AVG-conforme chatbot: stapsgewijze handleiding (2026)

Een AVG-conforme chatbot vereist een rechtmatige inzet, niet alleen een bepaald model of een bepaalde hostinglocatie. Bepaal het doel en de rechtsgrond voor elk gebruik van persoonsgegevens, breng de gegevensstromen in kaart, leg rollen en contracten vast, zorg voor informatie en procedures voor rechten, en implementeer beveiliging die bij de risico’s past. Het compliancelabel van een leverancier bewijst niet dat elk gebruik door een klant aan deze eisen voldoet.

Je hebt niet automatisch toestemming nodig voor ieder supportgesprek, uitsluitend EU-hosting of een apart model voor Europese bezoekers. Je hebt wel bewijs nodig dat de keuzes voor jouw specifieke proces aan de toepasselijke regels voldoen. Dezelfde beoordeling omvat de modelaanbieder, het CRM, analytics, kanaalintegraties en operationele logs.

Deze handleiding is op 4 november 2026 getoetst aan officiële bronnen. Ze biedt een beoordelingskader en implementatievoorbeelden; ze certificeert geen implementatie en vervangt geen advies over de specifieke juridische omstandigheden ervan.

Optionele voorbeeldcontroles

• Bekijk metadatasleutels vooraf. Controleer hoe opgegeven veldnamen variabelesleutels worden, inclusief dubbele namen en fouten bij gereserveerde sleutels. Dit inspecteert geen waarden of accountspecifieke rechten.
• Valideer een testdataset. Controleer een kleine aangeleverde dataset op het ondersteunde formaat zonder je AI Agent uit te voeren.

Deze controles beoordelen geen juridische naleving.

Een checklist in 10 stappen voor privacy en beveiliging bij de chatbotlancering

Wijs voor elk onderdeel een verantwoordelijke aan en bewaar bewijs van de beslissing of test:

1. Definieer het proces. Scheid openbare informatie, accountspecifieke ondersteuning, transacties, marketing en modelverbetering.
2. Breng persoonsgegevens in kaart. Neem prompts, antwoorden, metadata, bestanden, opgehaalde records, logs en gekoppelde systemen mee.
3. Kies rechtsgronden. Beoordeel elk doel vóór verwerking; voeg een geldige toestemmingsprocedure toe waar toestemming nodig is.
4. Bepaal rollen en contracten. Stel vast wie de doelen bepaalt en wie volgens instructies verwerkt. Beoordeel toepasselijke verwerkersvoorwaarden en doorgiften.
5. Minimaliseer verzameling. Verwijder overbodige velden en verstuur geen volledige klantrecords als een beperkt resultaat volstaat.
6. Definieer bewaring en rechtenafhandeling. Neem identiteitscontrole, inzage, correctie, wissing, overdraagbaarheid waar van toepassing en opvolging in vervolgsystemen mee.
7. Beoordeel risico’s. Bepaal of een gegevensbeschermingseffectbeoordeling (DPIA) nodig is en rond deze af voordat de relevante verwerking begint.
8. Beveilig toegang en integraties. Pas passende encryptie, authenticatie, rechten, monitoring en incidentprocedures toe.
9. Informeer gebruikers. Publiceer juiste privacy-informatie, geef de verplichte AI-informatie en beoordeel widgetopslag afzonderlijk.
10. Test en wijs blijvende verantwoordelijkheid toe. Oefen foutgevallen, train medewerkers en herzie de beoordeling wanneer doelen, aanbieders of functies veranderen.

AVG-beginselen en hun gevolgen voor chatbotontwerp

De AVG geldt voor relevante verwerking in de context van een vestiging in de EER. Ze kan ook organisaties buiten de EER omvatten wanneer die goederen of diensten aanbieden aan mensen daar of hun gedrag daar volgen. De toets gaat over de verwerking en territoriale band, niet alleen over iemands nationaliteit. De EDPB legt het territoriale toepassingsgebied en de basisbeginselen uit.

Namen, contactgegevens, online identificatoren en herleidbare gespreksinhoud kunnen persoonsgegevens zijn. Ook een openbare FAQ-interface kan identificatoren of vrije tekst met persoonlijke informatie verzamelen.

Voor bepaalde overtredingen in de hogere categorie kunnen maximale boetes oplopen tot €20 miljoen of, voor een onderneming, 4% van de wereldwijde jaaromzet in het voorafgaande boekjaar, afhankelijk van welk bedrag hoger is. De daadwerkelijke handhaving hangt af van de omstandigheden; zie de EDPB-uitleg over toezichtsbevoegdheden.

Begrippen in deze handleiding

• Verwerkingsverantwoordelijke: de organisatie die de verwerkingsdoelen en essentiële middelen bepaalt.
• Verwerker: een afzonderlijke entiteit die persoonsgegevens namens de verwerkingsverantwoordelijke verwerkt. Rollen hangen af van de feitelijke activiteit, niet alleen van het contractlabel.
• Pseudonimisering: het beperken van directe herleidbaarheid, bijvoorbeeld door een naam te vervangen door een identificator. Dit maakt gegevens niet automatisch anoniem.
• DPIA: een beoordeling die nodig is wanneer verwerking waarschijnlijk hoge risico’s voor de rechten en vrijheden van mensen oplevert. Relevante factoren zijn schaal, gevoelige gegevens, kwetsbare personen en ingrijpende geautomatiseerde beslissingen. Alleen AI-gebruik bepaalt de uitkomst niet. Raadpleeg de DPIA-richtlijnen van de EDPB en toepasselijke lijsten van toezichthouders.

AVG-eisen omzetten in operationele processen

Begin bij de daadwerkelijke route van een bezoekersbericht tot de uiteindelijke verwijdering. De volgende ontwerpen zijn illustratieve implementatiepatronen, geen lijst met ingebouwde Quickchat AI-functies.

Gegevensminimalisatie door ontwerp

Definieer voor elke taak een required_fields-schema. Een vraag over een afspraak kan een voorkeurstijd en contactmethode nodig hebben; een openbare vraag over openingstijden hoort geen klantprofiel te vereisen.

