Data voor AI: dataruimten en licenties op trainingsdata

Het juridisch kader

Er bestaat geen aparte Europese wet over trainingsdata. Vier teksten doen samen het werk:

• de Datagovernanceverordening (DGA), Verordening (EU) 2022/868, van toepassing sinds 24 september 2023;
• de Data Act, Verordening (EU) 2023/2854, van toepassing sinds 12 september 2025;
• de AI-verordening, Verordening (EU) 2024/1689, zoals gewijzigd door Verordening (EU) 2026/1744 (geconsolideerde tekst van 27 juli 2026);
• de richtlijn auteursrecht in de digitale eengemaakte markt, Richtlijn (EU) 2019/790, om te zetten tegen 7 juni 2021.

Zodra trainingsdata over mensen gaan, komt daar de GDPR nog bovenop.

Gemeenschappelijke Europese dataruimten: wat de teksten echt zeggen

Dataruimten worden vaak voorgesteld als een nieuw juridisch regime. De bindende teksten zijn bescheidener. De DGA omschrijft gemeenschappelijke Europese gegevensruimten als "doel- of sectorspecifieke of sectoroverschrijdende interoperabele kaders van gemeenschappelijke normen en praktijken op het gebied van gegevensdeling of gezamenlijke gegevensverwerking", bijvoorbeeld voor nieuwe producten en diensten of wetenschappelijk onderzoek. De belangrijkste operationele bepaling is dat het Europees Comité voor gegevensinnovatie er richtsnoeren voor voorstelt, over normen, lock-in, veilige doorgiften, vertegenwoordiging van belanghebbenden en cyberbeveiliging (artikel 30, punt h).

De Data Act gaat verder. Volgens artikel 33 moeten deelnemers aan dataruimten die data of datadiensten aan andere deelnemers aanbieden:

• de inhoud van de dataset, gebruiksbeperkingen, licenties, de methode van dataverzameling, de datakwaliteit en de onzekerheid beschrijven, waar van toepassing in machineleesbare vorm;
• datastructuren, formaten, vocabularia en codelijsten openbaar en consistent beschrijven;
• de technische toegangsmiddelen, zoals API's, beschrijven met hun gebruiksvoorwaarden en dienstkwaliteit;
• waar van toepassing de middelen bieden om slimme contracten en vergelijkbare tools interoperabel te maken.

Wie geharmoniseerde normen of gemeenschappelijke specificaties van de Commissie volgt, wordt vermoed aan die eisen te voldoen (artikel 33, leden 3 en 8), en de Commissie kan richtsnoeren vaststellen op basis van het voorstel van het Comité (artikel 33, lid 11). Sectorwetgeving kan een specifieke dataruimte oprichten: de Europese ruimte voor gezondheidsgegevens is daar een voorbeeld van.

Voor AI-teams is dat heel concreet. De informatie die artikel 33 vraagt (licentie, gebruiksbeperkingen, verzamelmethode, kwaliteit) is precies wat je moet weten voor je op een dataset traint.

In beleidsdiscussies kom je soms ook "Data Labs" tegen. Geen van de teksten in dit artikel (de DGA, de Data Act, de AI-verordening of de auteursrechtrichtlijn) richt ze op of regelt ze, dus we behandelen ze niet als juridisch instrument.

Routes naar trainingsdata

Licenties. De meeste trainingsdata komen binnen via een contract. De wet beperkt wel wat dat contract kan doen (zie hieronder).

Databemiddelaars en data-altruïsme. Een datamarktplaats of datapool die voor iedereen openstaat, is onder de DGA een databemiddelingsdienst. Die moet neutraal blijven: ze mag de data zelf alleen gebruiken om ze ter beschikking te stellen, en ze mag haar prijzen niet koppelen aan andere diensten (artikel 12). Erkende organisaties voor data-altruïsme verzamelen data voor doelstellingen van algemeen belang, zoals wetenschappelijk onderzoek. Ze moeten mensen vooraf zeggen voor welke doelstellingen ze gegevensgebruikers de data laten verwerken, en mogen ze voor niets anders gebruiken (artikel 21). Meer daarover in ons artikel over de DGA.

Overheidsdata. Open data, hoogwaardige datasets en beschermde overheidsgegevens hebben elk hun eigen regels. Die bespreken we in hergebruik van overheidsdata.

