Hoe u de AI-sectie van een securityvragenlijst beantwoordt — de methode, van begin tot eind

Laatst geverifieerd: 14 juli 2026. Educatieve inhoud, geen juridisch advies.

Onze deliverables en support zijn in het Engels — de standaardtaal van enterprise security reviews. Deze pagina is een getrouwe vertaling van onze Engelstalige gids.

Uw koper stuurde een vendor assessment. Ergens rond pagina vier begint de AI-sectie: welke modellen gebruikt u, wordt er met klantdata getraind, voldoet u aan de EU AI Act. Niemand in uw team heeft er eerder een beantwoord, de deal wacht, en elk fout antwoord is later terug te vinden. Dit is de methode waarmee wij elke opdracht aanpakken — ze werkt, of de vragenlijst nu een AI-CAIQ is, een SIG 2026, of een maatwerk-spreadsheet van de koper.

Stap 1 — Bouw de inventaris voordat u iets beantwoordt

Een derde tot de helft van elke AI-sectie volgt uit één artefact: de inventaris van AI-systemen. Eén pagina, één rij per AI-functionaliteit:

• Wat de functionaliteit doet (bijv. "conceptgeneratie uit klantdocumenten")
• Model en aanbieder (OpenAI / Anthropic / Google / self-hosted), en of u fine-tunet
• Welke klantdata het model bereikt, en in welke regio die wordt verwerkt
• Menselijk toezicht (wie de output reviewt, wanneer dat verplicht is)
• Logging en retentie van prompts/outputs
• Disclosure richting gebruikers (labels, meldingen)
• Of de aanbieder op uw publieke subprocessorlijst staat, en de DPA die u met hem hebt

Beantwoord de vragenlijst vanuit de inventaris en elk antwoord blijft consistent — inconsistentie tussen antwoorden is aanleiding nummer één voor vervolgrondes van de koper.

Stap 2 — Behandel de trainingsdata-vraag in twee lagen

"Wordt klantdata gebruikt om AI-modellen te trainen of te fine-tunen?" vraagt om een antwoord in twee lagen: uw eigen praktijk (u fine-tunet niet) en de contractuele voorwaarden van uw aanbieder. Enterprise-API's van de grote aanbieders trainen standaard niet op API-data — maar controleer de versie van de DPA die u daadwerkelijk hebt ondertekend voordat u dit schriftelijk stelt. Het citeren van de specifieke overeenkomst is het verschil tussen een antwoord dat de vraag afsluit en een dat drie vervolgvragen oproept.

Stap 3 — Overleef "Voldoet u aan de EU AI Act?"

Nooit een algemeen "ja" — juridische reviewers behandelen dat als een rode vlag. Vier delen:

1. Classificatie: de meeste B2B SaaS is beperkt/minimaal risico — buiten de hoog-risico-use-cases van bijlage III van de AI-verordening (Verordening (EU) 2024/1689). Zeg dat expliciet.
2. Toepasselijke verplichtingen: doorgaans art. 50 transparantie (vanaf 2 augustus 2026 — niet uitgesteld door de Digital Omnibus) en art. 4 AI-geletterdheid (sinds 2 februari 2025). Pas op voor de valkuil aanbieder vs. gebruiksverantwoordelijke: een SaaS die een model onder eigen merk levert, draagt de aanbiedersverplichtingen van art. 50, lid 1 — onze Artikel 50-gids behandelt de volledige kaart.
3. Bestaande maatregelen: de controles die u werkelijk uitvoert, feitelijk geformuleerd.
4. Lopend werk: de echte gaps, elk met een plan.

Stap 4 — Formuleer gaps met de formule die procurement accepteert

Stap 5 — Markeer wat alleen een jurist kan beantwoorden

Vragen over gereguleerde sectoren, biometrie, arbeidsbeslissingen of kredietscoring kunnen uw juridische classificatie veranderen. Gokken is hoe leveranciers eindigen met vragenlijstantwoorden die hun eigen contracten tegenspreken. Markeer die items als "onder juridische review" — één gemarkeerde vraag leest als zorgvuldigheid, tien foute als nalatigheid.

De tijdsinvestering (en de kortere weg)

Voor het eerst in-house gedaan is dit realistisch gezien één tot twee weken aandacht van een founder of engineer — midden in de deal, wanneer momentum het meest telt. Dat is de ruil waarvoor wij bestaan: wij leveren het complete concept — elk antwoord, de gap-samenvatting, de inventaris — binnen 48 uur voor $490 vast, betaald na levering, alles gemarkeerd voor uw review vóór indiening. En wilt u bewijs voordat u zich committeert: stuur de vragenlijst en wij beantwoorden de eerste 3 vragen gratis, zodat u het werk zelf beoordeelt. Bekijk hier een volledig voorbeelddeliverable.