EU AI Act: wat betekent de nieuwe AI-wetgeving voor publieke inkoop?

Leestijd: 5 minuten · Categorie: AI in publieke inkoop

De EU AI Act is niet langer een ver-van-mijn-bedshow. Sinds augustus 2025 zijn de regels voor algemene AI-modellen van kracht en de transparantieplichten gelden vanaf augustus 2026. Zware eisen voor hoogrisico-toepassingen volgen uiterlijk eind 2027. Voor instellingen en publieke organisaties is vrijblijvend experimenteren met slimme software hiermee voorbij. Werk je met publiek geld of instellingsbudgetten, dan gelden er strenge eisen voor transparantie, databescherming en verantwoording.

Tegelijkertijd blijft de druk op inkoopafdelingen hoog. Teams zijn klein, dossiers stapelen zich op en het schrijven van aanbestedingsdocumenten kost tientallen uren. Tooling kan uitkomst bieden, maar een verkeerde keuze brengt rechtmatigheidsrisico’s met zich mee richting accountant en toezichthouder. Hoe ga je met deze spanning om?

Het effect op je dagelijkse inkoopproces

De Europese AI-regels delen toepassingen in op basis van risico. Binnen inkoop en aanbesteding raken de regels vooral drie specifieke taken:

Inhoudelijke voorbereiding en documentatie

Het opstellen van een programma van eisen, een leidraad of gunningscriteria bepaalt wie er kan inschrijven op een aanbesteding. Een slimme documentgenerator zet dit werk in een handomdraai voor je klaar, maar de inhoudelijke verantwoordelijkheid blijft altijd bij jouw organisatie liggen.

Spend-analyses en leveranciersdata

Het automatisch groeperen van uitgaven en controleren van inkoopgrenzen maakt spend inzichtelijk. Omdat hier organisatie- en leveranciersdata bij komen kijken, gelden er strikte voorwaarden voor opslag en verwerking.

Beoordeling en uitvragen

Transparantie en gelijke behandeling zijn wettelijke vereisten. Elke uitkomst of score in een inkooptraject moet uitlegbaar zijn aan inschrijvers, bestuurders en accountants. Kun je niet uitleggen hoe een score tot stand kwam, dan heb je een probleem. Bij de rechter en bij de accountant.

Schaduw-AI als risico

Het grootste risico zit zelden in de software die is aangeschaft. Het zit in de manier waarop je ermee omgaat en de acties die tussendoor gebeuren.

Kopieer je conceptstukken, specificaties of inkoopdata naar gratis online chatbots om snel een tekst te herschrijven? Begrijpelijk als je werkdruk hoog is, maar het betekent ook dat je vertrouwelijke inkoopinformatie op externe servers buiten Europa deelt. Soms wordt het gebruikt als trainingsdata of komt het terug in een antwoord van een andere gebruiker.

Sinds februari 2025 verplicht de AI Act organisaties om te zorgen dat je medewerkers AI-geletterd zijn. Dat houdt in dat ze weten hoe ze om moeten gaan met AI-tools. Je kunt je niet langer verschuilen achter niet weten wat je team doet. Losse online tools gebruiken zonder heldere kaders brengt directe AVG- en rechtmatigheidsrisico's met zich mee en die moet je voorkomen.

Vier voorwaarden voor een compliant inkoopproces

Om zonder zorgen gebruik te maken van de voordelen van AI, moet je inkoopproces aan vier voorwaarden voldoen:

1. Datasoevereiniteit in Europa

Je data blijft binnen een afgeschermde omgeving in de EU en valt onder Europese wetgeving. Informatie over jouw inkoop, contracten of leveranciers wordt nooit gebruikt om externe modellen van derden mee te trainen. Wat van jouw organisatie is, blijft van jou.

2. De mens is eindverantwoordelijk

Volledig automatische besluiten zijn in de publieke sector ondenkbaar. AI bereidt voor, clustert data en stelt conceptteksten op. De inkoper kiest de strategie, past inhoud aan en ondertekent het dossier. De verantwoordelijkheid blijft 100% bij het team.

3. Traceerbaar en audit-proof

Elke stap in het proces moet te verantwoorden zijn. Welke bronnen zijn gebruikt, welke randvoorwaarden zijn toegepast en wat is er aangepast? Een sluitende audittrail zorgt ervoor dat de accountant het dossier direct kan goedkeuren. Biedt een AI-tool dit niet? Dan is de tool automatisch niet bruikbaar in de publieke sector.

4. Bewezen normen en certificering

Certificeringen zoals ISO 27001 (voor informatiebeveiliging) en ISO 42001 (voor AI-managementsystemen) tonen aan dat een leverancier de beveiliging en compliance op orde heeft. Daar wil je zeker van zijn voor je met een AI-tool werkt.

In drie stappen grip

Je hoeft je werkwijze niet van de ene op de andere dag om te gooien om helemaal AI-ready te zijn. Met deze drie stappen, in deze volgorde, richt je het proces gestructureerd in:

Breng het huidige AI-gebruik in kaart

Vraag je team welke AI-tools ze gebruiken, ook de gratis tools. Zo krijg je helder waar inkoopdata op dit moment staat.

Stel duidelijke interne kaders op

Leg in een kort document wat de AI-policy van de organisatie is. Welke data mag nooit in een publieke tool? Wie beoordeelt een AI-voorstel voordat het een besluit wordt? Hoe leg je vast wat het systeem heeft gedaan? Vat in een aantal pagina’s helder samen wat er mag en wat niet.

Stap over van losse bestanden naar één centrale cockpit

Vervang versnipperde Excel-lijsten, Word-documenten en gratis AI-tools door één veilige werkomgeving. Wanneer databescherming en audittrails in de software zijn ingebouwd, hoef je de compliance niet meer per aanbesteding te regelen, omdat het standaard in de werkwijze zit.

Innovatie hoeft niet te wachten

Het klinkt alsof je een hoop obstakels moet nemen voordat je compliant met AI kunt werken. Toch hoeft de EU AI Act innovatie niet te remmen. Het dwingt je alleen om te kiezen welke tools je gebruikt en hoe je het inricht. Wie kiest voor een private, Europese en gecertificeerde AI-omgeving, met de mens aan het stuur en een sluitende audittrail, kan gewoon doorwerken.

AQWIRE is gebouwd volgens de bovengenoemde principes. Wil je zien hoe dat werkt voor jouw organisatie? Boek een 1-op-1 governance- of demosessie. In een uur laten we zien hoe je inkoop AI Act-proof inricht, met je eigen data als voorbeeld.