Om de paar weken kondigt weer een grote AI-leverancier een privacykader voor scholen aan. Gestandaardiseerde districtafspraken, regelingen over meerdere staten, veiligheidsnormen mede-ondertekend door lerarenvakbonden. Nuttige documenten. Ze zijn alleen geschreven voor Amerikaanse schooldistricten onder Amerikaans recht, en een Nederlands schoolbestuur kan er niets aan ontlenen. Jouw verplichtingen komen nog steeds uit de AVG en uit je eigen inkoopregels. Dus hier een lijst die je in een gesprek kunt gebruiken. Geen juridisch advies, gewoon de twaalf vragen die wij zelf beantwoord zouden willen zien.
Over waar de data staat
In welk land staan de servers, en welke juridische entiteit is verwerker. Wie zijn de subverwerkers daarachter, en kan ik die lijst op papier krijgen. Verlaat er ergens iets de EER, ook voor support, logging of monitoring. Kan een leverancier de subverwerkersvraag niet binnen een dag beantwoorden, dan weet je genoeg. Die lijst houd je bij of je houdt hem niet bij.
Amerikaanse districtafspraken en veiligheidsnormen gelden niet voor een Nederlandse school.
Over het model
Wordt onze data gebruikt om een model te trainen of fine-tunen, inclusief de modelaanbieder onder jullie. Staat dat in het contract, of op een webpagina die op een dinsdagmiddag aangepast kan worden. Wat gebeurt er met prompts en output na afloop van een sessie, en hoe lang wordt het bewaard. Die tweede vergeten mensen. Een belofte die je niet kunt afdwingen is marketing.
Over de mensen
Wie kan binnen jullie bedrijf leerlingcontent inzien, en onder welke voorwaarden. Wordt die toegang gelogd, en mogen wij die logging zien. Scholen vragen naar hackers. Het realistische risico is meestal een medewerker met brede toegang en geen audit trail.
Over de beslissingen
Neemt of beïnvloedt het systeem beslissingen over een leerling, zoals niveau, tempo, groepering of signalering. Kan een leraar zien waarom, het aanpassen en het overrulen. Alles wat een kind stuurt zonder zichtbare reden is precies waar je het scherpst naar wilt kijken, en dat is zelden wat de demo laat zien.
Over weggaan
Kunnen we alles exporteren, in een formaat dat we echt kunnen openen, zonder het aan jullie te hoeven vragen. Wat wordt er bij beëindiging verwijderd, hoe snel, en krijgen we daar bevestiging van. Een makkelijke uitgang is het goedkoopste vertrouwenssignaal dat een leverancier kan geven. Juist daarom zijn de partijen die het weigeren interessant.
Over het papierwerk dat je zelf houdt
Niets hierboven vervangt een verwerkersovereenkomst, en bij alles met echte impact op leerlingen een DPIA. Een leverancierskader is input voor dat proces, geen vervanging ervan. De praktische shortcut: vraag meteen om hun DPIA-ondersteuningsdocumentatie. Partijen die dit vaker hebben gedaan sturen het direct. Partijen die dat niet hebben sturen een verkoopdeck.
Hoe een goed antwoord klinkt
Specifiek, saai en opgeschreven. Een land, een bedrijfsnaam, een bewaartermijn in dagen, een artikelnummer. Slechte antwoorden zijn enthousiast. Enterprise grade, bankniveau, volledig compliant, in de cloud gehost. Dat zijn geen antwoorden, dat zijn bijvoeglijke naamwoorden. En wordt een leverancier defensief als je het vraagt, dan heb je het nuttigste geleerd van het hele gesprek.
Neem dit mee
- 1Amerikaanse districtafspraken en veiligheidsnormen gelden niet voor een Nederlandse school.
- 2Vraag de subverwerkerslijst schriftelijk op. De snelheid van het antwoord is het signaal.
- 3Een belofte op een webpagina is geen belofte in een contract.
- 4Vraag wie binnen het bedrijf leerlingcontent kan inzien, en of dat gelogd wordt.
- 5Goede antwoorden zijn specifiek en saai. Bijvoeglijke naamwoorden zijn geen antwoord.
