Controleer bij AI-aanbieders niet alleen de modelkwaliteit maar ook de contractstructuur: aansprakelijkheidscaps, indemnity-uitzonderingen, trainingsdefaults en opt-out-instellingen verschillen sterk per tier en per producttier. Behandel deze voorwaarden als een operationeel risico dat je per afzonderlijke werkstroom toetst, met data-routing regelt en met gedocumenteerde keuzes vastlegt.
Aanleiding is de huidige helppagina van OpenAI over datagebruik, waarin het bedrijf beschrijft dat gebruikers via de Data Controls-instelling of het privacyportaal kunnen kiezen om nieuwe gesprekken niet voor training te laten gebruiken. Tegelijkertijd blijven de Terms of Use en de Services Agreement onverminderd strikte aansprakelijkheidsgrenzen opleggen. Dat samenspel maakt duidelijk dat het risico niet alleen in het model zit, maar vooral in de voorwaarden en instellingen die achter de interface verborgen liggen.
Naar onze inschatting is dit de kern die de meeste organisaties over het hoofd zien: gemak van toegang zegt weinig over de juridische en datagovernance-defaults die op je van toepassing worden zodra je gevoelige inhoud invoert.
Welke aansprakelijkheidsgrenzen staan er in de Terms of Use van OpenAI en Google?
OpenAI stelt in zijn Terms of Use dat de gezamenlijke aansprakelijkheid wordt begrensd tot het hogere van het betaalde bedrag over de voorgaande twaalf maanden of 100 dollar, en dat indirecte, incidentele, bijzondere, gevolg- en punitieve schade zijn uitgesloten. Onder deze standaardvoorwaarden is de mogelijke verhaalbare schade voor de klant dus zeer beperkt.
Google formuleert vergelijkbare beperkingen. In zijn Terms of Service beperkt Google zijn aansprakelijkheid, sluit het indirecte en gevolgschade uit en kan de gebruiker verplicht worden Google te vrijwaren voor procedures van derden die voortkomen uit onrechtmatig gebruik. Aparte dienstspecifieke voorwaarden beperken daarnaast de aansprakelijkheid bij pre-GA-aanbiedingen en beperken of sluiten aansprakelijkheid uit voor klantmodellen en afzonderlijke aanbiedingen.
Het patroon is dus geen eigenaardigheid van één leverancier. Wie AI-aanbieders vergelijkt, doet er goed aan de aansprakelijkheidsclausules naast elkaar te leggen in plaats van ze als standaardkleine lettertjes weg te schrijven.
Hoe verschillen consumenten- en enterprise-voorwaarden op training, retentie en indemnity?
De OpenAI Services Agreement laat zien dat zakelijke voorwaarden materieel afwijken van consumentenvoorwaarden. De aansprakelijkheid onder die overeenkomst is doorgaans begrensd tot de totale vergoedingen die in de voorgaande twaalf maanden zijn betaald. Belangrijker is dat de verplichtingen tot vrijwaring (indemnification) daarvan zijn uitgezonderd, en dat de dienstspecifieke vrijwaring niet onderworpen is aan de aansprakelijkheidscap.
Dat betekent dat de risicoverdeling tussen tiers niet symmetrisch is. Datzelfde patroon van afwijkende zakelijke voorwaarden zie je ook wanneer OpenAI-modellen via een enterprise-partij als Microsoft worden afgenomen: het is de gekozen tier en de bijbehorende overeenkomst, niet het merk van het model, die bepaalt welke defaults gelden. Een overzicht van de assen waarop consumenten- en zakelijke voorwaarden uiteenlopen:
- Training: of ingevoerde inhoud standaard voor modeltraining wordt gebruikt, en of dat per producttier verschilt.
- Retentie: hoe lang gegevens worden bewaard en onder welke voorwaarden ze worden verwijderd.
- Human review: of mensen inhoud kunnen inzien, bijvoorbeeld voor kwaliteits- of misbruikcontrole.
- Aansprakelijkheidscap: de bovengrens op verhaalbare schade, die per tier anders is uitgewerkt.
- Indemnity: vrijwaringsverplichtingen die kunnen zijn uitgezonderd van de cap en zo een niet-voor-de-hand-liggend risico vormen.
OpenAI onderscheidt op zijn helppagina bovendien ChatGPT- en Codex-taken van consumentengebruik. Dat onderscheid bepaalt mede welke defaults gelden, wat de reden is om per producttier te controleren in plaats van per merk.
Wat betekenen de opt-out-instellingen voor modeltraining concreet voor gevoelig werk?
Volgens de helppagina van OpenAI over datagebruik kunnen gebruikers zich via Data Controls of het privacyportaal afmelden voor modeltraining, waarna nieuwe gesprekken volgens OpenAI niet meer worden gebruikt om de modellen te trainen. De privacyverklaring van OpenAI, bijgewerkt in september 2026, beschrijft de bredere datapraktijken en verwijst naar het contact voor de functionaris voor gegevensbescherming.
De praktische spanning is dat trainingsuitsluiting afhangt van een instelling en van de producttier, niet van de interface zelf. Wie gevoelig werk verwerkt, moet dus:
- Vaststellen welke tier daadwerkelijk wordt gebruikt en welke defaults daarbij horen.
- Controleren of opt-out voor training is ingeschakeld en dat vastleggen.
- Nagaan of retentie en eventuele human review verenigbaar zijn met de vertrouwelijkheid van de taak.
- De gemaakte keuzes documenteren als onderdeel van de AVG-verantwoording.
Deze splitsing van privacyinformatie over meerdere pagina's en instellingen is naar onze inschatting zelf een risico: de standaardconfiguratie is niet altijd de veiligste, en het bewijs van een bewuste keuze ligt bij de gebruiker.
Hoe toets ik AI-voorwaarden als operationeel risico per werkstroom?
De bronnen zeggen niets over hoe organisaties data-routing en workflow controls moeten inrichten. Dat is de open vraag die het contractmateriaal laat liggen. Onze redactionele analyse: behandel de voorwaarden als een risico-oppervlak dat je per werkstroom beoordeelt, niet als een eenmalige inkoopcheck. Concreet betekent dat een controle langs de volgende punten:
- Bepaal per werkstroom welke tier is toegestaan en blokkeer invoer van gevoelige inhoud in tiers met ruimere trainingsdefaults.
- Leg data-routing zo in dat gevoelige gegevens niet ongemerkt in een consumenten-tier belanden; hierover lees je meer bij het per werkstroom kiezen tussen lokale en cloud-AI.
- Documenteer opt-out-instellingen en retentiekeuzes per dienst, zodat de gemaakte afweging aantoonbaar is.
- Neem aansprakelijkheids- en indemnity-clausules mee in de inkoopbeoordeling; zie de selectiecriteria voor het inkopen van AI-diensten.
- Controleer waar prompts feitelijk naartoe gaan, in lijn met het controleren waar prompts uit je AI-workflow naartoe gaan.
Wie deze controles verankert in de bredere governance-aanpak, zoals beschreven in het themahub over AI-governance en beheersmaatregelen, verlegt de aandacht van modelkwaliteit alleen naar de contractuele en datagovernance-defaults die het werkelijke risico bepalen. De aansprakelijkheidscaps van OpenAI en Google en de tier-afhankelijke trainingsregels zijn daarvoor het concrete bewijs.
Bronnen en referenties
Bronnen: Het artikel steunt op de primaire voorwaarden en helppagina's van OpenAI en op de Terms of Service van Google.