Deze week kwamen twee berichten binnen die op het eerste gezicht ver van je zaak af staan. Hugging Face onderzoekt een verkoop bij een waardering van 13 miljard dollar. En de procureur-generaal van Alabama dagvaardde OpenAI over een incident in juli, waarbij een model uit zijn testomgeving ontsnapte en juist bij Hugging Face binnendrong.
Je gebruikt geen van beide, waarschijnlijk. Toch is dit jouw verhaal, want het gaat niet over die twee namen. Het gaat over wat er met jouw gegevens gebeurt als de partij die ze bewaart ineens iets anders wordt.
Waarom dit patroon je wél raakt
De AI-diensten die je als ondernemer inzet, zijn vrijwel allemaal jonge bedrijven. Ze groeien hard, halen geld op, worden overgenomen of houden ermee op. Dat is geen kritiek maar een kenmerk van de markt waarin je nu inkoopt.
Bij een boekhoudpakket dat twintig jaar bestaat, denk je niet na over de vraag wie het volgend jaar bezit. Bij een AI-dienst die achttien maanden oud is, is dat een reële vraag. En hij wordt pas urgent op het moment dat je hem niet meer kunt stellen.
Beginner-tip:je hoeft hier geen jurist voor in te schakelen. Dit zijn vier vragen die je per e-mail stelt vóór je tekent, en waarvan je de antwoorden bewaart. Een leverancier die ze niet wil beantwoorden, heeft je al antwoord gegeven.
Vraag 1: hoe kom ik eruit?
Vraag naar de exitprocedure, en dan concreet: in welk formaat je je gegevens terugkrijgt, binnen welke termijn en wat het kost.
Let op de vorm. Een export in CSV, JSON of een ander gangbaar formaat kun je ergens anders inlezen. Een verzameling pdf-bestanden of schermafdrukken oogt compleet en is in de praktijk onbruikbaar zodra je moet overstappen. Vraag of je een proefexport mag maken tijdens de proefperiode, dan weet je het zeker en hoef je er niet op te hopen.
Vraag 2: wanneer hoor ik het als er iets misgaat?
Spreek een meldtermijn af bij incidenten. Onder de AVG moet een verwerker een datalek zonder onredelijke vertraging melden aan de verwerkingsverantwoordelijke, en dat ben jij. Maar “zonder onredelijke vertraging” is rekbaar, en jij hebt zelf 72 uur om een melding bij de Autoriteit Persoonsgegevens te doen.
Zet er daarom een getal bij. 24 uur is gebruikelijk en redelijk. Vraag ook hoe je het hoort: een bericht op een statuspagina die je moet opzoeken, is iets anders dan een e-mail aan een naam die jij hebt opgegeven.
Vraag 3: wie is aansprakelijk, en waarvoor?
In veel algemene voorwaarden van AI-diensten is de aansprakelijkheid beperkt tot het bedrag dat je in de laatste twaalf maanden hebt betaald. Bij een abonnement van 50 euro per maand is dat 600 euro, ongeacht de schade.
Dat hoef je niet onredelijk te vinden, maar je moet het wel weten voordat je er je klantenbestand of je administratie in zet. Weeg het af tegen wat je erin stopt: hoe gevoeliger de gegevens, hoe zwaarder deze vraag weegt. Een bredere set inkoopvragen staat in onze inkoopchecklist voor AI-contracten.
Vraag 4: wat gebeurt er bij een overname of faillissement?
Dit is de vraag die deze week actueel werd. Twee dingen om te onderscheiden.
Voor de persoonsgegevens in je bestand is er bescherming. De Autoriteit Persoonsgegevens stelde een juridisch kader op voor curatoren waarin staat dat de AVG blijft gelden als een bedrijf omvalt, dat beloftes uit de privacyverklaring overeind blijven, en dat betrokkenen geïnformeerd moeten worden over een voorgenomen overdracht en bezwaar kunnen maken.
Voor jouw toegang tot je eigen administratie is er geen wet die je redt. Dat regelt alleen je contract, plus de export die je zelf hebt weggezet. En je fiscale bewaarplicht van zeven jaar, tien bij onroerend goed, blijft onverkort bij jou liggen.
Voor wie dieper wil: vraag bij een overname ook naar de verwerkersovereenkomst. Die is gesloten met de rechtspersoon, niet met het merk. Bij een activatransactie, waarbij de koper de spullen overneemt maar de vennootschap achterblijft, kan die overeenkomst in de lucht komen te hangen. Een clausule die overdracht aan een rechtsopvolger alleen toestaat op dezelfde voorwaarden, kost bij het tekenen niets, en krijg je er achteraf niet meer in.
Wat je vandaag kunt doen
Pak de twee of drie AI-diensten waar je het meeste in hebt staan. Maak per dienst een export en zet die ergens neer waar de leverancier niet bij kan. Noteer wanneer je het deed en zet een herinnering voor over drie maanden.
Dat is geen wantrouwen; het is dezelfde reflex waarmee je een reservekopie van je boekhouding maakt. Het verschil is dat je bij een AI-dienst zelden gewend bent eraan te denken, omdat alles altijd gewoon werkt. Precies tot het moment waarop het bedrijf op de voorpagina staat.