Wat moeten enterprise-kopers weten voordat ze voice-AI uitrollen?

De meeste voice-AI-deals mislukken niet omdat het product slecht is. Ze mislukken in week zeven, wanneer een inkoopreviewer vraagt waar de gespreksdata wordt gehost en het antwoord van de leverancier meer vragen oproept dan het beantwoordt.

Begin 2026 gaf 84% van de organisaties toe dat ze een nalevingsaudit voor AI-agents niet zouden doorstaan. Een Amerikaans bedrijf kreeg datzelfde jaar een boete van € 85 miljoen voor onjuiste verwerking van AI-data. En 96% van de GDPR-boetes is terug te voeren op tekortkomingen in datagovernance, niet op kwaadwillig gedrag. Voice-AI valt precies binnen dit risicoprofiel, omdat elk telefoongesprek PII, biometrisch signaal en vaak gereguleerde data vastlegt, allemaal in één audiostroom.

Dus vóór elke demo, vóór elk prijsgesprek, is het de taak van de enterprise-koper om zes zaken schriftelijk te bevestigen.

De 6-punts checklist vóór ondertekening

Dit zijn de documenten die bepalen of inkoop tekent of afhaakt:

• Een actueel SOC 2 Type II-rapport dat de laatste twaalf maanden dekt, binnen 48 uur na aanvraag verstuurd onder NDA.
• Een ondertekende BAA voor elke workflow die mogelijk in aanraking komt met Protected Health Information.
• Een GDPR-DPA met Standard Contractual Clauses voor elke beller in de EU of EER.
• Een schriftelijke sub-processorlijst met daarin elke telefonie-, STT-, LLM- en TTS-leverancier in de stack.
• Een on-premise of privé-uitrolpad voor kopers met strikte vereisten voor dataresidentie.
• Een schriftelijke "no model training"-clausule, die doorwerkt naar elke sub-processor.

Als een leverancier niet alle zes kan leveren binnen een week na een serieus inkoopgesprek, heb je je antwoord al.

De rest van deze gids legt uit wat elk punt betekent, wat toezichthouders werkelijk verwachten, en hoe je tussen de regels leest wanneer de nalevingspagina van een leverancier beweringen doet die de toets niet doorstaan.

Waarom voice-AI-naleving anders (en lastiger) is

Een chatbot neemt tekst op in gestructureerde velden. Een stemagent ontvangt ongestructureerde spraak en moet die in realtime detecteren, redigeren, routeren en opslaan onder de juiste rechtsgrond.

Dat onderscheid klinkt klein. Dat is het niet.

Eén support-gesprek van negentig seconden kan een naam vastleggen, een geboortedatum, een uit frustratie uitgesproken accountwachtwoord, een gedeeltelijk creditcardnummer en een medische klacht. Stem draagt ook biometrisch signaal, dat verschillende EU-gegevensbeschermingsautoriteiten nu behandelen als afgeleide persoonsgegevens, zelfs wanneer de agent nooit beweert aan stemidentificatie te doen.

De verschuiving in 2026: nalevingsdocumentatie gaat nu vooraf aan de technische demo, niet andersom.

Leveranciers die geen SOC 2 Type II-rapport, een sub-processorlijst en een DPA-sjabloon onder NDA binnen 48 uur kunnen leveren, komen zelden voorbij fase één. Fouten komen niet aan het licht in kwartaalaudits. Ze komen aan het licht wanneer een toezichthouder één gespreksopname eruit haalt en vraagt waar de data heen ging.

Is het platform SOC 2 Type II-gecertificeerd, en kunnen we het rapport lezen?

Het enige aanvaardbare antwoord is ja, met een actueel Type II-rapport beschikbaar onder NDA.

Hier is de valkuil waar de meeste kopers in trappen: ze accepteren een Type I-rapport omdat het hetzelfde logo heeft en er vergelijkbaar uitziet op een beveiligingspagina. Type I bevestigt dat controls op één dag correct ontworpen waren. Type II bevestigt dat ze gedurende een auditvenster van 6-12 maanden effectief functioneerden. CISO's wijzen Type I als vervanging af. Volwassen inkoopteams ook.

