Zeven vragen vóór de livegang.
| Vraag | Waarom het telt | Wat je vastlegt |
|---|---|---|
| 1. Op welke grondslag? | Elke verwerking heeft een grondslag nodig (art. 6 AVG). Voor klantvragen beantwoorden is dat meestal de uitvoering van een overeenkomst of gerechtvaardigd belang. | Doel en grondslag per agent in je verwerkingsregister. |
| 2. Wie verwerkt er namens jou? | Hostingpartij, bouwer en de aanbieder van het taalmodel zijn verwerkers. Zonder verwerkersovereenkomst (art. 28) mag het niet. | Een getekende verwerkersovereenkomst per partij, met subverwerkers erbij. |
| 3. Is een DPIA nodig? | Verplicht bij waarschijnlijk hoog risico (art. 35), bijvoorbeeld bij gezondheidsgegevens of grootschalige monitoring. | De afweging, ook als de uitkomst 'geen DPIA nodig' is. |
| 4. Weten mensen het? | De informatieplicht (art. 13 en 14) geldt ook voor AI. Vanaf 2 augustus 2026 moet je daarnaast melden dat iemand met een AI-systeem praat. | Aangepaste privacyverklaring en een duidelijke melding in de chat. |
| 5. Hoe lang bewaar je? | Gesprekslogs zijn handig voor kwaliteit, maar zijn ook persoonsgegevens. | Bewaartermijn per soort log, en automatisch verwijderen. |
| 6. Gaat data de EER uit? | Veel modelaanbieders zitten in de VS. Doorgifte mag alleen met een geldige basis (hoofdstuk V AVG). | Waar data wordt verwerkt en op welke basis; liefst EU-verwerking. |
| 7. Beslist de AI zelf? | Volledig geautomatiseerde besluiten met rechtsgevolg of vergelijkbare impact zijn beperkt (art. 22). | Welke beslissingen altijd door een mens worden genomen. |
Artikelnummers verwijzen naar de AVG. Dit is een werkvolgorde, geen volledige juridische toets.
De vier fouten die we het vaakst zien.
Bijna nooit is het probleem dat AI verboden is. Meestal is het slordigheid in de randen.
Wat je bij de modelleverancier navraagt.
Vraag bij elke aanbieder van een taalmodel drie dingen na: of je invoer wordt gebruikt om modellen te trainen (bij zakelijke API-voorwaarden is dat meestal standaard uitgeschakeld, maar check het), in welke regio de verwerking plaatsvindt, en hoe lang invoer en uitvoer worden bewaard.
Wij kiezen voor Nederlandse en Belgische klanten standaard EU-verwerking waar dat kan, en zetten in de Blueprint per leverancier op papier wat er met de data gebeurt. Dat stuk kun je zo aan je functionaris gegevensbescherming of jurist geven.
Zo pak je het aan in een week.
Welke agent, welke data, welke systemen, welke leveranciers.
Per agent vastleggen in het verwerkingsregister.
Verwerkersovereenkomsten opvragen of tekenen, inclusief subverwerkers.
Afweging maken en vastleggen; bij twijfel de DPIA gewoon doen.
Privacyverklaring bijwerken en de AI-melding in de chat zetten.
Waar dit op is gebaseerd.
Geen juridisch advies.
Deze gids is algemene informatie, gecontroleerd aan de hand van de genoemde bronnen, en geen juridisch advies. Regels veranderen; check de actuele tekst of vraag een jurist voordat je erop vertrouwt. Gecontroleerd november 2026.
Veelgestelde vragen.
Heb ik een DPIA nodig voor een klantenservicebot?
Niet automatisch. Een bot die openingstijden en bestelstatus geeft, is meestal geen hoog risico. Verwerkt hij gezondheidsgegevens, gegevens van kwetsbare groepen of op grote schaal gedrag, dan ligt een DPIA voor de hand. Leg de afweging in beide gevallen vast.
Is de leverancier van het AI-model een verwerker?
Bij zakelijk API-gebruik meestal wel. Je hebt dan een verwerkersovereenkomst nodig, vaak in de vorm van hun standaard data processing addendum. Check ook de lijst met subverwerkers.
Mag de agent klantdata naar de VS sturen?
Alleen met een geldige basis voor doorgifte, zoals een adequaatheidsbesluit of standaardcontractbepalingen. EU-verwerking maakt dit een stuk eenvoudiger.
Geldt dit ook in België?
Ja. De AVG geldt in de hele EU; in België houdt de Gegevensbeschermingsautoriteit (GBA) toezicht in plaats van de Autoriteit Persoonsgegevens.
Dit ook in jouw bedrijf?
Vertel hoe je nu werkt. Wij zeggen eerlijk wat AI van je team kan overnemen, wat het kost en of wij de juiste partij zijn.