Verwerkersovereenkomst AVG artikel 28 bij soevereine AI LLM zonder trainingsdata

Een verwerkersovereenkomst op grond van AVG artikel 28 is het wettelijk verplichte contract dat een organisatie (verwerkingsverantwoordelijke) sluit met elke externe partij die namens haar persoonsgegevens verwerkt. Wanneer die externe partij een AI-systeem aanbiedt, zoals een private Large Language Model (LLM), worden de eisen aan dat contract aanzienlijk complexer: de verwerkersovereenkomst moet niet alleen de klassieke privacywaarborgen bevatten, maar ook aantoonbaar regelen dat ingevoerde persoonsgegevens nooit worden gebruikt om het model verder te trainen.

Wat AVG artikel 28 minimaal vereist bij inzet van een LLM

AVG artikel 28 schrijft voor dat de verwerkersovereenkomst bindend en schriftelijk is, en een reeks specifieke onderwerpen dekt. Bij AI-verwerking is de uitwerking van die onderwerpen bijzonder kritiek.

De overeenkomst moet ten minste het volgende vastleggen:

• Het precieze doel en de reikwijdte van de verwerking, inclusief welke categorieën persoonsgegevens het AI-systeem ontvangt en wat de maximale bewaartermijn van prompts en outputs is.
• Een uitdrukkelijk verbod op gebruik van klantdata voor modeltraining, finetuning of benchmarking, met een contractuele aansprakelijkheidsbepaling als dit verbod wordt geschonden.
• De technische en organisatorische beveiligingsmaatregelen die de leverancier treft (versleuteling in transit en at rest, toegangscontrole, logging).
• Het recht van de verwerkingsverantwoordelijke op audits en inspecties, bij voorkeur door een onafhankelijke derde partij.
• Een volledige lijst van subverwerkers, of op zijn minst de categorie en vestigingslocatie, met een kennisgevings- en bezwaarprocedure bij wijziging.
• De verplichting van de verwerker om de verwerkingsverantwoordelijke te ondersteunen bij het nakomen van rechten van betrokkenen (inzage, wissing, bezwaar).

De Autoriteit Persoonsgegevens stelt hierover: “Bij de inzet van AI-systemen die persoonsgegevens verwerken, geldt onverkort de AVG. Een verwerkersovereenkomst is verplicht en moet specifiek genoeg zijn om de werking van het AI-systeem te kunnen controleren.”

Technische en contractuele garanties voor het no-training-principe

Een contractueel trainingsverbod is een noodzakelijke maar onvoldoende waarborg. Compliance officers moeten parallel controleren of de technische inrichting van de AI-dienst het verbod ook daadwerkelijk afdwingt.

Wat technisch controleerbaar is

Bij een private of on-premise LLM-deployment (zoals een zelfgehoste versie van een open-source model of een geïsoleerde instantie van een aanbieder als Mistral AI) kan de organisatie zelf verifiëren dat geen prompts naar externe API-eindpunten worden gestuurd. Daarvoor zijn netwerkmonitoring en uitgeharde firewall-regels die egress-verkeer naar de leverancier blokkeren, de meest betrouwbare instrumenten.

Bij extern gehoste private AI-diensten zijn de volgende garanties haalbaar en afdwingbaar:

• Technische isolatie van de tenant: de klant draait op een dedicated instantie, niet op gedeelde infrastructuur.
• Aantoonbare afwezigheid van promptlogging op server-niveau, vastgelegd in technische documentatie die de leverancier op verzoek overlegt.
• Certificering op basis van erkende normen, zoals de Europrivacy-certificering, die aantoonbaar maakt dat de verwerking voldoet aan de AVG.
• Jaarlijkse penetratietests en SOC 2 Type II-rapporten die het auditrecht inhoud geven.

Statistisch gezien is de urgentie groot: de Italiaanse toezichthouder Garante legde in 2024 een boete van 15 miljoen euro op aan OpenAI wegens het ontbreken van een toereikende verwerkersgrondslag en onvoldoende transparantie over trainingsgebruik van persoonsgegevens (bron: Garante per la Protezione dei Dati Personali, 2024).

