Gids 17 · 7 minuten

Mag ik klantgegevens door AI laten lezen onder de AVG?

Het korte antwoord

Ja, dat mag, als je het regelt zoals bij elke andere dienst die persoonsgegevens voor je verwerkt. Gebruik een zakelijk account bij een aanbieder die als verwerker optreedt, sluit een verwerkersovereenkomst, en kies voorwaarden waarin staat dat je gegevens niet gebruikt worden om modellen te trainen. Stuur alleen naar het model wat het moet lezen: een BSN en medische gegevens haal je er vooraf uit. Vermeld het gebruik in je privacyverklaring, en maak een DPIA als je op grote schaal gevoelige gegevens verwerkt.

De AVG kent geen apart hoofdstuk voor AI. Een taalmodel dat een mail van een klant leest, verwerkt persoonsgegevens, net als je boekhoudpakket of je mailprovider. Dezelfde regels gelden dus: een doel, een grondslag, niet meer gegevens dan nodig, goede beveiliging en afspraken met wie de gegevens voor je verwerkt.

Wat het bij AI anders maakt, is hoe makkelijk het misgaat. Een medewerker plakt een klantbestand in een gratis chatprogramma, en de gegevens staan bij een bedrijf waar je geen afspraken mee hebt. De Autoriteit Persoonsgegevens kreeg in 2024 meldingen van precies zulke datalekken, onder meer bij een huisartsenpraktijk die medische gegevens van patiënten in een chatbot had gezet.

Laat mij hiernaar kijkenBel 06 83 67 99 22

Wat je regelt voordat er klantgegevens in gaan

01

Een zakelijk account

Bij gratis en persoonlijke abonnementen kan wat je invoert gebruikt worden om modellen te trainen, tenzij je dat zelf uitzet, en is er meestal geen verwerkersovereenkomst. De zakelijke versies van de bekende aanbieders trainen standaard niet op je gegevens. Lees het na in de voorwaarden van het abonnement dat je neemt.

02

Een verwerkersovereenkomst

De aanbieder verwerkt persoonsgegevens in jouw opdracht en is dus verwerker. De AVG eist dan een schriftelijke overeenkomst: waarvoor de gegevens gebruikt mogen worden, hoe ze beveiligd zijn, welke subverwerkers er zijn, hulp bij datalekken en verwijderen na afloop. De grote aanbieders hebben een standaard verwerkersovereenkomst bij hun zakelijke voorwaarden. Bewaar een kopie.

03

Verwerking in Europa, waar het kan

Gaan gegevens buiten de Europese Economische Ruimte, dan moet daar een geldige basis voor zijn, zoals het EU-VS-privacykader of standaardcontractbepalingen. Kan de aanbieder de verwerking in Europa houden, kies daar dan voor. Het scheelt uitzoekwerk en het is makkelijker uit te leggen aan je klanten.

04

Alleen wat het model moet lezen

Om een offerteaanvraag voor te bereiden heeft een model de omschrijving, de foto's en misschien de plaats nodig. Het telefoonnummer en het geboortejaar van de klant niet. Wat er niet heen hoeft, gaat er niet heen.

Let op

BSN en medische gegevens eruit

Een BSN mag een bedrijf alleen gebruiken als een wet dat uitdrukkelijk toestaat, bijvoorbeeld een werkgever voor de loonadministratie. Toestemming van de klant is niet genoeg. Staat er een BSN in een document dat een agent leest, bijvoorbeeld op een kopie van een identiteitsbewijs, dan haal je het er vooraf uit of laat je dat document helemaal buiten de agent.

Gegevens over gezondheid zijn bijzondere persoonsgegevens, die je alleen in uitzonderingsgevallen mag verwerken. In de installatietechniek en de bouw kom je ze tegen op onverwachte plekken: een klant die vraagt om een traplift omdat hij slecht ter been is, een aanvraag voor een aangepaste badkamer. Spreek af hoe je daarmee omgaat, en laat zulke berichten liever door een mens behandelen.

Wat je in je privacyverklaring zet

Je privacyverklaring moet al vermelden welke gegevens je verwerkt, waarvoor, op welke grondslag en met wie je ze deelt. Komt er een AI-dienst bij, dan voeg je die toe bij de ontvangers of categorieën ontvangers, met waarvoor je hem gebruikt. Gaan gegevens buiten Europa, dan vermeld je dat ook, met de basis waarop het gebeurt.

