Een adviesbureau neemt een AI-assistent af als SaaS-dienst en de medewerkers plakken dagelijks klantstukken in het promptvenster. Drie maanden later vraagt een klant of zijn contract in het trainingsmateriaal van het model zit, en van wie de samenvatting is die hij kreeg. Het antwoord staat in drie clausules die in veel SaaS-contracten ontbreken of alleen in de versie van de leverancier staan. Dit artikel loopt ze langs, met de wettelijke laag eronder: artikel 28 AVG, artikel 1 Wet bescherming bedrijfsgeheimen en artikel 53 AI-verordening.
Wat de wet al regelt en waar zij ophoudt: AVG, Wet bescherming bedrijfsgeheimen en artikel 53 AI-verordening
Voor de persoonsgegevens die je invoert is de leverancier in de gebruikelijke SaaS-opzet verwerker, en eist artikel 28 AVG een verwerkersovereenkomst met verwerking uitsluitend op jouw instructies; traint de leverancier op diezelfde prompts voor een eigen doel, dan is hij daarvoor zelf verantwoordelijke met een eigen grondslag, en jouw contractuele instemming is geen toestemming van de betrokkenen. Voor stukken zonder persoonsgegevens telt de Wet bescherming bedrijfsgeheimen: informatie is pas een bedrijfsgeheim als de houder redelijke maatregelen heeft genomen om haar geheim te houden, en een contract dat hergebruik toestaat ondergraaft dat. Sinds 2 augustus 2025 verplicht artikel 53 AI-verordening aanbieders van AI-modellen voor algemene doeleinden tot een openbare samenvatting van hun trainingscontent volgens het sjabloon van 24 juli 2025, voor oudere modellen uiterlijk op 2 augustus 2027; die samenvatting beschrijft het model in het algemeen en geeft geen uitsluitsel over wat er met jouw prompts gebeurt.
Drie clausules: training en hergebruik, geheimhouding, en van wie de uitvoer is
De eerste clausule verbiedt training en hergebruik van jouw invoer en uitvoer zonder aparte schriftelijke toestemming, definieert wat "geanonimiseerd" betekent, noemt de subverwerkers en legt de bewaartermijn van prompts vast. De tweede rekt het geheimhoudingsbeding op tot invoer, uitvoer en metadata, ongeacht markering, regelt verwijdering en logging, en beperkt inzage door personeel van de leverancier. De derde regelt de eigendom van AI-output contractueel, omdat de menselijke creatieve inbreng bij een korte instructie vaak te klein is voor auteursrecht, en koppelt daar een vrijwaring aan en de bevestiging hoe de aanbieder synthetische uitvoer machineleesbaar markeert volgens artikel 50, tweede lid, AI-verordening, van toepassing sinds 2 augustus 2026 met een overgangstermijn tot 2 december 2026 voor oudere systemen. Het artikel eindigt met vijf vragen voor deze week en de contractscan van AIRecht, die het contract per clausule groen, oranje of rood kleurt en een tegenvoorstel meegeeft.
Meer lezen