Verborgen datalekkage via telemetrie en gebruikslogboeken

Zelfs bij AI-diensten die claimen geen trainingsdata te verzamelen, kunnen persoonsgegevens weglekken via telemetrie, foutmeldingen en gebruikslogboeken. Dit is een van de meest onderschatte risico’s bij lokaal gehoste AI-diensten.

Hoe telemetrie persoonsgegevens kan bevatten

Veel softwarepakketten sturen bij fouten automatisch een stacktrace of foutrapport naar de ontwikkelaar. Als die foutmelding een fragment van een prompt bevat (wat bij LLM-toepassingen regelmatig gebeurt), kunnen persoonsgegevens buiten de contractueel afgesproken verwerkingsomgeving terechtkomen. Hetzelfde geldt voor prestatietelemetrie die token-aantallen en tijdstempels koppelt aan gebruikerssessies.

Contractueel moet de verwerkersovereenkomst daarom expliciet regelen:

• Dat alle telemetrie standaard uitgeschakeld is of uitgeschakeld kan worden door de verwerkingsverantwoordelijke.
• Dat foutmeldingen worden geanonimiseerd voordat ze de verwerkingsomgeving verlaten.
• Dat logbestanden uitsluitend lokaal worden opgeslagen en niet worden gesynchroniseerd met systemen van de leverancier.

Technisch kunnen organisaties dit afdwingen door egress-filtering op netwerkniveau, gecombineerd met een contractuele verplichting voor de leverancier om te bewijzen dat zijn software geen “phone home”-functionaliteit bevat in productieconfiguratie.

Samenloop van de AI Act (artikel 9-15) en AVG-verwerkersverplichtingen

De EU AI Act, van kracht geworden in 2024, introduceert voor hoog-risico AI-systemen aanvullende eisen die direct raken aan de AVG-verwerkersrelatie. Artikelen 9 tot en met 15 van de AI Act vereisen onder meer een risicobeheersysteem, technische documentatie, datagovernance, transparantie en menselijk toezicht.

Voor organisaties in de rechtspraktijk, gezondheidszorg of overheid die AI inzetten voor juridische beoordeling of medische triage, is het van belang dat de verwerkersovereenkomst de AI Act-rol van de leverancier (aanbieder of deployer) expliciet vastlegt. Een aanbieder van een hoog-risico AI-systeem draagt zelfstandige verplichtingen die niet contractueel kunnen worden overgedragen aan de verwerkingsverantwoordelijke.

Subverwerkers en de toeleveringsketen van AI-diensten

Een AI-leverancier maakt vrijwel altijd gebruik van onderliggende infrastructuur: GPU-clusters, objectopslag of CDN-diensten die worden geleverd door derden. Deze partijen zijn subverwerkers in de zin van AVG artikel 28 lid 2 en 4, en moeten met dezelfde privacyverplichtingen worden gebonden als de hoofdverwerker.

In de praktijk betekent dit dat de verwerkingsverantwoordelijke moet weten:

• Bij welke GPU-cloudprovider het model wordt gedraaid (en of die provider valt onder de jurisdictie van de VS, zoals bij toepassing van de CLOUD Act het geval kan zijn).
• Of de subverwerker zich in een land met een adequaatheidsbesluit bevindt of dat aanvullende garanties (zoals EU-standaardcontractbepalingen) vereist zijn.
• Of de subverwerker zelf geen toegang heeft tot de inhoud van prompts, of alleen tot versleuteld verkeer.

Aanbieders zoals Mistral AI, die Europees zijn gevestigd en Europese infrastructuur inzetten, bieden in beginsel een gunstigere jurisdictionele uitgangspositie dan Amerikaanse hyperscalers. Maar ook hier moet contractueel worden vastgelegd welke subverwerkers worden ingezet en dat wijzigingen daarin vooraf worden gemeld.

Ter referentie: meer dan 25.000 datalekkmeldingen werden in 2023 gedaan bij de Autoriteit Persoonsgegevens (bron: AP Jaarverslag 2023). Een aanzienlijk deel heeft betrekking op ongecontroleerde toegang door derde partijen, wat de urgentie van subverwerkercontrole onderstreept.

