Aanbesteding of update: weet u welke AI u binnenhaalt?

Dat is op zich geen probleem. AI kan werkvoorraden verlichten en medewerkers tijd besparen. Maar dan moet u wel weten wat u binnenhaalt. Dat begint bij een vraag die vaak wordt overgeslagen: heeft u deze functie eigenlijk nodig en wat levert die op?

In dit blog leest u hoe u AI-functionaliteit beoordeelt in twee situaties: bij een nieuwe aanbesteding en bij een pakket dat u al heeft. En welke afspraken u in beide gevallen vastlegt.

Situatie 1: een aanbesteding met AI erbij

Bij een aanbesteding heeft u de sterkste positie. U bepaalt de eisen en wensen. Leveranciers moeten daarop antwoorden. Gebruik die positie.

Vraag niet alleen óf een pakket AI bevat, maar laat leveranciers beschrijven wat de AI doet en welke rol die speelt in het proces. Geeft het systeem een advies, een classificatie, een voorspelling of een beslissing? Dat verschil is groot. Neem "slimme zaakprioritering": het model geeft elke aanvraag een score en medewerkers werken de werkvoorraad in die volgorde af. Het systeem adviseert dan niet alleen, het bepaalt wie als eerste aan de beurt is. Dat vraagt andere afspraken dan een zoekfunctie.

Neem ook op dat AI-functies uitschakelbaar zijn en dat de leverancier vooraf laat zien welke AI-functionaliteit op de roadmap staat. Zo voorkomt u dat u over een jaar alsnog in situatie 2 belandt.

Situatie 2: uw leverancier voegt AI toe aan een bestaand pakket

Hier staat u zwakker. Het contract is afgesloten voordat AI een rol speelde en dekt de nieuwe functie vaak niet. Toch komt deze situatie het vaakst voor.

Het risico zit in de route. Een AI-functie komt binnen via een reguliere release en daarmee langs uw wijzigingsproces heen. Er is geen selectiemoment, geen toets op dataverwerking en geen afweging of de functie past. Wat kunt u doen?

• Vraag de leverancier om AI-wijzigingen apart te benoemen in de release notes.
• Test nieuwe AI-functies eerst in een testomgeving en laat ze niet automatisch aanzetten.
• Leg de functie langs dezelfde vragen als bij een aanbesteding.
• Maak aanvullende afspraken in een addendum op het contract of de verwerkersovereenkomst.

"Gratis meegeleverd" betekent namelijk niet "zonder gevolgen".

Wat u in beide situaties moet weten

Wat levert het op? Begin bij het doel. Welk probleem lost de functie op? Wat levert die op aan tijd of kwaliteit en voor wie? Kunt u dat niet benoemen, dan is de functie uitzetten ook een goede keuze.

Waar gaan uw gegevens heen? Hier draait het om drie vragen. Waar komen uw gegevens terecht: in welk land en bij welke partij? Blijft u zelf eigenaar, ook als de leverancier de gegevens gebruikt om zijn model te verbeteren? En welke route leggen ze af? Een AI-functie die "gewoon aanstaat" stuurt soms gegevens via koppelingen die niemand heeft gedocumenteerd.

Wat betekent dit voor uw DPIA? Een bestaande DPIA dekt een nieuwe AI-functie meestal niet. AI voegt nieuwe verwerkingen toe, kan profileren en brengt vaak een extra partij in beeld, zoals de aanbieder van het onderliggende model. Herzie de DPIA dus bij elke nieuwe AI-functie. Valt de toepassing volgens de AI Act onder hoog risico, dan gelden daarnaast extra verplichtingen.

Blijft het werken zoals afgesproken? Een AI-functie is niet klaar bij oplevering. Spreek af hoe u controleert of de uitkomsten blijven kloppen en wat een medewerker doet als iets niet klopt. Zorg dat u achteraf kunt terugzien wat het systeem heeft gedaan. En let op updates: past de leverancier het model aan, dan kan de functie zich anders gaan gedragen zonder dat u het merkt. Spreek af dat u daar vooraf over wordt geïnformeerd.

Wie is verantwoordelijk? Inkopen is geen uitbesteden van verantwoordelijkheid. Leg vast wat de leverancier draagt, wat de organisatie en wat de medewerker die met de uitkomst werkt. Bepaal wie de toepassing monitort en wie het gebruik mag stopzetten. Neem aansprakelijkheid, incidentafhandeling en een exitregeling op, want zonder exitafspraak zit u vast aan een functie die u niet meer wilt. Ook onder de AI Act heeft u als gebruiker eigen verplichtingen. Vraag de leverancier welke informatie u nodig heeft om die aantoonbaar na te komen.

Tot slot

U hoeft de techniek achter een AI-model niet te doorgronden. Wel moet u weten wat de functie doet, wat die oplevert en wie waarvoor verantwoordelijk is. Gebruik deze zeven vragen als vertrekpunt:

1.     Wat levert de functie op en heeft u die nodig?

2.     Wat doet de AI precies en welke invloed heeft de uitkomst op het proces?

3.     Waar gaan uw gegevens heen en blijft u zelf eigenaar?

4.     Wat betekent de functie voor uw DPIA?

5.     Hoe controleert u of de uitkomsten blijven kloppen?

6.     Wat gebeurt er als de leverancier de AI-functionaliteit wijzigt?

7.     Wie is waarvoor verantwoordelijk en wat legt u contractueel vast?

Meer weten?

Voor veel overheidsorganisaties is AI-inkoop nieuw terrein. Voor ons niet. Solviteers begeleidt al ruim 30 jaar gemeenten, provincies en omgevingsdiensten bij pakketselectie en aanbesteding en neemt AI daar inmiddels standaard in mee. We toetsen dataverwerking en security, helpen bij het herzien van uw DPIA en beoordelen de koppelingen met uw applicatielandschap. Onafhankelijk van applicatieleveranciers.