Waar je schriftelijk om moet vragen:

• Het meest recente Type II-rapport met de auditperiode duidelijk vermeld
• De naam van de auditor (een erkend bureau, geen interne verklaring)
• Een lijst van eventuele voorbehouden of uitzonderingen
• Een bridge letter die het gat dekt tussen het einde van de auditperiode en vandaag

Een werkend nalevingsprogramma levert deze als documenten, niet als screen-shares. Als een leverancier je door hun SOC 2 wil "loodsen" in een Zoom-gesprek, is dat geen beveiligingsvolwassenheid. Dat is marketing.

De kern van een audit is dat het een document is. Als het document niet deelbaar is, zijn de controls niet echt.

Waar Retell AI staat: SOC 2 Type 1- en Type 2-gecertificeerd, plus HIPAA- en GDPR-dekking. De certificaten staan op een openbaar Compliance Trust Center en zijn toegankelijk zonder salesgesprek. Die self-service houding is een van de redenen waarom Retell nu meer dan 50 miljoen realtime AI-telefoongesprekken per maand mogelijk maakt voor meer dan 3.000 bedrijven.

Is HIPAA beschikbaar, en vereist het een enterprise-contract?

HIPAA-naleving voor voice-AI vereist dat twee dingen tegelijk waar zijn: de technische controls moeten voldoen aan de HIPAA Security Rule, en de leverancier moet een BAA ondertekenen. Sterke infrastructuur zonder een ondertekende BAA is geen HIPAA-naleving. Het is gewoon goede beveiliging.

Het prijsmodel voor de BAA zelf is belangrijker dan kopers verwachten. Sommige leveranciers zetten de BAA achter een jaarcontract van $50.000 tot $100.000. Dat model sluit de meeste klinieken, gespecialiseerde praktijken en pilot-uitrollen bewust uit.

Een nieuwer patroon, gebruikelijker in 2026, plaatst de BAA op een portaal voor zelf-ondertekening dat op elk niveau beschikbaar is. Dezelfde juridische bescherming. Dezelfde technische controls. Geen jaarlijks minimum.

Voor een kliniek die een pilot-agent draait voor herhaalrecepten of het inplannen van afspraken, is dat verschil het verschil tussen een inkoopcyclus van zes weken en een handtekening op dezelfde dag.

Technische controls om te verifiëren voor elke PHI-workflow:

• Versleuteling van audio en transcripties in rust
• Versleuteling van audio tijdens verzending met TLS 1.2 of hoger
• Configureerbare bewaartermijnen (de meeste zorgteams gebruiken standaard 30 dagen voor ruwe audio)
• PHI-redactie in transcripties en analyse na het gesprek
• Op rollen gebaseerde toegang tot gespreksopnamen

Waar Retell AI staat: BAA's zijn beschikbaar voor zelf-ondertekening via het click-through-portaal voor naleving op het standaard betalen-naar-gebruik-plan. Het volledige patroon is gedocumenteerd in de zorg-uitrollen van Retell AI, waar Medical Data Systems 100% van de inkomende gesprekken afhandelt met slechts een overdrachtspercentage van 30% en zo ongeveer $280.000 per maand incasseert via nalevingsconforme incasso-workflows.

Wat is het verschil tussen een BAA en een DPA?

Een BAA en een DPA lossen verschillende juridische problemen op. Ze zijn niet uitwisselbaar.

Een Amerikaans bedrijf dat EU-patiëntdata verwerkt, heeft beide nodig.

De meeste inkoopteams weten dit in theorie. In de praktijk komt het gat aan het licht in de contractfase, wanneer de leverancier één document stuurt en de koper aanneemt dat het beide regimes dekt. Dat doet het zelden.

De 4-delige DPA-review die elk inkoopteam zou moeten uitvoeren

1. Sub-processorlijst: Elke telefonie-, STT-, LLM- en TTS-leverancier moet met naam worden genoemd. GDPR Artikel 28 vereist dit. Een DPA die "industriestandaard cloud-infrastructuur" vermeldt in plaats van de daadwerkelijke leveranciersnamen is op het eerste gezicht niet-conform.

2. Standard Contractual Clauses: Nadat Schrems II het Privacy Shield ongeldig verklaarde, werden SCC's (doorgaans Module 2, controller-to-processor) het primaire wettelijke overdrachtsmechanisme voor de datastroom van EU naar VS.