De handleiding voor leadverzameling met een websitechatbot biedt een concrete configuratie om te beoordelen: eerst algemene vragen beantwoorden en daarna contactgegevens verzamelen voor een gevraagd vervolgcontact. Toets de velden en ontvangers aan je eigen doeleinden voordat je deze voor klanten gebruikt.

Controleer meer dan het zichtbare formulier. Een CRM-opvraag kan een heel record ophalen terwijl het antwoord alleen een orderstatus nodig heeft. Beperk de geretourneerde velden en de gegevens die naar het model gaan. Houd inloggegevens en niet-relevante klantinformatie buiten prompts.

Invoermaskering beschermt wat iemand in de buurt kan zien. Ze bewijst niet dat de onderliggende waarde nooit is verzameld, gelogd of verstuurd. Redactie kan onbedoelde openbaarmaking beperken, maar test wat ze mist, inclusief identificatoren in gewone zinnen.

Toestemming en andere rechtsgronden

De richtlijnen van de Europese Commissie over rechtsgronden noemen verschillende mogelijke grondslagen. Noodzakelijke verwerking voor uitvoering van een overeenkomst, gerechtvaardigde belangen na de vereiste beoordeling en toestemming hebben verschillende voorwaarden. Kies de grondslag vóór verwerking in plaats van aan elke taak een toestemmingsvakje toe te voegen.

Als je op toestemming vertrouwt, maak het doel specifiek en de keuze vrij, geïnformeerd en ondubbelzinnig. Maak intrekken even eenvoudig als toestemming geven. Scheid optionele marketing van ondersteuning die de klant nodig heeft. Een bevestiging dat iemand een privacyverklaring heeft gelezen, is op zichzelf geen toestemming voor elk daarin beschreven gebruik.

Dubbele opt-in kan in sommige situaties helpen bewijs vast te leggen. Het is geen universele AVG-eis. De EDPB-richtlijnen over toestemming onderscheiden gewone en uitdrukkelijke toestemming en beschrijven verificatie in twee stappen als één mogelijke methode.

Als toestemming je grondslag is, registreer dan doel, versie van de informatie, bevestigende handeling, tijdstip en relevante identificator. Bescherm dit bewijs en hanteer een gerechtvaardigd bewaarbeleid. Bijzondere categorieën gegevens, zoals gezondheidsinformatie, vereisen naast een grondslag uit artikel 6 ook een toepasselijke voorwaarde uit artikel 9.

Verzoeken om inzage, wissing en overdraagbaarheid afhandelen

Zorg voor een toegankelijke verzoekroute en een persoon of team dat verantwoordelijk is voor afronding. Een eigen commando /my_data of /delete_my_data zou een verzoek kunnen openen, maar geen van beide is een geverifieerde ingebouwde Quickchat AI-functie. Een bevestiging in een gesprek bewijst niet dat een verzoek is uitgevoerd.

Een werkbaar proces is de identiteit proportioneel verifiëren, relevante records vinden, het gevraagde recht en uitzonderingen beoordelen, verwerkers coördineren, de handeling afronden en het antwoord vastleggen. Gebruik geauthenticeerde levering voor exports en voorkom dat een bezoeker gegevens van een ander opvraagt.

De verwerkingsverantwoordelijke moet zonder onnodige vertraging en normaal binnen één kalendermaand handelen. Bij een toegestane verlenging van maximaal twee extra maanden moet de betrokkene binnen de eerste maand met redenen worden geïnformeerd. Wissing kent gronden en uitzonderingen, waaronder bepaalde wettelijke bewaarplichten. Inzage en overdraagbaarheid verschillen ook: overdraagbaarheid volgens artikel 20 geldt onder specifieke voorwaarden voor geautomatiseerde, op toestemming of overeenkomst gebaseerde verwerking van door de betrokkene verstrekte gegevens. Zie de EDPB-gids over rechten.

Verwijderingsroutes in Quickchat AI hebben verschillende effecten. Een AI Agent verwijderen maakt zijn gesprekken ontoegankelijk, maar wist ze niet. Een account verwijderen wist gesprekken van de huidige agents via een achtergrondproces; de documentatie noemt uitzonderingen zoals gesprekken van eerder verwijderde agents, bijlagen, exports, zoekindexen en externe records. Neem contact op met support voor het toepasselijke wisproces. Een Meta-kanaal ontkoppelen stopt toekomstige geautoriseerde verwerking, maar verwijdert historische gesprekken niet automatisch.

Voor het bredere supportproces staat onze handleiding voor een klantenservice-assistent los van dit proces voor rechtenverzoeken.

Opslagbeperking en bewaarschema’s

Er is geen universele AVG-limiet van 30 of 90 dagen voor chatbotgesprekken. Bepaal bewaring per doel en gegevenscategorie, inclusief toepasselijke wettelijke verplichtingen. Onderscheid actieve gesprekken, exports, toestemmingsbewijs, beveiligingslogs en back-ups.

Deze conceptuele pseudocode illustreert planning en verificatie, geen volledige verwijderingsimplementatie of bestaande productinstelling:

function scheduleRetention(record, policy) {
  return {
    recordId: record.id,
    purpose: record.purpose,
    reviewOrDeleteAt: policy.dateFor(record),
  };
}

function processDueRecord(item) {
  if (requiresRetentionReview(item)) {
    return queueManualReview(item);
  }
  queueErasureAcrossRecordedSystems(item);
  recordVerificationPending(item.recordId);
}

Documenteer de beleidseigenaar, bewaarcriteria, toegestane uitzonderingen, verwijderingsmethode en bewijs van afronding. Bewaak fouten in plaats van aan te nemen dat een geplande taak elk systeem bereikte.

Back-ups vragen expliciete aandacht. Het EDPB-rapport over wissing van februari 2026 beschrijft praktische problemen en de noodzaak rekening te houden met wissing wanneer systemen worden hersteld. Het stelt niet vast dat onmiddellijke verwijdering uit elke back-up of wachten op iedere normale afloop altijd aan de wet voldoet. Beschrijf daadwerkelijke beperkingen, het verwijderingsschema en de herstelprocedure zonder universele wissing binnen één maand te beloven.

