In het kort
AI-software voor tenderteams in België moet je beoordelen op dezelfde vragen als elke andere verwerker van gevoelige gegevens: waar staan je documenten, is er een verwerkersovereenkomst, traint de leverancier modellen op jouw offertes, welke subverwerkers zijn er, wie heeft toegang en hoe lang wordt er bewaard? Een tenderdossier bevat persoonsgegevens (cv's van sleutelpersoneel, contactpersonen bij referenties) en vertrouwelijke bedrijfsinformatie zoals offerteprijzen. Gebruik de checklist hieronder in je demo. TenderRender is ISO 27001-gecertificeerd, slaat gegevens op in de EU en traint niet op je documenten.
Waarom GDPR in een tenderteam meer is dan een vinkje
Wie inschrijft op een Belgische overheidsopdracht, verzamelt meer persoonsgegevens dan hij denkt. Het bestek vraagt cv's van de projectleider en het sleutelpersoneel, een organigram met namen, referenties met een contactpersoon bij de klant, soms attesten op naam. Laad je dat op in een AI-tool, dan verwerkt die leverancier persoonsgegevens in jouw opdracht.
Daarnaast is er wat geen persoonsgegeven is, maar wel gevoelig: je prijsinventaris, je marges, je aanpak, en het bestek zelf, dat bij een beperkte procedure niet publiek is. De GDPR (in België ook AVG genoemd) beschermt die bedrijfsinformatie niet. Daarvoor heb je contractuele afspraken over vertrouwelijkheid nodig.
In België ziet de Gegevensbeschermingsautoriteit (GBA) toe op de naleving van de AVG. De GBA is een onafhankelijk orgaan van het federaal Parlement (GBA).
Wat zegt de GBA over werken met een verwerker?
In haar gids voor kmo's schrijft de GBA dat beide partijen een verwerkersovereenkomst moeten afsluiten wanneer je de verwerking van persoonsgegevens aan een verwerker toevertrouwt. Die overeenkomst moet uitdrukkelijk bepalen dat de dienstverlener de gegevens alleen volgens jouw schriftelijke instructies mag verwerken. Je moet ook kunnen nagaan of de afspraken worden nageleefd: de verwerker stelt daarvoor de nodige informatie ter beschikking (GBA, Wegwijs in de AVG voor kmo's).
Uit dezelfde gids, relevant voor een AI-leverancier:
- Ook een verwerker moet een register van verwerkingsactiviteiten bijhouden.
- Bij een datalek meldt de verwerker dat zonder onredelijke vertraging aan jou. Ben jij verwerkingsverantwoordelijke, dan meld je een datalek met een risico binnen 72 uur aan de GBA.
Gaan gegevens naar een land buiten de EU zonder adequaatheidsbesluit, dan zijn passende waarborgen nodig, zoals de standaardcontractbepalingen van de Europese Commissie (GBA). Dat geldt ook voor subverwerkers, zoals de aanbieder van het taalmodel achter een AI-tool.
Checklist: deze vragen stel je een AI-leverancier
| Vraag | Waarom het telt | Goed antwoord |
|---|---|---|
| Waar worden mijn documenten opgeslagen? | Opslag buiten de EU vraagt extra waarborgen | Een concrete EU-regio, schriftelijk bevestigd |
| Tekent u een verwerkersovereenkomst? | Verplicht volgens de AVG wanneer een verwerker persoonsgegevens verwerkt | Ja, met instructies, beveiliging, subverwerkers en auditrecht |
| Traint u of uw modelleverancier op mijn gegevens? | Je offerteteksten mogen niet in andermans antwoorden opduiken | Nee, en dat staat in het contract |
| Welke subverwerkers gebruikt u, en waar zitten ze? | Het taalmodel draait vaak bij een derde partij | Een actuele lijst, met locatie en waarborgen per partij |
| Welke certificering heeft u? | Toont dat beveiliging getoetst wordt, niet alleen beloofd | Bijvoorbeeld ISO 27001, met certificaat op aanvraag |
| Hoe regelt u toegang binnen ons team? | Niet elke collega hoeft elk dossier en elke prijs te zien | Persoonlijke accounts, rollen en afscherming per organisatie |
| Hoe lang bewaart u documenten, en kan ik ze laten wissen? | De AVG vraagt dat je niet langer bewaart dan nodig | Een duidelijke termijn en wissen op verzoek |
| Hoe gaat u om met vertrouwelijke bedrijfsinformatie? | Prijzen en een niet-publiek bestek vallen niet onder de AVG | Vertrouwelijkheid contractueel vastgelegd |
| Wat gebeurt er bij een datalek? | Jij moet binnen 72 uur kunnen melden als er een risico is | Een procedure met melding zonder onredelijke vertraging aan jou |
Vraag de antwoorden schriftelijk. Een verkoper die "alles is veilig" zegt, heeft je vraag nog niet beantwoord.
