Onder artikel 25 van de EU AI Act moeten partijen in de waardeketen van een hoog-risico AI-systeem in een schriftelijke overeenkomst vastleggen welke informatie, technische toegang en assistentie nodig zijn om aan de AI Act-verplichtingen te voldoen. Volgens de officiële toelichting van de AI Act Service Desk moet de oorspronkelijke aanbieder daarbij nauw samenwerken met nieuwe aanbieders. In de praktijk betekent dit dat een AI-contract in 2026 concreet moet regelen: welke logs, documentatie en modelversies opvraagbaar zijn voor audits, binnen welke termijnen klanten en toezichthouders die krijgen, en hoe leveranciers meewerken aan keten-audits.
Contractgidsen en clausulebibliotheken uit 2026 vertalen dit naar expliciete auditrechten op gebruikslogs, security-rapporten, modelcards en outcome-bewijs. Auditbaarheid is daarmee geen vrijblijvende due-diligenceclausule meer, maar een regulatie-gedreven verplichting die je vooraf onderhandelt en technisch inricht.
Voor wie AI inzet in hoog-trust werk — advocatuur, zorg, finance, overheid — is de praktische consequentie direct: onderhandel niet alleen over prijs en prestaties, maar leg vast welk bewijs je later kunt opvragen om aan te tonen wat een systeem heeft gedaan. Deze verschuiving hoort thuis in de EU AI Act en compliance themahub.
Wat schrijft artikel 25 AI Act voor over informatie en toegang in de keten?
De toelichting van de AI Act Service Desk op artikel 25 beschrijft de verantwoordelijkheden langs de AI-waardeketen. Kern is dat een schriftelijke overeenkomst tussen partijen moet specificeren welke informatie, technische toegang en overige assistentie nodig zijn om aan de verplichtingen uit de verordening te voldoen. De oorspronkelijke aanbieder moet daarbij samenwerken met partijen die verderop in de keten een systeem doorontwikkelen of inzetten.
Dat verandert de aard van de afspraak. Waar toegang tot documentatie en logs eerder vaak een kwestie van goede wil was, wordt het nu een voorwaarde om überhaupt aantoonbaar compliant te kunnen zijn. Zonder contractueel geregelde toegang tot bewijs kan een deployer zijn eigen verplichtingen niet onderbouwen. Deze verschuiving sluit aan bij een bredere beweging in AI-governance, waarin principes plaatsmaken voor toetsbare controleplichten.
Welke logs, documenten en bewijzen moet een AI-contract opvraagbaar maken?
Recente praktijkbronnen geven concreet aan welke bewijselementen een geloofwaardig AI-contract moet dekken. De supply-chaingids van Sota.io over AI-API-contracten onder de AI Act beschrijft voorbeeldclausules waarin klanten een auditrecht krijgen op documentatie, de instructies uit artikel 13 en de post-market-monitoringrecords uit artikel 72, met een retentie van tien jaar en overdraagbaarheid van compliance-documentatie bij contractbeëindiging. Een analyse van Atonement Licensing over auditrechten in enterprise-contracten voegt daar rechten op volledige gebruikslogs, outcome-attributie en onafhankelijke billing-audits aan toe.
Op basis van deze bronnen komen de volgende bewijselementen terug als kern van een auditbaar AI-contract:
- Machine-leesbare gebruikslogs met tijdstempels, token-counts en modelversies, met een vastgelegde retentietermijn (Atonement Licensing noemt minimaal twaalf maanden).
- Technische documentatie en modelcards, inclusief de instructies uit artikel 13 en datasetdocumentatie.
- Security-auditrapporten zoals SOC 2 en ISO 27001.
- Model-changelogs met voorafgaande melding van wijzigingen.
- Outcome- en billing-bewijzen waar relevant, zodat resultaten en kosten controleerbaar zijn.
- Duidelijke termijnen en remedies voor het aanleveren van bewijs en voor het geval toegang wordt geweigerd.
Een blog van ContentWave over de impact van AI Act-handhaving op enterprise-LLM-inkoop stelt dat procurementteams audit- en inspectierechten, minimumloggingstandaarden en veilige logtoegang steeds vaker in RFP's en SLA's opnemen, met conformiteitsevidence, modelcards en datasetdocumentatie als auditbare deliverables. Naar onze inschatting is de belangrijkste stap hier het onderscheid tussen een abstract auditrecht en een concreet recht om gedefinieerde datasets binnen een afgesproken termijn te ontvangen — dat tweede maakt het verschil tussen papier en bewijs.
Hoe vertaal je contractuele auditrechten naar een verifieerbare workflow?
Een auditrecht op papier heeft pas waarde als de onderliggende bewijssporen ook daadwerkelijk bestaan, doorzoekbaar zijn en aan de juiste workflow gekoppeld zijn. Dat sluit aan bij de bredere verschuiving van logplicht naar reconstructieplicht: het gaat niet alleen om het bewaren van gegevens, maar om het kunnen tonen wat er in een specifiek proces gebeurde.
Als je auditbaarheid technisch wilt inrichten, is deze volgorde bruikbaar:
- Bepaal per hoog-trust workflow welke bewijsmiddelen contractueel zijn toegezegd (logs, documentatie, modelversies, outcome-bewijs).
- Zorg dat die bewijsmiddelen per run vastgelegd en herleidbaar zijn, inclusief welke modellen en data zijn gebruikt.
- Leg vast wie toegang heeft en hoe een audit — intern of extern — praktisch verloopt.
- Toets of de aangeleverde bewijssets aansluiten op de afgesproken auditrechten en retentietermijnen.
In dit architectuurbeeld past een verificatielaag als IamVera.ai. Vera is geen chatbot en geen eigen taalmodel, maar een privacygerichte verificatielaag die een taak door geselecteerde onafhankelijke AI-modellen kan routeren en verificatiestappen, correcties, onenigheid en bronnen zichtbaar maakt voor inspectie. Dat ondersteunt controle, maar garandeert geen correctheid; het maakt controle mogelijk zonder hallucinaties uit te sluiten. De voorbewerking en anonimisering vinden plaats op EU-infrastructuur; de workflow is ontworpen om alleen geanonimiseerde inhoud naar de gekozen modellen te sturen, en bij een mislukte privacycontrole wordt niets doorgestuurd.
Zo'n zichtbare bewijslaag per workflow voegt geen nieuwe verplichtingen toe, maar maakt inzichtelijk welke bewijssets onder een AI-workflow vallen en hoe ze in audits of geschillen zijn ingezet. Het professionele eindoordeel blijft bij de gebruiker. Voor teams die dit toepassen op juridisch werk, is een verdedigbare workflow voor juridisch onderzoek een concreet vertrekpunt om auditrechten en bewijslevering samen te ontwerpen.
Bronnen en referenties
Bronnen: Het artikel steunt op de officiële toelichting van de AI Act Service Desk op artikel 25 en op contractanalyses van Sota.io, Atonement Licensing en ContentWave.