscherpen.
Neem vrijblijvend contact met ons op. U kunt ons bereiken op telefoonnummer 010 2290646 of klik op onderstaande button.