3. Meldtermijn voor datalekken: GDPR geeft de verwerkingsverantwoordelijke 72 uur om toezichthouders te informeren nadat een datalek bekend is geworden. De verwerker moet zich verbinden om de verwerkingsverantwoordelijke sneller dan dat te informeren. Goed opgestelde DPA's committeren zich aan 24-48 uur.

4. De no-training-clausule: Dit is degene die de meeste kopers vergeten te controleren. Zonder een expliciete clausule die stelt dat gespreksdata van klanten niet wordt gebruikt om enig model te trainen of te fine-tunen, kan de onderliggende LLM- of stemaanbieder de invoer bewaren onder hun eigen voorwaarden.

De trainingsclausule is de allerbelangrijkste contractuele bepaling in elke voice-AI-DPA van 2026. Voeg hem toe aan elke red-line-lijst.

Kan gespreksdata van voice-AI in de EU blijven?

Voor de meeste voice-AI-platforms met hoofdkantoor in de VS vandaag, nee. Niet op platformniveau.

Dit is de vraag die de afgelopen 18 maanden meer enterprise voice-AI-deals heeft doen sneuvelen dan enig ander nalevingsprobleem. En de enige manier om Britse of Europese inkoop te doorstaan, is er vooraf eerlijk over te zijn.

Hier is het beeld:

• Een kleine groep voice-AI-platforms met een Europees hoofdkantoor host standaard binnen de EU.
• De meeste platforms met een Amerikaans hoofdkantoor draaien op AWS-regio's US-East of US-West en vertrouwen op AWS's GDPR-conforme DPA in combinatie met SCC's als rechtsgrond voor overdracht.

Retell AI valt in de tweede groep. De nalevingsdocumentatie stelt dit rechtstreeks:

"Wij voldoen aan GDPR door gebruik te maken van Amazon Web Services (AWS), dat een GDPR-conform Data Processing Addendum bevat in zijn Service Terms. Houd er echter rekening mee dat wij momenteel geen diensten binnen de Europese Unie exploiteren."

Dat is een eerlijke verklaring van het gat, en het doet ertoe, want doen alsof het anders is, is wat inkoop-reviews doet mislukken.

Wanneer US-hosting de EU-inkoop doorstaat

Voor de meeste B2B-use-cases doorstaat een in de VS gehoste leverancier met een correct uitgevoerde DPA, SCC's en een gedocumenteerde sub-processorlijst de GDPR-review zonder problemen. Schrems II verbood geen overdrachten van EU naar VS. Het vereiste adequate waarborgen, die moderne SCC's en het adequaatheidsbesluit van het EU-US Data Privacy Framework leveren.

Wanneer US-hosting een harde blokkade is

US-hosting kan de inkoop niet doorstaan wanneer:

• Het contract met een overheidsinstantie is
• Duitse of Franse zorgdata onder nationale residentievereisten valt
• Contracten in de financiële dienstverlening in-regio verwerking voorschrijven
• De klantcontracten van de koper residentievereisten doorgeven als flow-down-verplichtingen

In die gevallen kiest de koper niet tussen leveranciers. Ze kiezen tussen in-regio cloud, on-premise of het uitstellen van het project.

De 4 vragen die een EU-DPO beantwoord wil zien

Voordat je tekent, heb je hier schriftelijk antwoord op nodig, vastgelegd in de DPA of een side letter:

• Waar wordt gespreksaudio verwerkt?
• Waar worden transcripties opgeslagen?
• Wat is de bewaartermijn voor elk?
• Routeert een sub-processor data via aanvullende regio's?

Krijg die vier antwoorden gedocumenteerd en de meeste EU-inkoop-reviews zullen akkoord gaan, zelfs wanneer het antwoord "alles in US-East" is. Het is niet de geografie die reviews doet mislukken. Het is het gebrek aan documentatie.

Wat voegt de EU AI Act aan het beeld toe?

Bovenop GDPR landde in 2025-2026 een tweede laag regelgeving. Vanaf 2 augustus 2026 worden de transparantieverplichtingen van Artikel 50 volledig afdwingbaar voor elk AI-systeem dat in de EU-markt wordt gebruikt, ongeacht waar de leverancier zijn hoofdkantoor heeft.

