Compliance laat enterprisedeals inmiddels minstens zo vaak vastlopen als de technische fit. Kopers die de review niet vooraf hebben voorbereid, verliezen halverwege het traject doorgaans 2 tot 3 maanden. Veel van die tijd is te voorkomen, maar het werk ligt net zo goed bij jou als bij de leverancier. Vooraf voorbereiden betekent dat je 6 vragen beantwoord hebt voordat je shortlist van leveranciers vastligt. De securityreview hoort te bevestigen wat je al weet, niet om het pas dan te ontdekken.
Vraag naar de scope van certificeringen, niet alleen naar de namen
De naam van een certificering zegt weinig zonder de scope. SOC 2 voor een marketingwebsite is niet hetzelfde als SOC 2 voor het inferentiepad waarlangs je klantdata loopt. De eerste vraag is dus welke certificeringen de leverancier heeft en wat elke certificering precies omvat.
Een verwante verwisseling om op te letten is overerving. Een leverancier die op een groot cloudplatform draait, erft veel infrastructuursecurity, en sommige leveranciers presenteren die geërfde positie als die van henzelf. Vraag om het auditrapport waarop de entiteit van de leverancier zelf staat. Staat de hostingprovider op het certificaat, dan weet je al vroeg iets wat de moeite waard is.
Vraag wanneer de audit plaatsvond en wie die uitvoerde
Actualiteit en onafhankelijkheid zijn allebei belangrijk, en ze kunnen los van elkaar tekortschieten. Een actuele certificering van een auditor zonder echte onafhankelijkheid zegt je minder dan een iets oudere van een erkende auditor. Een oude certificering van een goede auditor vertelt je dat de leverancier compliant was op een moment dat mogelijk vóór de AI-functies ligt die je koopt.
Vraag naar de datum en de auditor tegelijk. Leveranciers die die snel kunnen geven, leveren meestal ook al het andere snel aan, en dat is op zich al een signaal.
Vraag specifiek naar ISO 42001
Deze vraag slaan de meeste kopers over, vooral omdat de standaard zo nieuw en ongebruikelijk is dat velen niet eens weten dat ze ernaar moeten vragen. Nu weet je het!
Gebruikelijke securitycertificeringen gaan over de organisatie. Ze bevestigen dat een bedrijf beleid heeft, zijn mensen traint en toegang beheert. Geen van alle zegt iets over hoe de AI wordt bestuurd: of retrieval gebaseerd is op jouw kennis, of het model voorspelbaar werkt en of er een audittrail is van de acties die een agent uitvoert op een klantaccount.
ISO 42001 is de standaard voor AI-managementsystemen die precies dat behandelt. Een leverancier kan alle gebruikelijke certificeringen hebben zonder enige onafhankelijke beoordeling van zijn AI-governance. Maven heeft 15 certificeringen en assessments, waaronder ISO 42001, PCI-DSS 4.0 Level 1, SOC 2, HIPAA , en GDPR.
Vraag hoe PCI DSS werkt tijdens een live gesprek
Geen vraag schift leveranciers sneller, omdat spraak het abstracte concreet maakt. Tijdens een gesprek leest een klant gewoon een kaartnummer voor terwijl hij om hulp vraagt. Geen enkel interfaceontwerp voorkomt dat.
PCI-DSS 4.0 Level 1 is het niveau dat geldt bij transactievolumes op enterpriseschaal, en de nuttige vervolgvragen gaan allemaal over de werking. Vindt redactie in realtime plaats tijdens het gesprek, of achteraf in de nabewerking? Dat zijn verschillende blootstellingsvensters, en alleen het eerste houdt de gevoelige gegevens volledig uit de pipeline. Is er een audittrail van de redactie zelf? Is de betaalafhandeling gescheiden van de rest van het gesprek?
Een leverancier die concreet antwoordt, heeft zijn platform hier specifiek voor gebouwd.
Vraag welke opties voor dataresidentie er echt zijn
Vraag per regio en vraag door, want de terminologie is hier vaag. Regionale dataresidentie in de cloud van een leverancier, implementatie in een private cloud en implementatie bij de klant zelf zijn 3 verschillende toezeggingen die vaak in overlappende termen worden beschreven. Moet het systeem draaien binnen infrastructuur die jij beheert, zeg dat dan in duidelijke taal en laat het antwoord op papier zetten.
Vraag of je zelf een penetratietest mag uitvoeren
Combineer dat met een vraag over de interne frequentie. Een leverancier die elk kwartaal adversarial tests uitvoert, heeft een andere securitypraktijk dan een leverancier die alleen test als een klant erop staat.
De lat is haalbaar, en wie hem vroeg haalt, profiteert dubbel
Een gamingbedrijf uit de Fortune 500 verwerkt meer dan 330.000 interacties per maand met de autonome AI-agent van Maven, binnen de beperkingen van een gereguleerde sector: PCI-compliance voor in-game aankopen, naast AML- en KYC-afhandeling. Die implementatie werd opgeschaald in plaats van dat ze stilviel. Dat gebeurt wanneer het platform gebouwd is om diepgaande compliance-eisen te halen, in plaats van ze achteraf in te bouwen.
Clio pakte de evaluatie op dezelfde manier aan. Het bedrijf achter juridische software beoordeelde 32 leveranciers, maakte een selectie en liet er vervolgens meer dan 10 rechtstreeks tegen elkaar strijden voordat het voor Maven koos. Juridische technologie brengt serieuze geheimhoudingsverplichtingen met zich mee, en zo ziet het eruit om daaraan te voldoen. Clio haalt nu 80% autonome afhandeling, en de livesupport reageert 4x sneller. Papaya Pay, dat aan betaalregelgeving moet voldoen, bereikte binnen 3 weken 90% autonome afhandeling.
In geen van die gevallen rekte de compliancereview de implementatie op tot een project van meerdere kwartalen.
Doe dit in week 1
De meeste evaluaties zetten compliance aan het eind. Juist daardoor gaan die 2 tot 3 maanden verloren. Een leverancier die niet aan een harde wettelijke eis kan voldoen, moet in week 1 afvallen, en deze 6 vragen kosten zo weinig moeite dat je ze in een eerste gesprek kunt stellen.
Er is nog een reden om het liever vroeg dan laat te doen. Antwoorden over compliance zijn een opvallend goede graadmeter voor technische volwassenheid, omdat de vraag waar data staat en de vraag hoe het systeem werkt dezelfde vraag zijn vanuit een andere hoek. Vaagheid over het eerste betekent meestal vaagheid over het tweede.
De 6 vragen in beknopte vorm vind je in The AI Compliance Buyer's Checklist, gebaseerd op het hoofdstuk Compliance Blind Spot uit het State of AI in CX 2026-rapport .
Zie het op je eigen gesprekken.
Vraag een gratis demo op maat aan.