Data van verbonden producten. Hier legt de Data Act harde grenzen op. Een gegevenshouder mag direct beschikbare niet-persoonsgebonden productdata alleen gebruiken op basis van een contract met de gebruiker (artikel 4, lid 13), en mag niet-persoonsgebonden productdata niet aan derden geven behalve om dat contract uit te voeren (artikel 4, lid 14). Een derde die data krijgt op verzoek van de gebruiker, mag ze alleen verwerken voor de doelen die hij met de gebruiker heeft afgesproken, mag ze niet doorgeven aan een poortwachter, en mag er geen product mee ontwikkelen dat concurreert met het verbonden product waarvan de data komen (artikel 6).

Auteursrecht: de uitzonderingen voor tekst- en datamining

Trainen op beschermde werken houdt meestal een reproductie in. Artikel 3 van de auteursrechtrichtlijn laat onderzoeksorganisaties en instellingen voor cultureel erfgoed toe om rechtmatig toegankelijke werken te minen voor wetenschappelijk onderzoek, en een contract kan dat niet uitsluiten (artikel 7, lid 1). Artikel 4 laat iedereen, ook voor commerciële doeleinden, rechtmatig toegankelijke werken minen, tenzij de rechthebbende dat gebruik op passende wijze uitdrukkelijk heeft voorbehouden, zoals met machineleesbare middelen voor online content (artikel 4, lid 3). Beide uitzonderingen gelden ook voor het recht van de databankproducent. Of en hoe ze het trainen van modellen dekken, staat nog ter discussie; dat bespreken we in AI en intellectuele eigendom.

Aanbieders van AI-modellen voor algemene doeleinden moeten sinds 2 augustus 2025 een beleid hebben om zulke voorbehouden op te sporen en na te leven, en een samenvatting van hun trainingscontent publiceren (artikel 53, lid 1, c) en d)). Ons artikel over praktijkcodes, richtsnoeren en normen voor AI voor algemene doeleinden in deze reeks legt uit hoe die plichten worden ingevuld.

Artikel 10 AI-verordening: datagovernance voor AI met een hoog risico

Artikel 10 ("Data en datagovernance") geldt voor AI-systemen met een hoog risico. Systemen die modellen trainen, worden ontwikkeld op datasets voor training, validatie en tests die aan de kwaliteitscriteria voldoen (artikel 10, lid 1). De praktijken voor databeheer gaan in het bijzonder over (artikel 10, lid 2):

• ontwerpkeuzes, processen voor dataverzameling en de oorsprong van de data, en bij persoonsgegevens het oorspronkelijke doel van de verzameling;
• voorbereidende stappen zoals annotatie, labeling, opschoning, verrijking en aggregatie;
• de aannames over wat de data meten, en of er genoeg geschikte data zijn;
• onderzoek naar mogelijke vertekeningen (bias) en maatregelen om ze op te sporen, te voorkomen en te beperken;
• lacunes of tekortkomingen in de data die naleving verhinderen, en hoe je die aanpakt.

Datasets moeten relevant, voldoende representatief en zoveel mogelijk foutloos en volledig zijn met het oog op het beoogde doel (artikel 10, lid 3), en rekening houden met de omgeving waarin het systeem wordt gebruikt (artikel 10, lid 4). Systemen die geen modellen trainen, moeten die regels alleen voor testdata naleven (artikel 10, lid 6).

Verordening 2026/1744 schrapte het vroegere artikel 10, lid 5, en bracht de regel over bijzondere categorieën van persoonsgegevens onder in een nieuw artikel 4 bis. Aanbieders van AI met een hoog risico mogen zulke gegevens verwerken als dat strikt noodzakelijk is om bias op te sporen en te corrigeren, maar alleen als andere data (ook synthetische of geanonimiseerde) niet volstaan, met strikte toegangscontrole, zonder doorgifte aan anderen, met wissing zodra de bias is gecorrigeerd, en met een verantwoording van waarom het nodig was.

Volgens artikel 113 geldt artikel 10 vanaf 2 december 2027 voor AI met een hoog risico onder bijlage III en vanaf 2 augustus 2028 voor systemen onder bijlage I.

In de praktijk

Een Belgische start-up bouwt een tool die cv's screent. Systemen voor werving staan in bijlage III, dus artikel 10 zal gelden. Ze wil een dataset van geanonimiseerde sollicitaties in licentie nemen van een uitzendgroep. In de licentie vraagt ze wat artikel 10, lid 2, nodig heeft: waar de data vandaan komen, het oorspronkelijke doel van de verzameling, hoe en door wie ze zijn gelabeld, en bekende hiaten in de representativiteit. Ze vraagt ook een garantie dat de licentiegever de data mocht delen, en medewerking als een toezichthouder later vragen stelt.