Voor stemagenten betekent dit dat drie verplichtingen het belangrijkst zijn:

Artikel 50-transparantie: De agent moet aan de beller bekendmaken dat het een AI is, in de taal van de beller, aan het begin van de interactie of op een manier die de beller redelijkerwijs kan registreren vóór enige belangrijke uitwisseling. "Duidelijk uit de context" wordt door toezichthouders eng geïnterpreteerd. Als jouw agent vandaag niet opent met een AI-bekendmaking, loop je al achter.

Bekendmaking van synthetische content: Als de agent gekloonde stemmen van echte personen gebruikt, moet dat bekend worden gemaakt en waar technisch haalbaar van een watermerk worden voorzien.

Leveranciersdocumentatie: Artikelen 11 en 13 vereisen dat leveranciers technische documentatie bijhouden die het beoogde doel van het systeem, een overzicht van de trainingsdata, prestatiemetrieken en bekende beperkingen beschrijft. Kopers hebben een kopie nodig voor elke uitrol met een hoog risico.

De boetes zijn ontworpen om te bijten:

• Verboden AI-praktijken: € 35 mln of 7% van de wereldwijde omzet
• Niet-naleving met hoog risico: € 15 mln of 3% van de wereldwijde omzet
• Falen van Artikel 50-transparantie: € 7,5 mln of 1,5% van de wereldwijde omzet

De meeste enterprise voice-AI heeft een beperkt risico en is alleen de transparantiebekendmaking verschuldigd. Het inplannen van afspraken, inkomende support, leadkwalificatie, uitgaande follow-up. Allemaal beperkt risico.

Een stemagent wordt pas hoog-risico wanneer die beslissingen neemt of wezenlijk beïnvloedt in gebieden van Bijlage III: kredietbeslissingen, wervingsselecties, zorgtriage, toegang tot essentiële diensten. Die classificatie triggert conformiteitsbeoordelingen, technische documentatie, post-market monitoring en registratie in de EU-database.

Is on-premise uitrol beschikbaar voor strikte residentievereisten?

Voor een kleine maar groeiende klasse van enterprise-uitrollen is gehoste SaaS niet genoeg, zelfs niet met SCC's en een schone DPA. Overheidscontracten, defensie, bepaalde gereguleerde banken en EU-zorgsystemen met nationale residentiemandaten vereisen dat de volledige voice-AI-stack draait binnen infrastructuur die de koper beheert.

Het uitrolspectrum heeft drie punten:

Volledig gehost: De leverancier draait alles; de koper koppelt via API's en SIP-trunks. Laagste kosten, snelste uitrol, de leverancier draagt de nalevingslast. De meeste B2B past hier.

Private cloud / dedicated tenancy: De software van de leverancier draait in een single-tenant uitrol, vaak binnen de eigen AWS-, Azure- of GCP-account van de koper. De koper is eigenaar van de cloudrekening en de nalevingsperimeter. Dit is waar de meeste grote enterprises belanden zodra het volume het rechtvaardigt.

Volledig on-premise: De software van de leverancier draait volledig binnen het datacenter of de soevereine cloud van de koper. Er verlaat geen data de perimeter. De stemmodellen, de LLM, de telefonie, alles opereert binnen de infrastructuur van de koper. Het lastigst om te beheren, het langst om uit te rollen, maar het enige haalbare antwoord voor de strengste reguleringsomgevingen.

Retell AI biedt een enterprise-niveau met custom uitrol en ondersteuning voor on-premise SIP-trunks voor faciliteiten met strenge residentiemandaten. De prijzen zijn niet openbaar en worden per engagement geoffreerd.

Een praktisch hybride model voor EU-residentie

Voor kopers die EU-residentie willen maar niet strikt volledige on-prem vereisen, ziet het werkende patroon in 2026 er zo uit:

• Telefonie gerouteerd via een in de EU gevestigde SIP-carrier, zodat de gespreksmedia in de EU ontstaan en eindigen
• Voice-AI-verwerking in de VS onder SCC's en DPA
• Transcripties en data na het gesprek geconfigureerd voor korte bewaring met beperkte sub-processorblootstelling

Dit is niet hetzelfde als volledige EU-residente verwerking. Maar het voldoet aan de meeste inkoop-reviews waar in-regio verwerking de voorkeur heeft in plaats van contractueel verplicht is.

Kostentechnisch betekent on-premise doorgaans licentievergoedingen van zes cijfers per jaar plus de GPU- en operationele overhead van de koper. De economische rechtvaardiging is zelden de kosten per gesprek. Het is de regulatoire kosten van het niet hebben van die perimeter wanneer de audit komt.

