AI en privacy: zo gebruik je klantdata veilig onder de AVG

Ja, je mag klantgegevens met AI verwerken, zolang je de AVG volgt. AI verandert niets aan de basisregels; het maakt ze alleen belangrijker, omdat AI-systemen veel gegevens tegelijk kunnen verwerken. Met deze zeven regels zit je goed.

Dit artikel is algemene informatie en geen juridisch advies.

1. Zorg voor een geldige grondslag

Voor elke verwerking heb je een reden nodig die de AVG erkent. Voor de meeste MKB-toepassingen is dat de uitvoering van een overeenkomst (je klant wil een afspraak) of een gerechtvaardigd belang (je wilt aanvragen goed opvolgen). Voor marketing heb je vaak toestemming nodig.

2. Gebruik niet meer gegevens dan nodig

Koppel alleen de systemen en velden die nodig zijn voor het doel. Een dagelijkse omzetbriefing heeft geen BSN's of medische gegevens nodig. Minder data betekent minder risico.

3. Sluit een verwerkersovereenkomst met elke leverancier

Elke partij die voor jou persoonsgegevens verwerkt (de AI-leverancier, de hostingpartij, de spraakdienst) is een verwerker. Met elk van hen heb je een verwerkersovereenkomst nodig. Een goede AI-partner levert die standaard aan en vertelt welke subverwerkers hij gebruikt.

4. Let op waar de data staat

Opslag en verwerking in de EU is het eenvoudigst. Zit een leverancier in de VS, controleer dan of die onder het EU-VS Data Privacy Framework valt of standaardcontractbepalingen heeft getekend.

5. Spreek bewaartermijnen af

Bewaar opnames, transcripties en chatgesprekken niet langer dan nodig. Gangbaar is:

6. Beveilig het goed

Versleutelde verbindingen, tweestapsverificatie, toegang alleen voor wie het nodig heeft, en een logboek van wie wat inziet. Vraag je leverancier hoe dit geregeld is.

7. Wees open in je privacyverklaring

Vermeld dat je AI gebruikt, waarvoor, welke gegevens, en wie je verwerkers zijn. Gebruik je een AI-receptionist of chatbot, dan moet die volgens de EU AI Act ook aan het begin van het gesprek zeggen dat hij een AI is. Zie De EU AI Act voor het MKB.

Wanneer heb je een DPIA nodig?

Een DPIA (gegevensbeschermingseffectbeoordeling) is verplicht als een verwerking waarschijnlijk een hoog risico voor mensen oplevert. Denk aan het verwerken van gezondheidsgegevens op grote schaal, het systematisch volgen van mensen, of het combineren van veel gegevensbronnen over personen. De Autoriteit Persoonsgegevens publiceert een lijst van verwerkingen waarvoor een DPIA verplicht is. Werk je in de zorg, lees dan ook AI in de zorgpraktijk.

Hoe een goed AIOS privacy inbouwt

Een AI Operating System brengt data samen, dus privacy hoort in het ontwerp te zitten: alleen de bronnen koppelen die nodig zijn, gevoelige velden uitsluiten, opslag in de EU, rollen en rechten per medewerker, en vaste bewaartermijnen. Bij Tergem draait je AIOS op je eigen accounts, zodat de data van jou blijft. Stel je privacyvraag in een vrijblijvend gesprek.