Artikel 22 en betekenisvolle menselijke beoordeling

Artikel 22 betreft beslissingen die uitsluitend op geautomatiseerde verwerking berusten en rechtsgevolgen of vergelijkbaar ingrijpende gevolgen hebben. Een gewone FAQ-reactie is niet automatisch zo’n beslissing. Kredietwaardigheid, toelating of toegang tot essentiële diensten vragen nadere beoordeling.

Identificeer zulke beslispunten voordat je het proces bouwt. Waar de bepaling geldt, beoordeel je de toepasselijke uitzondering en waarborgen. Bij uitzonderingen op basis van contractuele noodzakelijkheid of uitdrukkelijke toestemming omvatten de waarborgen de mogelijkheid van menselijke tussenkomst, een standpunt kenbaar maken en de beslissing aanvechten. Voor bijzondere categorieën gelden aanvullende beperkingen.

Een beoordelaar moet de informatie en bevoegdheid hebben om het resultaat te heroverwegen. Een overdrachtsknop toevoegen terwijl de uitkomst feitelijk vastligt, is onvoldoende. Leg de daadwerkelijke besliscriteria, invoer en beoordelingsuitkomst proportioneel vast; de gegenereerde uitleg van een model bewijst niet hoe een ingrijpende beslissing tot stand kwam.

Beveiligingsmaatregelen passend bij chatbotrisico’s

Artikel 32 vereist passende technische en organisatorische maatregelen. Het schrijft geen universeel encryptie-algoritme of authenticatieproduct voor. Gebruik de EDPB-beveiligingsrichtlijnen om waarborgen te verbinden aan waarschijnlijke schade, verwerkingscontext en beschikbare technologie.

Encryptie tijdens transport en opslag

Bescherm netwerkverbindingen en opgeslagen records met geschikte encryptie en sleutelbeheer. Controleer de verbinding van bezoeker naar widget, integraties, beheertoegang, databases, exports en back-ups afzonderlijk.

TLS beschermt een transportverbinding; encryptie in rust beschermt opgeslagen gegevens. Deze maatregelen bewijzen op zichzelf geen end-to-end-encryptie waarbij tussenpartijen de inhoud niet kunnen lezen. Een dienst die berichtinhoud verwerkt, moet die mogelijk ontsleutelen. Omschrijf TLS 1.3 of AES-256 niet als verplichte AVG-specificaties of nalevingsbewijs.

Authenticatie, toegangsrollen en identiteitsintegratie

Gebruik sterke authenticatie, waaronder MFA waar passend, voor beheertoegang. Geef bij accountspecifieke verzoeken de voorkeur aan een bestaande geauthenticeerde klantsessie boven het intypen van een account-ID in een openbare chat.

Beoordeel autorisatie afzonderlijk: een geldige login mag geen records van een andere klant onthullen. Geef medewerkers toegang volgens hun taken en trek die in zodra ze niet meer nodig is. Quickchat AI documenteert zijn teamrollen; verifieer of de beschikbare rollen aan je eisen voldoen.

Beoordeel enterprise-SSO waar relevant, maar leid SAML-ondersteuning niet af uit gewone Google-aanmelding. Biometrische identificatie kan aanvullende gegevensbeschermingsplichten scheppen en is niet universeel de veiligste optie.

API-beveiliging en beperkte integratierechten

Gebruik in reikwijdte beperkte credentials en dwing autorisatie af in de gekoppelde applicatie. Een instructie aan het model om alleen gegevens van één klant te openen, is geen toegangscontrolegrens.

Pas geschikte snelheidslimieten toe, valideer gestructureerde parameters en uitvoer en beoordeel wat elke Action of integratie kan lezen of wijzigen. Test toegang over klantgrenzen en ingetrokken credentials. Leg vast welke derden persoonsgegevens ontvangen, inclusief diensten voor foutrapportage en analytics.

Monitoring, logs en incidentrespons

Log genoeg om toegang en fouten te onderzoeken zonder automatisch ieder volledig gesprek naar elk monitoringsysteem te kopiëren. Definieer toegang, bewaring en redactie apart voor operationele logs.

Een incidentprocedure moet beheersing, onderzoek, herstel, documentatie en meldbeslissingen omvatten. Onder de AVG meldt een verwerkingsverantwoordelijke een meldingsplichtig persoonsgegevenslek zonder onnodige vertraging en, waar mogelijk, binnen 72 uur na kennisname aan de bevoegde toezichthouder, tenzij het waarschijnlijk geen risico oplevert voor rechten en vrijheden. Een waarschijnlijk hoog risico kan vereisen dat betrokkenen zonder onnodige vertraging worden geïnformeerd, met de uitzonderingen van artikel 34. Een verwerker informeert zijn verwerkingsverantwoordelijke zonder onnodige vertraging.

Dit zijn verschillende plichten en drempels; de richtlijnen over datalekken van de Ierse DPC leggen het onderscheid uit. De voorgestelde GDPR Digital Omnibus-wijzigingen zijn geen reden om nu een andere meldtermijn te gebruiken.

Checklist voor beveiligingsevaluatie

AI-specifieke chatbotrisico’s beheren

AI-evaluatie moet zowel de informatie omvatten die het model ontvangt als de handelingen die de uitvoer kan activeren. Algemene softwarebeveiliging blijft noodzakelijk.

Promptinjectie en adversariële tests

Promptinjectie kan binnenkomen via een bezoekersbericht of opgehaalde inhoud die het model probeert bij te sturen. Een document kan het bijvoorbeeld opdragen privérecords te onthullen of een niet-gerelateerde Action aan te roepen.

Scheid vertrouwde instructies van onvertrouwde inhoud, beperk beschikbare rechten, valideer actieargumenten en test pogingen tot onbevoegde toegang. Filters en instructies kunnen helpen, maar garanderen geen preventie. OWASP-richtlijnen over promptinjectie vermelden expliciet dat RAG en fine-tuning de kwetsbaarheid niet volledig verhelpen.

Gebruik synthetische of passend voorbereide testgegevens. Leg vast of het systeem weigerde, informatie onthulde, een tool aanriep of escaleerde; alleen een geruststellende slotzin bewijst geen veilig gedrag.