Aanbestedingscriteria en aanbevelingen van EDPS en AP

De EDPS (European Data Protection Supervisor) heeft in 2024 richtsnoeren gepubliceerd voor het gebruik van AI door EU-instellingen en publieke organisaties. De kern van die aanbevelingen: publieke organisaties mogen AI-systemen die persoonsgegevens verwerken alleen inkopen als er een afdwingbare verwerkersovereenkomst is, de verwerking transparant is, en er geen gegevens worden doorgegeven aan derde landen zonder adequaatheidsbesluit of aanvullende garanties.

De EDPS stelt hierover: “Public administrations should not use AI systems that process personal data without a lawful basis and a clear contractual framework that prevents the reuse of that data for training purposes.”

Voor aanbestedingsprocedures zijn de volgende criteria aanbevolen:

• Eis een expliciete no-training-clausule als knock-out criterium, niet als wenselijkheid.
• Vraag om bewijs van Europrivacy-certificering of een gelijkwaardige, door een nationale toezichthouder erkende certificering.
• Verlang dat de leverancier de verwerkingslocatie contractueel vastlegt en garandeert dat verwerking uitsluitend plaatsvindt binnen de EER.
• Neem een auditrecht op waarmee de aanbestedende dienst of een door haar aangewezen auditor de technische maatregelen van de verwerker kan laten toetsen.
• Beoordeel de subverwerkerlijst als onderdeel van de technische beoordeling, niet als bijlage die achteraf wordt geparafeerd.

Ter illustratie van de omvang van het risico: 67% van de Europese organisaties beoordeelt de AVG-risico’s bij AI-verwerking als hoog of zeer hoog, aldus ENISA Threat Landscape 2023 (bron: ENISA, 2023).

De AP heeft bovendien bevestigd dat de AVG onverkort van toepassing is op AI-verwerking en dat een verwerkersovereenkomst niet kan worden vervangen door eenzijdig beleid van de aanbieder. Organisaties in gereguleerde sectoren, zoals advocatenkantoren, ziekenhuizen en overheidsinstanties, lopen het grootste risico op handhaving als zij geen aantoonbaar sluitende verwerkersovereenkomst kunnen overleggen bij een onderzoek.

FAQ: verwerkersovereenkomst en soevereine AI

Is een verwerkersovereenkomst verplicht bij elke AI-dienst die persoonsgegevens verwerkt?
Ja. Zodra een externe AI-leverancier namens uw organisatie persoonsgegevens verwerkt, is een verwerkersovereenkomst conform AVG artikel 28 verplicht, ongeacht of het model lokaal of extern is gehost.

Hoe kan ik als compliance officer controleren of mijn AI-leverancier klantdata niet gebruikt voor training?
Vraag om contractuele uitsluiting van trainingsgebruik met auditrecht, technische isolatie (air-gapped of private deployment), logbestanden waaruit blijkt dat prompts niet worden opgeslagen, en bij voorkeur een externe audit of certificering zoals Europrivacy.

Valt een intern gehoste open-source LLM ook onder de verwerkersverplichtingen van de AVG?
Als de LLM volledig intern draait zonder externe API-aanroepen en de eigen organisatie de verwerkingsverantwoordelijke is, is er geen externe verwerker en dus geen artikel 28-overeenkomst vereist. Wel blijven alle andere AVG-verplichtingen van de verwerkingsverantwoordelijke gelden.

Wat houdt het verschil in tussen een hoog-risico AI-systeem onder de AI Act en een gewone AI-verwerking onder de AVG?
De AI Act (artikelen 9-15) voegt eisen toe zoals een risicobeheersysteem, technische documentatie en menselijk toezicht voor hoog-risico toepassingen. De AVG blijft daarnaast onverkort gelden: beide kaders stapelen zich op en vullen elkaar aan, ze vervangen elkaar niet.

Moet een subverwerker van mijn AI-leverancier, zoals een GPU-cloudprovider, ook in de verwerkersovereenkomst worden opgenomen?
Ja. AVG artikel 28 lid 2 en 4 vereisen dat subverwerkers met dezelfde verplichtingen worden gebonden als de hoofdverwerker. Uw verwerkersovereenkomst moet de subverwerkers bij naam of categorie noemen en het recht op bezwaar bij wijziging vastleggen.