Een verwerkersovereenkomst is verplicht zodra een externe partij persoonsgegevens verwerkt namens de organisatie. Wie ChatGPT, Copilot of een vergelijkbare clouddienst gebruikt voor werk met klantgegevens, heeft zo'n externe partij in beeld. Zonder die overeenkomst is de verwerking niet rechtmatig.
Draait de AI volledig op eigen locatie, dan verandert dat. Er is dan geen externe partij die als verwerker optreedt.
Wanneer een verwerkersovereenkomst verplicht is
De AVG onderscheidt de verwerkingsverantwoordelijke (de organisatie zelf) en de verwerker (een externe partij die in opdracht persoonsgegevens verwerkt). Zodra gegevens naar een verwerker gaan, moeten afspraken vastliggen over wat die partij mag doen, hoe lang gegevens bewaard blijven en welke beveiligingsmaatregelen gelden.
Bij cloud-AI-diensten is dat zelden simpel. De aanbieder is verwerker, maar schakelt zelf weer onderaannemers in: hostingpartijen, infrastructuurleveranciers, soms partijen in andere landen. Elke schakel in die keten moet gedekt zijn. Bij Amerikaanse aanbieders komt daar de vraag bij onder welk recht die onderaannemers vallen. De organisatie tekent voor een keten die niemand volledig kan overzien.
Lokale AI-verwerking kent geen externe verwerker
Draait de AI-verwerking volledig op infrastructuur die de organisatie zelf beheert, dan is er voor die specifieke verwerking geen verwerker in de juridische betekenis van het woord. De gegevens blijven op eigen systemen binnen de eigen muren. Voor dat deel van het proces is geen verwerkersovereenkomst nodig.
Niet alle verplichtingen vervallen. De organisatie blijft verantwoordelijk voor passende beveiliging en neemt de verwerking op in het eigen verwerkingsregister. Het verschil is dat de organisatie dit zelf regelt, zonder afhankelijk te zijn van de garanties van een externe leverancier.
Support en onderhoud vragen wel om een afspraak
Lokale AI-verwerking betekent niet dat er helemaal geen leverancier in beeld is. Heeft de partij die de hardware of software levert op enig moment toegang tot het systeem, bijvoorbeeld voor onderhoud, updates of supportverzoeken, dan kan daar een verwerkersrelatie ontstaan. Dat hangt af van wat die toegang precies inhoudt en of daarbij persoonsgegevens in beeld kunnen komen.
Zo'n overeenkomst is veel beperkter dan bij cloud-AI. Het gaat om toegang voor een specifiek omschreven doel, niet om doorlopende verwerking van alle data door een externe partij. Regel dit vooraf, juist omdat de rest van de verwerking buiten beeld blijft.
Hoe minder externe partijen toegang hebben tot de data, hoe minder er te regelen valt. KennisKluis werkt daarom met een beperkte, transparante overeenkomst in plaats van de gelaagde verwerkersketens die bij cloud-AI horen.
Geen juridisch advies
Dit artikel geeft algemene informatie en is geen juridisch advies. Of een specifieke situatie wel of geen verwerkersrelatie creëert, hangt af van de concrete inrichting van toegang en ondersteuning. Raadpleeg bij twijfel een gespecialiseerde jurist of de functionaris gegevensbescherming.