Hallucinaties en antwoordvalidatie

Een model kan een aannemelijk antwoord produceren dat niet door beschikbaar bewijs wordt ondersteund. Ophalen uit een onderhouden Knowledge Base kan antwoorden onderbouwen, maar garandeert geen feitelijke juistheid en dwingt op zichzelf geen rechten af.

Test verouderde regels, tegenstrijdige bronnen, ontbrekende records en verzoeken buiten het beoogde bereik. Bied een manier om fouten te melden en onopgeloste gevallen naar een mens te leiden. Vergelijk accountspecifieke antwoorden met geautoriseerde bronrecords in plaats van op modelzekerheid te vertrouwen. Onze uitleg van AI-hallucinaties bespreekt het onderliggende gedrag.

Gegevenslekken, training en redactie

Gebruik voor training, inferentie, applicatiestatus en logs zijn afzonderlijke verwerkingsactiviteiten. Neem niet aan dat elk bericht een model traint, of dat een belofte over niet trainen betekent dat geen gegevens worden verstuurd of bewaard.

De Legal FAQ van Quickchat AI stelt dat klantmateriaal niet wordt gebruikt om LLM’s te trainen en dat PII-scrubbing op verzoek beschikbaar is. Dit belooft niet dat elk bericht wordt opgeschoond of alle persoonsgegevens worden herkend. Bevestig de gekozen configuratie en leveranciersvoorwaarden.

Redactie van invoer moet plaatsvinden vóór de verwerking die ze moet voorkomen; redactie van uitvoer gebeurt na generatie. Een naam verwijderen kan nog steeds identificerende context achterlaten. De EDPB onderscheidt pseudonimisering en anonimisering, en zijn advies over AI-modellen vereist een beoordeling van anonimiteit per geval.

Bewijs voor uitleg en auditsporen

Bewaar proportioneel bewijs van opgehaalde bronnen, handelingen, relevante instellingen en menselijke beoordeling. Behandel een gegenereerde uitleg, interne zekerheidsscore of uitlegmethode niet als automatisch bewijs van wettelijke naleving.

De functie Why AI said that in Quickchat AI Inbox kan opgehaalde bronnen en uitvoeringsbewijs tonen. Dit helpt een antwoord te onderzoeken; het is geen volledige causale beschrijving van de interne modelwerking of vervanging voor beoordeling van uitlegverplichtingen bij ingrijpende beslissingen.

Internationale verwerking en serverlocaties

Breng opslag, modelverwerking, supporttoegang, integraties en verdere doorgiften in kaart. De regio van een database beantwoordt slechts een deel van de locatievraag.

Hosting in de EER en verwerking buiten de EER

De AVG legt geen universele verplichting op om uitsluitend in de EU te hosten. Doorgiften buiten de EER vereisen een toepasselijke route uit hoofdstuk V naast de andere AVG-eisen. De EDPB-gids over doorgiften legt adequaatheid, passende waarborgen en beperkte uitzonderingen uit.

De Legal FAQ van Quickchat AI beschrijft GCP-opslag in België. De Privacy Policy bespreekt apart doorgiften naar de VS en contractuele waarborgen. Opslag in België bewijst dus geen uitsluitend EU-verwerking. De FAQ beschrijft ook enterprise-opties, waaronder private cloud, een zelfgehost LLM en on-premisesafspraken; architectuur, beschikbaarheid en verantwoordelijkheden moeten voor de specifieke implementatie worden overeengekomen.

Standaardcontractbepalingen en het EU-US Data Privacy Framework

De actuele adequaatheidslijst van de Commissie omvat Amerikaanse commerciële organisaties die deelnemen aan het EU-US Data Privacy Framework. Verifieer actieve deelname van de ontvanger en het bereik dat de doorgifte dekt. Alleen een Amerikaans adres is onvoldoende.

Wanneer je standaardcontractbepalingen of een ander instrument uit artikel 46 gebruikt, beoordeel dan of wetten en praktijken van het bestemmingsland de waarborgen ondermijnen en aanvullende maatregelen nodig zijn. Doorgiften onder een adequaatheidsbesluit vereisen niet automatisch dezelfde aanvullende doorgiftebeoordeling. Geen van beide routes verwijdert plichten over doel, rechtsgrond, beveiliging of verwerkerscontracten.

Verwar de status van een cloudprovider niet met die van de chatbotleverancier. De FAQ van Quickchat AI beschrijft lopende afstemming op DPF, geen geverifieerde deelname.

Aanbiedersvoorbeeld: gegevensinstellingen van de OpenAI API

OpenAI’s API-documentatie over gegevens stelt dat API-invoer en -uitvoer standaard niet voor training worden gebruikt, tenzij de klant daarvoor kiest. Ze beschrijft afzonderlijk logs voor misbruikmonitoring en applicatiestatus. Standaardlogs voor misbruikmonitoring kunnen maximaal 30 dagen worden bewaard, met juridische of veiligheidsuitzonderingen.

Zero Data Retention en Modified Abuse Monitoring vereisen goedkeuring en kennen endpointbeperkingen. Bevestig het daadwerkelijke account, endpoint, contract en de verwerkingslocaties. Geschiedenisinstellingen van consumenten-ChatGPT bepalen de instellingen van een API-integratie niet. Deze algemene aanbiedersvoorwaarden bewijzen niet dat een specifiek Quickchat AI-account geen gegevens bewaart.

Verwerkersovereenkomsten en verantwoordelijkheden van leveranciers

Wanneer een leverancier namens jou persoonsgegevens verwerkt, vereist artikel 28 een bindend contract of een andere kwalificerende rechtshandeling. Beoordeel afzonderlijke toepassingen, zoals verwerking voor eigen doeleinden van de aanbieder, in plaats van voor elke activiteit dezelfde rol aan te nemen. De EDPB-richtlijnen over verantwoordelijken en verwerkers leggen het onderscheid en de contractvereisten uit.