Is het platform PCI DSS-klaar voor gesprekken waarbij betalingen worden afgehandeld?

Het eerlijke antwoord voor elk voice-AI-platform is: het architectonische doel is om de AI-agent buiten de PCI-scope te houden, niet om die erin te plaatsen.

Hier is waarom. PCI DSS is van toepassing op het moment dat cardholder data wordt vastgelegd, verzonden of opgeslagen. Een stemagent die een beller een creditcardnummer hardop laat voorlezen, heeft cardholder data zojuist door de hele stack verzonden: telefonie-carrier, STT, LLM, TTS, transcriptieopslag, call analytics na het gesprek. Elk daarvan valt nu binnen de PCI-scope.

De twee patronen die de architectuur schoon houden:

DTMF-vastlegging met pauzeren-en-hervatten: Wanneer de agent de betaalstap bereikt, pauzeren de opname en transcriptie. De beller typt de kaart op het toetsenblok. De cijfers routeren rechtstreeks naar een PCI-conforme betalingsverwerker via een tokenisatieservice. De opname hervat nadat de transactie is voltooid. Het kaartnummer komt nooit in de LLM-context terecht.

Agent-assist-overdracht: Wanneer het gesprek de betaling raakt, verbindt de AI-agent warm door naar een betaal-IVR of een menselijke agent op een PCI-geïsoleerd telefoonpad. De AI handelt intentie en kwalificatie af. Het betalingssysteem handelt de cardholder data af. De gespreksoverdracht-functie van Retell AI implementeert dit patroon met de volledige gesprekscontext overgedragen, zodat de beller zich niet hoeft te herhalen.

Wat te verifiëren vóór ondertekening:

• PII-redactie staat standaard aan in transcripties en analytics
• Er bestaat een gedocumenteerd integratiepad met een PCI-conforme betalingsverwerker
• Gespreksopname kan pauzeren en hervatten midden in een gesprek
• De leverancier levert een schriftelijke verklaring van welke PCI-vereisten ze rechtstreeks vervullen versus welke bij jou of de betalings-sub-processor liggen

De meeste voice-AI-leveranciers zijn geen Level 1 PCI service providers. Dat is prima, zolang de architectuur ze buiten scope houdt.

Hoe evalueert enterprise-inkoop voice-AI in de praktijk?

Na het volgen van tientallen van deze cycli is de aanpak die in 2026 werkt korter dan de meeste teams verwachten. Vijf fasen, elk met een duidelijke go/no-go-poort:

Fase 1: Documentatieaanvraag (week 1): Security stuurt één aanvraag: SOC 2 Type II, BAA-sjabloon, DPA-sjabloon met SCC's, sub-processorlijst, security-whitepaper, BCP/DR-samenvatting, meest recente pen-test-verklaring. Leveranciers die niet binnen 48 uur onder NDA kunnen leveren, vallen af.

Fase 2: Architectuurreview (week 2): De architect van de koper brengt in kaart waar gespreksaudio wordt vastgelegd, waar transcripties worden opgeslagen, welke sub-processors wat aanraken en wat wordt blootgesteld aan modeltraining. Alles dat in aanraking komt met PHI, betalingsdata of biometrische afleidingen wordt gemarkeerd.

Fase 3: Contractuele review (week 3): Legal doorloopt de DPA, BAA en MSA. Veelvoorkomende red lines: clausules over training op klantdata, lage indemnificatie-plafonds, sub-processor-wijzigingsvensters korter dan 30 dagen, arbitrageclausules die collectieve acties beperken.

Fase 4: Pilot (week 4-8): Een afgebakende pilot, één use-case, gemaximeerd gespreksvolume, volledige nalevingsconfiguratie aanwezig. De pilot wordt beoordeeld op betrouwbaarheid, stemkwaliteit, integratiegeschiktheid en (cruciaal) of de nalevingsconfiguratie standhoudt onder live volume. Een verrassend aantal pilots faalt hier omdat redactie onvolledig is of de bewaarinstellingen niet van kracht werden.

Fase 5: Go-live en doorlopende review (vanaf week 9): Productie-uitrol met kwartaal-sub-processorreviews, jaarlijkse SOC 2-vernieuwingen, doorlopende reviews van AI Act-documentatie.

