De transparantieplicht erbovenop.
AVG
AVG voor spraak- en chat-AI: de plichten, en wie ze draagt.
Laatst getoetst: 8 oktober 2026
De AVG geldt voor elke organisatie die persoonsgegevens van mensen in de EU verwerkt, ongeacht wie de AI heeft gebouwd. Voor een spraak- of chatagent komt dat neer op vier dingen: een grondslag voor elke verwerking, een grens aan wat het systeem zelf mag afhandelen, informatie op het moment van verzamelen, en iemand kunnen wissen als die erom vraagt. Audact werkt als verwerker; de klant blijft steeds verwerkingsverantwoordelijke.
Wat de wet vereist
- Elke verwerking (verzamelen, afleiden, bewaren) heeft een eigen grondslag nodig, en die moet vaststaan voordat de verwerking begint.
- Verordening (EU) 2016/679, art. 6(1)
- Een spraakopname, of inhoud waaruit gezondheid, overtuiging of seksuele gerichtheid blijkt, kan een bijzondere categorie zijn. Daarvoor is een zwaardere grondslag nodig, zoals uitdrukkelijke toestemming.
- Verordening (EU) 2016/679, art. 9(1) en 9(2)(a)
- Iemand heeft het recht niet te worden onderworpen aan een uitsluitend geautomatiseerd besluit met rechtsgevolgen of vergelijkbaar aanmerkelijke gevolgen. Waar zo'n besluit wél mag, moet de verantwoordelijke menselijke tussenkomst, het uiten van een standpunt en het aanvechten mogelijk maken.
- Verordening (EU) 2016/679, art. 22(1) en 22(3)
- Bij het verzamelen moet informatie worden gegeven: wie de verantwoordelijke is, met welke doelen, op welke grondslag, hoe lang er bewaard wordt, en of er geautomatiseerde besluitvorming is.
- Verordening (EU) 2016/679, art. 13 en 14
- Een gegevensbeschermingseffectbeoordeling is verplicht wanneer de verwerking waarschijnlijk een hoog risico oplevert, wat stelselmatige monitoring met nieuwe technologie meestal doet.
- Verordening (EU) 2016/679, art. 35(1) en 35(3)
- Doorgifte buiten de EER vergt een instrument uit hoofdstuk V: een adequaatheidsbesluit, of standaardcontractbepalingen met een beoordeling van het ontvangende land erbij.
- Verordening (EU) 2016/679, art. 44-46 · HvJ C-311/18 (Schrems II)
- De bovenste boetecategorie is 20 miljoen euro of 4% van de wereldwijde jaaromzet, welke van de twee hoger is. Let op de richting: onder de AI-verordening loopt de grens voor het mkb precies andersom.
- Verordening (EU) 2016/679, art. 83(5)
Wat Audact daaraan doet
- Primaire toepassingshosting staat in Frankfurt (AWS eu-central-1). Waar een subverwerker Amerikaans eigendom is, loopt de doorgifte onder standaardcontractbepalingen en noemt de subverwerkerslijst hem bij naam.
- Een reserveregio in Ierland (eu-west-1) wordt ingericht.
- In ontwikkeling
- Audio wordt standaard niet bewaard. Zet een klant opname aan, dan blijft die maximaal 90 dagen staan en wordt daarna verwijderd; compliancemetadata en cryptografische hashes worden bewaard voor de afgesproken bewaartermijn.
- Wissen vernietigt de sleutel van de inhoud, de volgorde blijft toetsbaar, de inhoud is weg.
- In ontwikkeling
- Elke interactie draagt de grondslag waaronder ze plaatsvond, zodat een later inzage- of bezwaarverzoek uit de vastlegging beantwoord kan worden en niet uit het geheugen.
- In ontwikkeling
Rollen
Audact is de verwerker. Verantwoordelijk blijf u.
Audact verwerkt persoonsgegevens uitsluitend op de gedocumenteerde instructies van de klant en voor geen ander doel. Daarmee is de klant de verwerkingsverantwoordelijke: de partij die bepaalt waarom en hoe er verwerkt wordt, en de partij tot wie een betrokkene of een toezichthouder zich als eerste richt.