Vereiste verwerkersvoorwaarden en aanvullende AI-vragen

Controleer of de overeenkomst het volgende dekt:

• Onderwerp, duur, aard en doel van de verwerking, gegevenstypen, categorieën betrokkenen en rechten en verplichtingen van de verwerkingsverantwoordelijke.
• Gedocumenteerde instructies, inclusief doorgiften, met de toepasselijke uitzonderingen in EU- of lidstaatrecht.
• Vertrouwelijkheid en passende beveiligingsmaatregelen onder artikel 32.
• Voorafgaande specifieke of algemene schriftelijke toestemming voor subverwerkers, kennisgeving van wijzigingen en gelegenheid tot bezwaar bij algemene toestemming, waarbij de vereiste verplichtingen worden doorgelegd.
• Bijstand bij individuele rechten, beveiliging, datalekafhandeling en effectbeoordelingen.
• Wissing of teruggave naar keuze van de verwerkingsverantwoordelijke na beëindiging van verwerkingsdiensten, en verwijdering van bestaande kopieën tenzij EU- of lidstaatrecht opslag vereist.
• Informatie om naleving aan te tonen en voorzieningen voor audits en inspecties.

Vraag apart naar modeltraining, feedback, bewaring en secundair gebruik. De AVG vereist niet simpelweg een universeel verbod op elk mogelijk trainingsgebruik; elk gebruik heeft een passende beoordeling van doel, rol en juridische voorwaarden nodig.

Quickchat AI publiceert een Data Processing Agreement. Beoordeel de toepasselijke ondertekende voorwaarden en ondersteunende informatie. Alleen de beschikbaarheid ervan bewijst niet dat een specifiek contract of gebruik aan alle bovenstaande eisen voldoet.

Onderhandelingspunten voor AI-aanbieders

Vraag concrete antwoorden over verwerkingslocaties, subverwerkers, operationele bewaring, accountinstellingen, communicatie over datalekken en exitprocedures. Onderscheid gedocumenteerde productinstellingen van contractspecifieke toezeggingen.

Vraag wat er gebeurt bij het uitschakelen van een functie, ontkoppelen van een kanaal, verwijderen van een agent of beëindigen van een contract. Stel het exportbereik, verwijderingsbewijs, resterende wettelijk vereiste gegevens en back-upbehandeling vast. Aansprakelijkheid en serviceniveaus zijn commerciële vragen én onderdelen van leveranciersbeoordeling; accepteer een algemene beveiligingsverklaring niet als volledige technische bijlage.

Personalisatie en gegevensminimalisatie

Begin met de minste informatie die nodig is om de huidige vraag te beantwoorden. Blijvende profielen vereisen een eigen doel en beoordeling.

Differentiële privacy en verwerking op het apparaat

Differentiële privacy kan bij geschikte statistische of trainingstoepassingen helpen informatie over personen te beperken. De bescherming hangt af van implementatie en parameters; het noemen van de techniek bewijst geen anonimisering of rechtmatige verwerking.

Een voorkeur verwerken op het apparaat van de bezoeker kan verzameling op de server beperken. Controleer wat het apparaat toch verlaat, inclusief identificatoren en telemetrie. Opslag of toegang op apparaten kan ePrivacy-gevolgen hebben, ook als de informatie geen persoonsgegeven is.

Segmentgerichte antwoorden en individuele profilering

Een antwoord afstemmen op een opgegeven productcategorie kan minder gegevens vereisen dan een langdurig gedragsprofiel bijhouden. Toch kan het indelen van een bekende klant in een segment nog steeds persoonsgegevens verwerken.

Beoordeel daadwerkelijk doel, rechtsgrond, informatie, bewaring en toegangscontrole. Toestemming is niet universeel vereist voor elke personalisatievorm, en ingrijpende geautomatiseerde beslissingen vragen een aparte artikel 22-beoordeling. Bied een bruikbare basisdienst als optionele profilering wordt geweigerd.

Chatbots in gereguleerde sectoren

Sectorregels hangen af van de entiteit, activiteit en jurisdictie. Een AI-chatbot voor een advocatenkantoor en een AI-chatbot voor financiële dienstverlening hebben duidelijke grenzen nodig tussen algemene informatie, accounttoegang en professioneel advies. Alleen een disclaimer bepaalt die grenzen niet.

Gezondheidszorg: gevoelige gegevens en toepasselijke HIPAA-plichten

Gezondheidsgegevens vereisen een toepasselijke voorwaarde voor bijzondere categorieën onder de AVG én een grondslag uit artikel 6. Boeken, administratie, symptoombeoordeling en klinische beslissingen hebben verschillende risico’s. Een AI-chatbot voor een tandartspraktijk moet een klinische escalatieroute hebben die bij de beoogde rol past.

In de VS geldt HIPAA voor covered entities en business associates, niet automatisch voor elk Amerikaans gezondheidsgegeven. Een toepasselijke business-associaterelatie vereist de voorgeschreven overeenkomst. Verifieer rechten, waarborgen en recordspecifieke bewaring met de verantwoordelijke organisatie. Leid HIPAA-geschiktheid niet af uit een AVG-verwerkersovereenkomst, encryptieclaim of zorglandingspagina.

Financiën: administratie en besliscontroles

Identificeer de regels voor de onderneming en het recordtype voordat je bewaring bepaalt. FINRA Rule 4511 betreft bijvoorbeeld aangesloten ondernemingen en hanteert zes jaar voor FINRA-records waarvoor geen andere termijn geldt. Het is geen universele bewaartermijn voor ieder chatbotgesprek.

Onderscheid openbare productinformatie, gepersonaliseerd advies en beslissingen over toelating of geschiktheid. Beoordeel autorisatie, beroepsplichten, administratie en betekenisvolle beoordeling waar vereist. Vertrouw niet op een algemeen verbod op geautomatiseerde financiële dienstverlening of een generieke disclaimer die alles toestaat.

Publieke dienstverlening: beoordeling en toegankelijke informatie

Overheidsinstanties hebben in het algemeen een functionaris voor gegevensbescherming nodig, behoudens toepasselijke uitzonderingen, terwijl een specifieke DPIA afhangt van de verwerkingsrisico’s. Een openbare FAQ-chatbot en een systeem dat uitkeringsgerechtigdheid beïnvloedt, vragen verschillende beoordelingen.

