AI voor bedrijfsjuristen: weet wat er echt waar is in je eigen registers

Een leverancierscontract eindigt op 1 november, dus het voelt als een probleem voor het najaar. De opzegtermijn van drie maanden maakt het een probleem voor deze week, en in het register staat de einddatum in de kolom waar je oog naartoe gaat en de opzegtermijn in de kolom die je overslaat. Mis je het, dan rolt het contract een jaar door tegen een prijs die je niet opnieuw hebt onderhandeld. De wettelijke bescherming tegen stilzwijgende verlenging geldt vooral voor consumenten; tussen bedrijven heb je daar grotendeels niets aan. Juist daarom is die agenda van jou. Het is de zuurste manier om afgerekend te worden: juridisch ging er niets mis, er ging alleen een datum voorbij.

Vóór een audit tel je handtekeningen, en die telling komt nooit netjes uit. Sommige verwerkers tekenden, sommige liggen in concept, en van minstens één ligt er niets terwijl hij klantdata raakt. Erger is de laag eronder: onder artikel 28 lid 1 AVG mag je alleen verwerkers inschakelen die afdoende garanties bieden, en de Europese privacytoezichthouders (EDPB) kwamen in Opinie 22/2024 terug op de vraag hoever een verwerkingsverantwoordelijke mag afgaan op zijn verwerkers en subverwerkers. Weten wie er werkelijk in je keten zit is jouw verplichting, niet die van je leverancier, en de subverwerker die nooit in kaart is gebracht is het eerste document waar een auditor om vraagt.

In april gaat een marketingtool live op een bedrijfskaart. Geen intake, geen regel in het artikel 30-register, geen beoordeling. Je verwerkingsregister is compleet en tegelijk onjuist, want het kan alleen compleet zijn over wat er ooit is aangemeld. Dit is het dure gat: IBM's Cost of a Data Breach Report 2025 vond dat datalekken met veel schaduw-AI gemiddeld USD 670.000 boven het wereldwijde gemiddelde van USD 4,44 miljoen kosten, dat 20% van de getroffen organisaties via schaduw-AI werd gecompromitteerd, en dat 97% van de organisaties met een AI-gerelateerd lek geen goede toegangscontrole op AI had. Je kunt niet beoordelen wat nooit bij je is gemeld.

Vraag welke leverancierscontracten de komende 90 dagen stilzwijgend verlengen en je krijgt de leverancier, de einddatum, de opzegtermijn, het aantal dagen dat je nog hebt en welke nog binnen het venster zitten, gelezen uit het contractenregister op je eigen schijf, met de versie erbij. De telling sluit, dus je kunt het doorsturen zonder het met de hand na te lopen. Jij beslist nog steeds of je opzegt, heronderhandelt of laat lopen. Wat verandert is dat je die beslissing neemt met nog elf dagen te gaan, in plaats van dat je erachter komt via de verlengingsfactuur.

Vraag wat er vóór de audit nog mist en je krijgt de indeling die je week bepaalt: wat in concept ligt kost een handtekening, waar niets van ligt is een escalatie, en de dossiers waarvan de keten van subverwerkers onbekend is open je als eerste. Staat er in het bestand dat het om bijzondere persoonsgegevens gaat of om een doorgifte buiten de EER, dan zegt hij dat. Zwijgt het bestand erover, dan zegt hij dat ook, in plaats van het gat met een aanname te vullen. Je krijgt een werklijst die je regel voor regel kunt verdedigen.

Leg je het artikel 30-register naast de uitgaven op de bedrijfskaart, dan komen de tools boven water die wel betaald zijn maar nooit zijn aangemeld. Dat is de ene controle die vindt wat je niet wist te missen. En hij bewaakt de grens die je rol vereist: hij markeert dat een tool die klantdata raakt bovenaan je beoordelingslijst hoort, maar concludeert niet dat de verwerking onrechtmatig is en tekent geen DPIA namens jou af. Hij noemt de criteria uit artikel 35 lid 3 AVG en laat de beoordeling waar die hoort, bij jou.