Artikel 25 AI Act maakt auditrechten in AI-contracten tot wettelijke plicht

Je moet in elk AI-contract voor hoog-risico systemen schriftelijk vastleggen welke logs, documentatie en technische toegang beschikbaar zijn voor audits — dit is niet langer optioneel, maar een wettelijke verplichting onder artikel 25 van de EU AI Act.

Aan de basis van deze verplichting staat artikel 25 van de EU AI Act, dat partijen in de AI-waardeketen verplicht schriftelijk vast te leggen welke informatie, technische toegang en assistentie nodig zijn om aan de verordening te voldoen. Dit argument steunt op de officiële toelichting van de AI Act Service Desk. In de praktijk betekent dit dat je moet regelen welke logs, modelversies en documentatie opvraagbaar zijn, binnen welke termijnen klanten en toezichthouders deze krijgen, en hoe leveranciers meewerken aan keten-audits. In onze inschatting is het cruciale verschil dat auditbaarheid niet langer een kwestie van goede wil is, maar een voorwaarde om überhaupt aantoonbaar compliant te kunnen zijn.

Wat verandert er in je contractuele verplichtingen?

Waar toegang tot documentatie en logs eerder vaak informeel werd geregeld, wordt het nu een expliciete contractuele voorwaarde. Je kunt je eigen verplichtingen onder de AI Act niet onderbouwen zonder contractueel geregelde toegang tot bewijs. Dit sluit aan bij een bredere verschuiving in AI-governance, waarin principes plaatsmaken voor toetsbare controleplichten.

Recente praktijkbronnen geven aan welke bewijselementen een geloofwaardig AI-contract moet dekken. Contractgidsen vertalen artikel 25 naar expliciete auditrechten op gebruikslogs, security-rapporten, modelcards en outcome-bewijs. Procurementteams nemen audit- en inspectierechten, minimumloggingstandaarden en veilige logtoegang steeds vaker in RFP's en SLA's op, met conformiteitsevidence en datasetdocumentatie als auditbare deliverables.

Welke bewijselementen moet je contractueel regelen?

• Gebruikslogs en outcome-attributie — volledige registratie van inputs, outputs en beslissingen per workflow, met duidelijke koppeling tussen vraag en antwoord.
• Documentatie en modelcards — technische beschrijving van het systeem, trainingsgegevens, prestatiemetingen en bekende beperkingen.
• Retentie en overdraagbaarheid — minimaal tien jaar bewaring van compliance-documentatie en het recht om deze over te dragen bij contractbeëindiging.
• Inspectierechten voor toezichthouders — expliciete toegang voor regelgevers en onafhankelijke auditors zonder voorafgaande toestemming van de leverancier.
• Logtoegang en veiligheid — gedefinieerde kanalen voor veilige opvraag van geanonimiseerde of gepseudonimiseerde logs binnen afgesproken termijnen.

Hoe zet je auditbaarheid technisch in?

Auditrechten op papier hebben alleen waarde als de onderliggende bewijssporen daadwerkelijk bestaan, doorzoekbaar zijn en aan de juiste workflow gekoppeld zijn. Dit vereist een verschuiving van loggingplicht naar reconstructieplicht: het gaat niet alleen om het bewaren van gegevens, maar om het kunnen tonen wat er in een specifiek proces gebeurde.

Deze volgorde helpt:

1. Definieer per workflow welke inputs, outputs en tussenliggende stappen geregistreerd moeten worden — vastleggen welke bewijselementen onder elk AI-systeem vallen.
2. Zorg voor geanonimiseerde of gepseudonimiseerde opslag van logs — zet privacycontroles in voordat gegevens worden opgeslagen of gedeeld.
3. Maak verificatiestappen zichtbaar voor inspectie — toon hoe correcties, onenigheid en bronnen zijn ingezet in een specifieke taak.
4. Regel overdracht van bewijssets bij geschillen of audits — definieer welke datasets binnen welke termijn beschikbaar moeten zijn.
5. Documenteer de workflow zelf — leg vast hoe het systeem is ingezet, welke menselijke controle plaatsvond en welke beslissingen zijn genomen.
6. Test toegang vooraf — verifieer dat je leverancier daadwerkelijk kan leveren wat je contractueel hebt afgesproken.

Wat kan tooling doen en wat niet?

Verificatielagen kunnen workflows zichtbaar maken en controle ondersteunen, maar garanderen geen correctheid. Ze maken controle mogelijk zonder hallucinaties uit te sluiten. Voor teams die dit toepassen op juridisch werk of ander hoog-trust werk, is een verdedigbare workflow voor onderzoek een concreet vertrekpunt om auditrechten en bewijslevering samen te ontwerpen.

De voorbewerking en anonimisering kunnen op EU-infrastructuur plaatsvinden, en workflows kunnen zo ontworpen worden dat alleen geanonimiseerde inhoud naar externe modellen gaat. Bij een mislukte privacycontrole wordt niets doorgestuurd. Zo'n zichtbare bewijslaag per workflow voegt geen nieuwe verplichtingen toe, maar maakt inzichtelijk welke bewijssets onder een AI-workflow vallen en hoe ze in audits of geschillen zijn ingezet.

Het professionele eindoordeel blijft bij jou. Tooling kan de bewijssporen organiseren en toegankelijk maken, maar kan niet bepalen of een beslissing rechtmatig was of of een systeem voldoet aan je bedrijfsstandaarden. Die beoordeling is en blijft jouw verantwoordelijkheid.