Leg uit wie de dienst exploiteert, hoe gegevens worden gebruikt en hoe iemand hulp kan krijgen of rechten kan uitoefenen. Houd rekening met kwetsbare gebruikers, toegankelijke alternatieven en de gevolgen van onjuiste antwoorden of mislukte overdrachten. Beoordeel toepasselijke toegankelijkheids- en sectoreisen in plaats van te veronderstellen dat de chatbotinterface eraan voldoet.

Chatbotleveranciers en technologie beoordelen

Vraag bewijs dat aansluit op je beoogde proces. Onze koopgids voor AI-chatbots biedt bredere beoordelingscontext; de privacybeoordeling moet nog steeds je werkelijke gegevensstromen behandelen.

Wat ISO 27001, SOC 2 en Cyber Essentials aantonen

ISO/IEC 27001 betreft een managementsysteem voor informatiebeveiliging. Beoordeel de organisatie, diensten, locaties en geldigheid op het certificaat in plaats van het logo als dekking voor elk product te zien.

SOC 2 is een assurance-rapport, geen certificering. Een Type 2-rapport beoordeelt operationele effectiviteit over de gespecificeerde periode. Controleer de systemen, criteria, uitzonderingen en klantverantwoordelijkheden in het daadwerkelijke rapport.

Cyber Essentials is een Brits stelsel voor technische basismaatregelen tegen veelvoorkomende internetdreigingen. Geen ervan bewijst op zichzelf AVG-naleving voor jouw gebruik. De Legal FAQ van Quickchat AI beschrijft SOC 2 als een lopend traject; behandel die formulering niet als een afgerond rapport.

15 vragen aan potentiële leveranciers

1. Waar worden prompts, antwoorden, bestanden, logs en back-ups opgeslagen en verwerkt, en wie heeft toegang op afstand?
2. Welke rollen en verwerkingsactiviteiten dekt de voorgestelde verwerkersovereenkomst?
3. Hoe wordt toegang tot gegevens van de ene klant geïsoleerd van die van de andere?
4. Welke verbindingen en opgeslagen records zijn versleuteld en hoe worden sleutels beheerd?
5. Welke bewaar- en verwijderingsregels gelden per gegevenscategorie?
6. Hoe worden verzoeken om inzage, correctie, wissing en overdraagbaarheid ondersteund en geverifieerd?
7. Welke subverwerkers zijn betrokken en hoe worden wijzigingen gecommuniceerd?
8. Worden klantgegevens gebruikt voor training, evaluatie of feedback, en onder welke voorwaarden?
9. Hoe worden incidenten onderzocht en relevante datalekken gecommuniceerd?
10. Welke actuele certificaten of assurance-rapporten dekken de specifieke dienst?
11. Welke authenticatie, rollen en identiteitsintegraties zijn daadwerkelijk beschikbaar?
12. Welk bewijs betreft promptinjectie, onbevoegde handelingen en gegevenslekken?
13. Welke privacy- en beveiligingskeuzes zijn standaard, configureerbaar of enterprise-afspraken?
14. Welke logs en bron- of actiebewijzen zijn toegankelijk voor klanten en wat zijn hun beperkingen?
15. Hoe kunnen we nalevingsbewijs inspecteren, gegevens exporteren en het proces bij beëindiging verifiëren?

Een scorekaart voor leveranciersvergelijking

Leg naast scores ook bewijs en open vragen vast. Een onbekend contractueel of operationeel feit moet onbekend blijven, in plaats van punten te krijgen voor marketingtaal. Een onvervulde noodzakelijke voorwaarde mag niet verdwijnen in een gunstig totaal.

Download een register voor de gegevensstromen van je implementatie

Download het bewerkbare register voor gegevensstromen. Het gedeelde Engelstalige pakket bevat drie lege CSV-bestanden, een afzonderlijk fictief voorbeeld en instructies. Leg hiermee de componenten, gegevensstromen, bewijzen en open vragen van je voorgestelde implementatie vast. Het beschrijft geen geverifieerde Quickchat AI architectuur.

1. Noteer in components.csv de browser, applicatie, kennisopslag, modelaanbieder, gekoppelde diensten, logs en back-ups die daadwerkelijk van toepassing zijn. Leg verwerkings- en opslaglocaties afzonderlijk vast, samen met trainingsgebruik, bewaring, verwijderingsbereik en verantwoordelijkheid voor toegang. Laat onbekende feiten onopgelost.
2. Verbind in data-flows.csv de component-ID’s en beschrijf voor elke stroom het doel, de gegevenscategorieën en de toegangsvoorwaarden. Noteer categorieën en documentverwijzingen, geen privétranscripten of inloggegevens.
3. Koppel in evidence-register.csv elke bewering aan een gedateerde bron en de reikwijdte ervan. Onderscheid leveranciersverklaringen, contracten en configuratie van testplannen en vastleggingen van geobserveerde tests. Een geplande test blijft not_run. Wijs voor open vragen een verantwoordelijke aan.

Importeer de UTF-8-CSV’s als aparte werkbladen en behoud de identificatoren. De optionele offlinecontrole controleert opmaak en verwijzingen; zij kan geen leveranciersbewering verifiëren of juridische naleving vaststellen. Gebruik het register samen met de vragen en scorekaart hierboven en de beoordeling die je daadwerkelijke implementatie vereist.

Een praktische route voor kleinere teams

Beperk het eerste proces tot wat het team kan uitvoeren en verifiëren. Beginnen met openbare informatie kan complexiteit verminderen, maar vrije tekst en technische identificatoren blijven beoordeling vereisen.

Afwegingen tussen zelfgehoste software en SaaS

Zelf hosten kan meer directe controle over architectuur en gegevensverwerking bieden. Het vereist ook exploitatie, patches, monitoring en beveiliging van het systeem. Licentie- en infrastructuurkosten variëren; opensourcebeschikbaarheid garandeert geen gratis implementatie en sluit externe verwerkers niet uit.

SaaS kan beheerde infrastructuur en support bieden, maar klanten moeten nog steeds hun doelen, rechtsgronden, configuratie en passende voorwaarden vaststellen. Vergelijk het resterende werk voor je team, niet alleen de abonnementsprijs. Verifieer private-cloud- of selfhostingaanbod als een specifieke afspraak in plaats van beschikbaarheid op ieder plan aan te nemen.