De standaardverwerkersovereenkomst noemt de subverwerkers, de bewaartermijnen en de bijstand die wij verschuldigd zijn bij inzage, rectificatie, wissing en overdraagbaarheid. Enterprise-klanten kunnen een eigen overeenkomst aanvragen.
Artikel 22
De bepaling die beslist wat uw agent zelf mag afhandelen.
Artikel 22 is voor een gebruiksverantwoordelijke van een AI-systeem de zwaarste bepaling van de AVG, en het gaat er helemaal niet over mededelen. Het begrenst het besluit zelf: een agent die een aanvraag afwijst, een boeking weigert, een fraudeblokkade activeert of een prijs vaststelt zonder dat een mens naar de zaak kijkt, valt er rechtstreeks onder.
Het Hof van Justitie oordeelde in SCHUFA (C-634/21) dat een waarschijnlijkheidsscore die de ene partij maakt en de andere aan zijn besluit ten grondslag legt, zelf geautomatiseerde besluitvorming is. Voor een leverancier van scoring- of geschiktheidslogica verbreedt die lezing het risico flink: het besluit hoeft niet van u te zijn om artikel 22 aan de score te laten raken die u hebt geleverd.
Doorgifte
Hoofdstuk V is een vraag over subverwerkers, niet over uw gesprek.
Een spraak-AI-stack bestaat uit onderdelen, en de doorgiftevraag volgt elk onderdeel apart, niet de productnaam op de factuur. Het eerlijke antwoord voor Audact: primaire toepassingshosting staat in Frankfurt, en een klein aantal subverwerkers is Amerikaans eigendom en verwerkt onder standaardcontractbepalingen. De lijst noemt ze allemaal, zodat een doorgifte-effectbeoordeling op feiten kan steunen in plaats van op toezeggingen.
Let op
Informatie, geen juridisch advies.
Deze pagina geeft de regels weer zoals wij ze lezen, met de artikelnummers erbij zodat u ons kunt nakijken. Het is geen juridisch advies, en uw eigen positie hangt af van omstandigheden die deze pagina niet kent. Laat u adviseren door een jurist voordat u erop steunt.
Vragen
- Bewaart Audact wat er in het gesprek gezegd is?
- Audio wordt standaard niet bewaard. Zet een klant opname aan, dan blijft die maximaal 90 dagen staan en wordt daarna verwijderd. Compliancemetadata en cryptografische hashes worden bewaard voor de afgesproken termijn. Daaruit bestaat een bon.
- Is Audact verwerkingsverantwoordelijke of verwerker?
- Verwerker. De klant blijft verwerkingsverantwoordelijke en Audact verwerkt uitsluitend op diens gedocumenteerde instructies, onder de standaardverwerkersovereenkomst.
- Hoe werkt wissen als de bewijsketen na te rekenen moet blijven?
- Crypto-shredding volgt binnenkort: de sleutel van de inhoud wordt dan vernietigd, waardoor de persoonsgegevens onleesbaar worden. Cryptografische hashes worden niet vernietigd; afhankelijk van koppelbaarheid en aanvullende informatie kunnen ze nog steeds persoonsgegevens zijn waar ze koppelbaar zijn. De keten is nog steeds na te rekenen en een latere wijziging of herordening blijft detecteerbaar.
- Dekt AVG-toestemming ook de ePrivacy-opt-in?
- Nee. ePrivacy is lex specialis voor het versturen van een elektronisch bericht en vraagt een eigen voorafgaande opt-in. De twee worden apart beoordeeld, en toestemming voor het ene doel gaat niet mee naar het andere.
Zie wat er werkelijk op een bon staat
Drie gegevens op elke bon kan iedereen vandaag narekenen: de invoerhash, de uitvoerhash en de schakel naar de vorige bon. Zonder sleutel, zonder account. De Merkle-insluiting is de vierde en wordt met het insluitingsbewijs uit het artikel 50-rapport van het gesprek tegen de gepubliceerde wortel gecontroleerd. Proof loopt een echte bon veld voor veld door.
Verwante pagina's
EU AI-verordening artikel 50 ePrivacy Waarom AVG-toestemming op zichzelf niet genoeg is.
Verwerkersovereenkomst Subverwerkers, termijnen, bijstand.
Verzoek tot wissen Het formulier, en wat er daarna gebeurt.
Trust center Hosting, subverwerkers, en wat we niet hebben.
Alle kaders