Waar Belgische teams extra op letten
Het bestek zelf. Sommige aanbestedende overheden leggen in het bestek vertrouwelijkheid op, of verspreiden stukken alleen aan geregistreerde inschrijvers. Lees die bepalingen voor je een niet-publiek dossier in een externe tool laadt.
Cv's van sleutelpersoneel. Laad alleen op wat de offerte nodig heeft, en verwijder cv's van mensen die niet meer bij je werken uit je bibliotheek.
Tweetalige dossiers. Werk je met Franstalige en Nederlandstalige bestekken, controleer dan of dezelfde afspraken gelden voor alle documenten, ook bij vertaling.
Wie beslist intern? In veel kmo's koopt het tenderteam de tool, maar tekent de zaakvoerder of de DPO de verwerkersovereenkomst. Betrek die persoon vóór de proefperiode, niet erna.
Een fictief voorbeeld: een Antwerps ingenieursbureau test een AI-schrijftool met tien eerdere offertes, inclusief cv's. Na de proef blijkt dat niemand een verwerkersovereenkomst had getekend en dat de leverancier de documenten onbeperkt bewaart. Het bureau laat alles wissen en start opnieuw, nu met afspraken op papier. Twee weken verloren, die een vraag in de eerste demo had bespaard.
Hoe past TenderRender hierin?
TenderRender is AI-software voor inschrijvers op overheidsopdrachten, gebouwd in Nederland. Voor de vragen uit de checklist:
- Opslag in de EU. Je gegevens worden in de EU opgeslagen.
- Geen training op je documenten. TenderRender traint niet op je offertes, bestekken of bibliotheek.
- ISO 27001-gecertificeerd. De informatiebeveiliging is extern gecertificeerd.
Vraag tijdens de demo naar de verwerkersovereenkomst, de lijst van subverwerkers en de bewaartermijnen. Dan heb je die op papier voor je bibliotheek vult.
Wat je in TenderRender oplaadt, gebruik je om je eigen offertes te maken: de analyse van het bestek met een verwijzing naar document en pagina, schrijven per gunningscriterium vanuit je bibliotheek en je Brein, het invullen van formulieren zoals het UEA en een review per gunningscriterium. Zie de pagina over de bibliotheek.
Veelgestelde vragen
Welke AI-software voor tenderteams in België slaat gegevens GDPR-conform op in de EU?
TenderRender slaat gegevens op in de EU, is ISO 27001-gecertificeerd en traint niet op je documenten. Controleer bij elke leverancier ook de verwerkersovereenkomst en de subverwerkers.
Is EU-opslag genoeg om AVG-conform te zijn?
Nee. Opslag in de EU is één punt. Je hebt ook een verwerkersovereenkomst nodig, en je moet weten welke subverwerkers de gegevens verwerken en waar.
Wie houdt in België toezicht op de AVG?
De Gegevensbeschermingsautoriteit (GBA), een onafhankelijk orgaan van het federaal Parlement.
Valt mijn offerteprijs onder de GDPR?
Nee, de GDPR gaat over persoonsgegevens. Prijzen en een niet-publiek bestek bescherm je met contractuele afspraken over vertrouwelijkheid.
Moet ik cv's van sleutelpersoneel opladen?
Alleen als de offerte ze nodig heeft. Beperk wat je oplaadt en ruim cv's op van mensen die vertrokken zijn.