Maatregelen die met beperkte middelen uitvoerbaar zijn

Gebruik onderhouden software, veilig transport, passende authenticatie en beperkte toegang. Houd credentials buiten prompts en overbodige records buiten de Knowledge Base. Richt een inbox voor rechtenverzoeken in met een eigenaar en een bewaarregister dat de werkelijke systemen weerspiegelt.

Gebruik sjablonen van toezichthouders om de beoordeling te structureren, maar schrijf privacy-informatie vanuit je eigen gegevensstromen. Een generieke beleidsgenerator kan niet vaststellen wat je chatbot doet. Test herstel én back-ups, documenteer incidenten en behoud een route voor menselijke escalatie. Verklein het bereik vóór lancering als een noodzakelijke waarborg of juridische beoordeling nog ontbreekt.

Drie hypothetische implementatievoorbeelden

Dit zijn ontwerpvoorbeelden, geen klantcases, gemeten resultaten of bewijs van goedkeuring door een toezichthouder.

• Informatieassistent van een retailbank. Beperk de bot tot goedgekeurde openbare productinformatie en stuur accounttransacties naar een geauthenticeerde dienst. Beoordeel verwerkingsgronden, aanbieders en records. Test of een bezoeker openbaarmaking van accountinformatie kan uitlokken. Dit ontwerp moet nog worden beoordeeld aan de hand van de toepasselijke bankregels.
• Assistent voor universitaire toelating. Scheid algemene toelatingsinformatie van aanvraagstatus en toelatingsbeslissingen. Een eigen rechtenportaal kan identiteit verifiëren en relevante records verzamelen voor beoordeling en veilige levering. JSON kan nuttig zijn voor toepasselijke overdraagbaarheidsverzoeken, maar alleen een bestand produceren bewijst geen volledige inzageafhandeling of naleving van termijnen.
• Administratieve zorgassistent. Definieer de toegestane boekings- en informatietaken, minimaliseer gevraagde details en bied een passende klinische escalatieroute. Beoordeel redactie op onverwachte gezondheidsinformatie en erken gemiste detecties. Een disclaimer of redactielaag bewijst niet dat het resterende gesprek anoniem is of geschikt voor onbeperkte training.

De EU AI Act naast de AVG

De AI Act trad in augustus 2024 in werking en wordt gefaseerd toegepast. Hij vervangt de AVG niet. Op de beoordelingsdatum van deze handleiding weerspiegelt de actuele implementatietijdlijn van de Commissie aangenomen wijzigingen, niet alleen het oorspronkelijke schema.

Actuele transparantieplichten en toepassingsdata voor hoog risico

Artikel 50 geldt vanaf 2 augustus 2026. Het verplicht aanbieders ervoor te zorgen dat mensen die rechtstreeks met AI interageren daarvan op de hoogte zijn, tenzij dat in de context duidelijk is. Verplichte informatie moet bij het eerste contact helder en toegankelijk zijn. Controleer andere artikel 50-plichten waar relevant voor gegenereerde inhoud of het specifieke systeem.

De aangenomen AI Omnibus trad op 27 juli 2026 in werking. De relevante hoogrisico-eisen gelden nu vanaf 2 december 2027 voor systemen uit bijlage III en 2 augustus 2028 voor productgerelateerde systemen uit bijlage I. Classificatie hangt af van het beoogde gebruik en wettelijke criteria; een chatbot in een gereguleerde sector is niet automatisch hoog risico alleen vanwege die sector.

Beoordeel verantwoordelijkheden van aanbieder en gebruiksverantwoordelijke apart, inclusief toepasselijke documentatie, toezicht, logging en conformiteitsplichten. Het gewijzigde artikel 4 vereist nog steeds maatregelen voor AI-geletterdheid van medewerkers, zonder een gegarandeerd individueel niveau te eisen.

De afzonderlijke GDPR/ePrivacy Digital Omnibus-procedure was bij controle op 4 november 2026 nog niet afgerond. Voorgestelde wijzigingen van die regels mogen niet als geldend recht worden behandeld.

ISO/IEC 42001 en AI-governance

ISO/IEC 42001:2023, gepubliceerd in december 2023, specificeert een kader voor een AI-managementsysteem. Het kan helpen verantwoordelijkheden, risicobeoordeling en doorlopende evaluatie te organiseren. Afstemming of certificering betekent niet automatisch dat een chatbot aan de AVG of alle toepasselijke AI Act-plichten voldoet.

Een implementatietijdlijn en verantwoordelijkhedenmatrix

Gebruik een gefaseerd plan om ontbrekend bewijs vóór publieke lancering te vinden. Het schema is een voorbeeld, geen wettelijke termijn of belofte dat elk project in 90 dagen kan worden afgerond.

Een 90-dagenplan met beoordelingsmomenten

• Dagen 1-30: verkenning. Definieer taken, gegevensstromen, grondslagen, rollen en sectoreisen. Toets of een DPIA nodig is, benoem beslissers en verzamel leveranciersbewijs.
• Dagen 31-60: implementatie. Spreek toepasselijke verwerkersvoorwaarden af; configureer informatie, toegang, integraties en bewaring. Bouw de benodigde rechten- en incidentprocessen. Rond beoordelingswerk af naarmate het ontwerp concreet wordt.
• Dagen 61-90: verificatie. Test gewone taken, onbevoegde verzoeken, onjuiste antwoorden, verwijderingsbereik en herstel. Train het team, regel noodzakelijke waarborgen en beoordeel een vereiste DPIA voordat de relevante verwerking start. Ook een beperkte pilot heeft passende bescherming nodig.

Kies het lanceringsmoment op basis van gereedheid, niet alleen de kalender. De handleiding voor conversational-AI-platforms biedt aanvullende context voor platformbeoordeling.

RACI-voorbeeld met onafhankelijk FG-advies

R betekent verantwoordelijk voor de uitvoering, A de eindverantwoordelijke projecteigenaar van de organisatie, C geraadpleegd en I geïnformeerd. Dit operationele voorbeeld verplaatst geen wettelijke verantwoordelijkheid van de verwerkingsverantwoordelijke of verwerker.