De leveranciers die enterprise-inkoop consequent winnen, maken fasen 1-3 wrijvingsloos. Degenen die verliezen, laten fase 1 zes weken duren.

Waar Retell AI past

De meeste kopers die dit artikel lezen, vallen in een van drie patronen:

• Je hebt enterprise-grade naleving nodig zonder een enterprise-grade contract: Een kliniek, een regionaal incassobureau, een middelgroot verzekeringskantoor. Je hebt HIPAA- of GDPR-dekking nodig, maar je kunt geen jaarlijks minimum van zes cijfers rechtvaardigen alleen om een BAA te ontgrendelen. Het betalen-naar-gebruik-plan van Retell AI met zelf te ondertekenen BAA's en DPA's is voor dit profiel gebouwd.
• Je moet in weken van inkoop naar pilot, niet in kwartalen: De technische demo ging goed. Nu heeft je security-team 60 dagen om de leverancier te screenen en je CFO 90 dagen om ROI te zien. Een self-service Trust Center, openbare certificaten en click-through-overeenkomsten comprimeren de documentatiecyclus van maanden tot dagen.
• Je hebt schaal nodig die al productiegetest is, niet beloofd: Retell AI verwerkt 50 mln+ realtime AI-gesprekken per maand voor 3.000+ bedrijven, waaronder Anker (US/UK-klantenservice, 95%+ herkenningsnauwkeurigheid in Engelstalige markten), Sunshine Loans (75-80% van de gesprekken volledig opgelost door AI, afhaakpercentage gedaald van 30% naar 5%), en Everise (65% containment van interne servicedesktickets die voorheen naar menselijke agents werden gerouteerd).

Voor uitrollen die on-premise SIP, dedicated tenancy, custom concurrency of volumeprijzen nodig hebben, handelt het enterprise-team de directe engagement af met custom offertes.

De snelste manier om te beginnen is de Trust Center-documenten op te halen, ze door een security-review te halen en vervolgens een pilot uit te rollen onder live nalevingsconfiguratie. Dagen, geen kwartalen.

Veelgestelde vragen

Vereist HIPAA hosting in de VS?

Nee. De HIPAA Security Rule vereist passende waarborgen voor elektronische PHI, maar specificeert geen geografie. Hosting in de VS-regio is vaak een contractuele vereiste van enterprise-zorgkopers, maar het is geen HIPAA-vereiste.

Is een DPA op zichzelf genoeg voor een EU-uitrol?

Alleen als de data in de EU/EER blijft. Als de leverancier data in de VS verwerkt, moet de DPA Standard Contractual Clauses bevatten, en de koper zou een Transfer Impact Assessment op dossier moeten hebben.

Wat gebeurt er met gespreksdata wanneer een contract eindigt?

Controleer de DPA. Een goed opgestelde DPA vereist dat de verwerker alle persoonsgegevens verwijdert of teruggeeft binnen een bepaald venster (meestal 30-90 dagen) na beëindiging, met een schriftelijke verklaring van verwijdering. Als de DPA dit niet behandelt, kaart het dan aan vóór ondertekening.

Is GDPR van toepassing op uitgaande gesprekken vanuit de VS naar ontvangers in de EU?

Ja. GDPR is extraterritoriaal. Als de betrokkene zich in de EU/EER bevindt, is GDPR van toepassing ongeacht waar de beller, leverancier of infrastructuur zich bevindt.

Is het betalen-naar-gebruik-BAA-model verenigbaar met enterprise-naleving?

Voor de meeste use-cases, ja. Het betalen-naar-gebruik-BAA-model verwijderde het historische gat waarbij kleinere zorgpraktijken geen toegang hadden tot HIPAA-conforme voice-AI zonder jaarcontract. Zeer grote uitrollen kunnen nog steeds baat hebben bij een enterprise-contract voor indemnificatie-plafonds en dedicated support, maar naleving zelf is niet langer de bepalende factor.

Hoe lang duurt inkoop van enterprise voice-AI doorgaans?

Zes tot tien weken van eerste contact tot productielancering wanneer de leverancier self-service documentatie heeft. Drie tot zes maanden wanneer de documentatiestroom wrijving kent. Nalevingswerk loopt in beide gevallen parallel met de technische evaluatie.