Een fabrikant van industriële compressoren wil een model voor voorspellend onderhoud trainen op bedrijfsdata van machines bij klanten. Volgens artikel 4, lid 13, van de Data Act heeft hij per gebruiker een contract nodig dat hem toelaat de niet-persoonsgebonden data te gebruiken, dus past hij zijn klantvoorwaarden aan. Een onderhoudsbedrijf dat dezelfde data op verzoek van een klant krijgt, mag ze alleen gebruiken zoals met die klant afgesproken, en mag er geen concurrerende compressor mee bouwen.

Een Vlaamse uitgever krijgt de vraag van een AI-ontwikkelaar om zijn archief te gebruiken. Omdat de uitgever op zijn website een machineleesbaar voorbehoud heeft, kan de ontwikkelaar voor die online content geen beroep doen op artikel 4 en heeft hij een licentie nodig. Die licentie maakt een onderscheid tussen training, fine-tuning en retrieval, legt beperkingen op aan de output en vraagt wissing bij het einde.

Een dataleverancier die in een sectorale dataruimte stapt, maakt de datasetbeschrijvingen die artikel 33 vraagt. Dezelfde beschrijvingen dienen meteen als bijlage bij zijn licentie.

Checklist voor een licentie op trainingsdata:

1. Reikwijdte: training, fine-tuning, evaluatie, retrieval; welke modellen; of afgeleide modellen het einde van de licentie overleven.
2. Herkomst en garanties over rechten, met inbegrip van voorbehouden en databankenrecht.
3. Documentatie voor artikel 10: oorsprong, doel van de verzameling, voorbereiding, bekende bias en hiaten.
4. Persoonsgegevens: rol van elke partij, rechtsgrond, en of iets onder artikel 4 bis valt.
5. Grenzen van de Data Act als het om data van verbonden producten gaat.
6. Vertrouwelijkheid, audit, wissing en medewerking met toezichthouders.

Veelgestelde vragen

Is een dataruimte een rechtspersoon waar we lid van worden?

Niet volgens de algemene teksten. Die beschrijven een kader van gemeenschappelijke normen en praktijken. Je rechten en plichten komen uit de deelnamevoorwaarden, de licenties en de wetten hierboven. Sectorwetgeving kan daar meer aan toevoegen.

Mogen we trainen op data die we via een datamarktplaats kopen?

Ja, als je licentie het toelaat. De marktplaats zelf mag de data niet voor eigen doeleinden gebruiken (artikel 12, punt a, DGA), maar die beperking geldt niet voor jou als gegevensgebruiker.

Geldt artikel 10 nu al voor ons AI-systeem?

Alleen voor AI met een hoog risico, en pas vanaf 2 december 2027 (bijlage III) of 2 augustus 2028 (bijlage I). De data die je nu verzamelt, gebruik je dan wel, dus documenteer de herkomst vandaag al.

Kan onze licentie de uitzonderingen voor tekst- en datamining uitsluiten?

Contractuele bepalingen kunnen de onderzoeksuitzondering van artikel 3 niet uitsluiten (artikel 7, lid 1). De algemene uitzondering van artikel 4 hangt af van een voorbehoud door de rechthebbende, en daar kan een licentie wel op inspelen.

Hoe dit samenhangt

Een deal over trainingsdata is een licentie met een AI Act-dossier eraan vast. De licentie regelen we via datalicenties en datadeling, de classificatie en de plichten van artikel 10 via AI Act-compliance. Licenties stellen we op in onze Document Studio, en ons AI Act-register houdt elk AI-systeem bij met zijn classificatie en de plichten die voor jouw rol volgen.

Overzicht

Geciteerde bepalingen

• Verordening (EU) 2022/868: artikelen 12, 21 en 30
• Verordening (EU) 2023/2854: artikelen 4, 6 en 33
• Verordening (EU) 2024/1689 zoals gewijzigd: artikelen 4 bis, 10, 53 en 113, bijlagen I en III
• Richtlijn (EU) 2019/790: artikelen 3, 4 en 7

Belangrijke data

• 07-06-2021: omzettingstermijn richtlijn auteursrecht
• 24-09-2023: DGA van toepassing
• 02-08-2025: plichten voor AI-modellen voor algemene doeleinden
• 12-09-2025: Data Act van toepassing
• 02-12-2027: artikel 10 voor AI met een hoog risico onder bijlage III
• 02-08-2028: artikel 10 voor AI met een hoog risico onder bijlage I

In deze reeks

• De Datagovernanceverordening: databemiddelaars en data-altruïsme
• Hergebruik van overheidsdata: open data en hoogwaardige datasets
• AI voor algemene doeleinden: praktijkcodes, richtsnoeren en normen

Verder lezen

• AI en intellectuele eigendom: trainingsdata en auteursrecht
• De Europese Data Act