Een zin als deze is voor de meeste kleine bedrijven voldoende: 'Om binnenkomende aanvragen sneller te verwerken, laten we de tekst en foto's van je aanvraag lezen door een AI-dienst van [aanbieder], die als onze verwerker optreedt en je gegevens niet gebruikt om zijn modellen te trainen. Een medewerker beoordeelt elk voorstel voordat je het van ons krijgt.' Neemt het systeem zelf besluiten met gevolgen voor de klant, zonder dat er een mens tussen zit, dan gelden er strengere regels en moet je dat apart uitleggen.

Wanneer je een DPIA maakt

Een DPIA, een gegevensbeschermingseffectbeoordeling, is verplicht als een verwerking waarschijnlijk een hoog risico oplevert voor de mensen om wie het gaat. De Autoriteit Persoonsgegevens heeft een lijst van verwerkingen waarvoor dat altijd geldt, en Europese richtsnoeren geven negen criteria, waaronder gevoelige gegevens, verwerking op grote schaal, het combineren van gegevensbestanden en het gebruik van nieuwe technologie. Voldoe je aan twee of meer, dan is een DPIA meestal nodig.

Een agent die offerteaanvragen met naam, adres en foto's van een badkamer voorbereidt, raakt vaak alleen het criterium nieuwe technologie. Een DPIA is dan meestal niet verplicht. Leg wel in een halve pagina vast welke gegevens erin gaan, welke niet, en waarom je vindt dat het risico laag is. Verwerk je gezondheidsgegevens, gegevens van personeel of grote klantbestanden, dan maak je er wel een.

Zelf doen

Wat je vandaag zelf kunt afwerken

Vink af wat je hebt gedaan. Er wordt niets bewaard, bij een volgend bezoek staat de lijst weer leeg. Dat is een keuze: iets opslaan in je browser om een vinkje te onthouden staat slecht op een site die uitlegt waarom je zo weinig mogelijk van je bezoekers wilt weten.

0 / 6

Of je laat het doen

AI-agents laten bouwen voor je bedrijf

Bij wat ik bouw staat op papier welke gegevens naar het model gaan en welke niet, en het draait op een zakelijk account op jouw naam.

doorlooptijd proef in 1 week, bouwen in 1 tot 4 weken · vaste prijs vooraf

Bekijk deze dienstStuur je vraag

Vragen

Wat mensen hier nog over vragen

Staat je vraag er niet bij? Mail me, dan schrijf ik hem erbij. Binnen één werkdag antwoord. Meestal dezelfde dag.

Stel je vraag

In een gratis of persoonlijk account liever niet: daar heb je meestal geen verwerkersovereenkomst en kan wat je invoert voor training worden gebruikt. In een zakelijk account met verwerkersovereenkomst mag het wel, als het past bij het doel waarvoor je de gegevens van die klant hebt en je er niet meer in zet dan nodig.

Meestal niet. Als je een aanvraag behandelt waar de klant zelf om heeft gevraagd, is dat de grondslag, en een AI-dienst die daarbij helpt valt daaronder, net als je mailprovider. Je moet het wel melden in je privacyverklaring.

Dat hoeft niet. Gaan gegevens buiten de Europese Economische Ruimte, dan moet daar wel een geldige basis voor zijn, zoals het EU-VS-privacykader of standaardcontractbepalingen. Biedt de aanbieder verwerking in Europa aan, dan is dat de eenvoudigste keuze.

Dan is dat in veel gevallen een datalek. Je moet het binnen 72 uur bij de Autoriteit Persoonsgegevens melden als het een risico oplevert voor de mensen om wie het gaat, en bij een hoog risico ook die mensen zelf informeren. Leg het in elk geval vast in je eigen register van datalekken.

Waar dit op gebaseerd is

Hier gaat het over verder

Alle vragen staan in de kennisbank.

Volgende stap

Zullen we eens kijken waar bij jou de uren weglekken?

Een gesprek van drie kwartier, bij jou op locatie. Je krijgt sowieso een lijstje mee met wat ik zou aanpakken, of je nu met mij verder gaat of niet.

Stuur je vraagBel 06 83 67 99 22Mail me direct

Binnen één werkdag antwoord. Meestal dezelfde dag. · Je spreekt Kaz, niet een callcenter.