Op 8 mei 2026 publiceerde het Amerikaanse Department of Energy (DOE) een Acquisition Letter AL 2026-05. Die brief maakt van AI-inkoop binnen het departement geen kwestie meer van generieke security-eisen, maar van een gedetailleerde, contractueel afdwingbare set voorwaarden. DOE stelt dat het geen AI-systemen of -diensten verwerft, ontwikkelt of operationeel inzet zonder gedocumenteerde naleving. Concreet gaat het om AI Impact Assessments, bias-tests, dataprovenance, security-architectuur, lifecyclebeheer, transparantiedocumentatie, incidentrapportage en enterprise-controls — allemaal ingebed als inkoopvoorwaarden en evaluatiecriteria.
Dat lijkt op het eerste gezicht een Amerikaanse overheidskwestie. Maar de brief is een goed leesbaar voorbeeld van een bredere verschuiving die ook voor Europese professionals relevant is: bij het inkopen van AI-diensten in hoog-impact omgevingen verschuift het gesprek van welk product naar welke bewijsbare eigenschappen.
Van generieke security naar aantoonbare eigenschappen
De DOE-brief staat niet op zichzelf. Al op 27 januari 2026 legde het Department of the Interior (DOI) in het memorandum Acquisition of Artificial Intelligence (AI) procedures vast voor inkoopplanning, marktonderzoek, bronselectie en contractadministratie rond AI. Teams moeten use cases classificeren op impact, vroegtijdig risico's rond privacy, civil rights en datarechten benoemen, anti-lock-in-bepalingen in contracten opnemen, vendor-testing en patching afdwingen, en dataportabiliteit en IP-rechten expliciteren.
Wat opvalt aan beide documenten is dat de eisen niet als vrijblijvende best practices worden geformuleerd, maar worden gekoppeld aan geschiktheid, betaling en beëindiging. Een leverancier die niet kan aantonen hoe zijn systeem met bias, databeheer of logging omgaat, komt niet in aanmerking.
De juristen van Gibson Dunn beschreven in hun analyse GSA AI Procurement Rules hoe de voorgestelde GSAR-clausule 552.239-7001 ("Basic Safeguarding of Artificial Intelligence Systems") deze lijn wil standaardiseren voor alle overheidscontracten met AI-capaciteiten. Kernpunten zijn verplichtingen rond data- en IP-rechten, transparantie over modelveranderingen, incidentmelding en auditing — met een brede definitie van 'AI-systeem' die ook embedded AI in zakelijke processen omvat.
Bredere trend, niet één departement
Dat de DOE- en DOI-brieven geen geïsoleerde gevallen zijn, blijkt uit twee andere bronnen. Vorp Labs vatte in US AI Procurement Clauses, July 2026 het landschap samen en somde typische contractvoorwaarden voor LLM-leveranciers op: openheid over supply chain en trainingsdata, een verbod op niet-geautoriseerde training op overheidsdata, safeguarding en incidentrapportage, portabiliteit en lock-in-bescherming, wijzigingsmeldingen en test- en flowdown-plichten.
Ook op deelstaatniveau tekent de beweging zich af. Morgan Lewis beschreef in California Executive Order Expands AI Oversight Through State Procurement hoe Californië AI-toezicht uitbreidt via publieke inkoop, met vendor-certificeringseisen rond schadelijke of onrechtmatige content, algoritmische bias en effecten op civil rights. Ook hier worden die eisen als selectiecriteria in contracten ingebed en moeten leveranciers aantoonbare controls tonen.
Inkoop wordt een evidentievraag
De rode draad door deze bronnen is dat het niet meer volstaat om een clausule op papier te hebben. De eisen — bias, dataprovenance, privacy, logging, impactclassificatie en menselijke controle — moeten in de praktijk aantoonbaar blijven. Dat verandert de aard van AI-inkoop: naast juridische voorwaarden ontstaat behoefte aan een verifieerbare bewijslaag die laat zien dat de geselecteerde diensten ook tijdens gebruik aan de afspraken voldoen.
Voor professionals die met vertrouwelijke informatie werken — advocaten, notarissen, bedrijfsartsen, journalisten, onderzoekers en compliance-teams — is dat geen abstracte overheidskwestie. Wie AI inzet op gevoelige dossiers, zal bij aanbesteding, contractmanagement en herselectie steeds vaker moeten kunnen laten zien hoe met data en output wordt omgegaan.
Wat dit betekent voor een verificatieconsole
Op dit punt raakt het nieuws aan het werk van I am Vera. Vera is geen taalmodel of chatbot, maar een privacy-gerichte verificatielaag. De Semantic Privacy Shield is zo ontworpen dat voorbewerking en anonimisering op EU-infrastructuur plaatsvinden en dat de workflow alleen geanonimiseerde inhoud naar de geselecteerde AI-modellen stuurt; bij een mislukte privacycontrole wordt niets doorgestuurd.
Precies die logica sluit aan bij de eisen die DOE, DOI en de GSA-voorstellen formuleren rond dataprovenance, privacy en logging. Een console die verificatiestappen zichtbaar maakt en meerdere modellen tegen elkaar afzet, kan helpen om controle mogelijk te maken op punten die inkoopvoorwaarden nu expliciet vragen: is de output te herleiden, is de invoer beschermd, en is het proces te documenteren? Vera garandeert daarbij geen correctheid of waarheid en elimineert geen fouten — het maakt de controle inzichtelijker, terwijl het professionele eindoordeel bij de gebruiker blijft. Via de evidence-laag ontstaat zo materiaal dat bij audits en herselectie bruikbaar kan zijn.
De les uit de Amerikaanse inkoopbrieven is nuchter: AI-diensten selecteren is niet langer alleen een productkeuze. Het is een vraag naar bewijs. Wie die vraag serieus neemt, richt zijn werkwijze zo in dat naleving niet alleen contractueel is vastgelegd, maar ook in de dagelijkse praktijk zichtbaar en controleerbaar blijft.