De functionaris voor gegevensbescherming (FG) adviseert en houdt onafhankelijk toezicht. De FG-richtlijnen leggen verantwoordelijkheid voor naleving en de DPIA bij de verwerkingsverantwoordelijke en waarschuwen voor conflicterende rollen die verwerkingsdoelen en -middelen bepalen. Niet iedere organisatie moet een FG benoemen.

Voordat je de implementatie goedkeurt

Beoordeel de gegevenskaart, toepasselijke contracten, bewaarregels en operationele testresultaten samen. Bevestig wie een rechtenverzoek of incidentmelding ontvangt en wat er gebeurt wanneer een aanbieder, integratie of doel verandert.

Onderscheid bij Quickchat AI gedocumenteerde maatregelen van eisen die een specifieke afspraak nodig hebben. Account- of agentverwijdering, een privacydisclaimer, scrubbing op verzoek en een genoemde opslagregio hebben elk een beperkt bereik. Los de eisen voor de daadwerkelijke implementatie op voordat je erop vertrouwt.

Veelgestelde vragen over chatbotprivacy

Kan een GPT-chatbot AVG-conform zijn?

Hij kan onderdeel zijn van een rechtmatige implementatie, afhankelijk van doelen, gegevens, rollen, contracten, beveiliging, rechtenafhandeling en doorgiften. Een modelnaam, instelling tegen trainingsgebruik of EU-server volstaat op zichzelf niet. Pseudonimisering kan risico beperken terwijl de gegevens onder de AVG blijven vallen.

Hoe verwijder ik op verzoek de gegevens van een gebruiker?

Verifieer identiteit proportioneel, vind relevante records, beoordeel wisgronden en uitzonderingen, coördineer verwerkers en verifieer het resultaat. Handel zonder onnodige vertraging en normaal binnen één kalendermaand, met tijdige mededeling van een toegestane verlenging. Neem logs, exports en back-ups in de beoordeling mee. Een Quickchat AI Agent verwijderen is niet hetzelfde als zijn gesprekken wissen.

Welke authenticatiemethode moet een chatbot gebruiken?

Stem die af op de taak. Een openbare FAQ heeft mogelijk geen bezoekersauthenticatie nodig, terwijl accountgegevens of transacties een passend geauthenticeerde en geautoriseerde route vereisen. Bescherm beheertoegang, overweeg MFA en verifieer rolbeperkingen. Noch SSO noch biometrie is een universeel antwoord voor elk proces.

Hoe lang mag ik chatlogs bewaren onder de AVG?

Alleen zolang gerechtvaardigd voor het relevante doel, met inachtneming van wettelijke verplichtingen. Definieer termijnen of criteria per gegevenscategorie en leg ze uit in de privacy-informatie. Een voorbeeldtermijn van 30 of 90 dagen is geen AVG-standaard en ook bewaring van toestemmingsbewijs vraagt rechtvaardiging.

Heb ik een verwerkersovereenkomst nodig als ik het model zelf host?

Beoordeel of een andere entiteit namens jou persoonsgegevens verwerkt. Zelf software draaien creëert niet automatisch een verwerkersrelatie met de maker, maar hosting, support, analytics of andere diensten kunnen dat wel doen. Toepasselijke artikel 28-voorwaarden blijven nodig voor verwerkers en zelf hosten neemt je eigen verplichtingen niet weg.

Mag een chatbot volledig geautomatiseerde beslissingen nemen onder artikel 22?

De beperking in artikel 22 betreft uitsluitend geautomatiseerde beslissingen met rechtsgevolgen of vergelijkbaar ingrijpende gevolgen. Waar ze geldt, beoordeel een toepasselijke uitzondering en vereiste waarborgen, inclusief betekenisvolle menselijke tussenkomst waar nodig. Gewone supportantwoorden vallen niet automatisch onder die beperking; ingrijpende toelatings- of toegangsbeslissingen vragen nadere beoordeling.

Wat moet een privacyverklaring voor een chatbot bevatten?

Leg de verwerkingsverantwoordelijke en contactgegevens, doelen en grondslagen, relevante ontvangers en doorgiften, bewaring, toepasselijke rechten en klachtmogelijkheden uit. Neem andere informatie uit artikelen 13 of 14 mee voor de daadwerkelijke verzameling, waaronder intrekking bij toestemming en relevante informatie over geautomatiseerde beslissingen. Houd de verklaring toegankelijk en juist. Geef verplichte informatie over AI-interactie los van het verkrijgen van toestemming.

Hoe kan ik het risico op promptinjectie verminderen?

Behandel bezoekersberichten en opgehaalde inhoud als onvertrouwd. Beperk rechten, dwing autorisatie buiten het model af, valideer actieparameters en test pogingen om onbevoegde gegevens te openen of niet-gerelateerde handelingen uit te voeren. Instructies, filters en RAG garanderen geen preventie. Behoud een route voor onderzoek en menselijke escalatie.

Hebben chatwidgets cookietoestemming nodig?

Beoordeel elke opslag- of toegangshandeling en het doel onder de toepasselijke ePrivacy-implementatie. EDPB-richtlijnen omvatten meer dan cookies. Strikt noodzakelijke handelingen voor een door de bezoeker uitdrukkelijk gevraagde dienst kunnen vrijgesteld zijn; andere handelingen kunnen voorafgaande toestemming vereisen. De Quickchat AI-widget gebruikt lokale browseropslag voor gesprekscontinuïteit en voorkeuren. Neem niet aan dat alle widgetopslag vrijgesteld is of dat iedere widget volledig geblokkeerd moet worden vóór een toestemmingskeuze.

Vervangt de EU AI Act de AVG voor chatbots?

Nee. De AVG blijft relevante verwerking van persoonsgegevens regelen, terwijl de AI Act verplichtingen toevoegt volgens systeem, rol en gebruik. Transparantieplichten uit artikel 50 gelden al vanaf 2 augustus 2026. Controleer het actuele gewijzigde schema voor hoogrisico-eisen in plaats van op de oorspronkelijke verwachtingen voor 2025/2026 te vertrouwen.

Begin voor beoordeling van het Quickchat AI-platform met een gedefinieerd proces en de benodigde gegevens, en vergelijk daarna gedocumenteerde maatregelen en toepasselijke voorwaarden met je eisen.