AVG en AI-telefonie: wat je moet regelen en wat wij regelen

Waarom AVG en AI-telefonie samen belangrijk zijn

Zodra je telefoongesprekken laat afhandelen door AI, verwerk je persoonsgegevens: een stem, een naam, soms gevoelige informatie over een afspraak of een zaak. De Algemene verordening gegevensbescherming (AVG) stelt daar eisen aan, en sinds de komst van de EU AI Act zijn daar regels over transparantie bijgekomen.

Het goede nieuws: AI-telefonie kán in lijn met de AVG, mits je de juiste dingen regelt en een aanbieder kiest die eerlijk antwoordt op de lastige vragen. Op deze pagina lees je wat er speelt, wat jij moet regelen en wat wij regelen - zonder juridisch jargon, en zonder de punten weg te laten waarop wij zelf nog niet zijn waar we willen zijn. Waar dat zo is, staat het erbij.

Let op: dit is praktische uitleg, geen juridisch advies. Elke situatie is anders, en zeker in gevoelige branches - zorg, juridische dienstverlening, financiën - is het verstandig je eigen verwerkingsregister en je specifieke grondslagen te laten toetsen. Wat we hier bieden, is een helder overzicht van de vragen die je moet stellen en de keuzes die je moet maken, zodat je een geïnformeerd gesprek kunt voeren met je aanbieder en, waar nodig, met een privacyjurist.

Zo maak je AI-telefonie AVG-proof

In vijf stappen zorg je dat je telefonie in lijn is met de AVG en de EU AI Act:

1. Kies een aanbieder die binnen de EU host. Vraag expliciet waar de servers staan. Volledige EU-hosting voorkomt dat persoonsgegevens buiten de Europese rechtsorde worden verwerkt.
2. Sluit een verwerkersovereenkomst. Leg schriftelijk vast wie welke rol heeft en welke gegevens voor welk doel worden verwerkt. Dat is onder de AVG verplicht bij het uitbesteden van gegevensverwerking.
3. Informeer de beller. Meld aan het begin van het gesprek dat het wordt opgenomen en waarvoor, en - onder de EU AI Act - dat de beller met AI spreekt.
4. Stel bewaartermijnen in. Bewaar opnames en transcripten niet langer dan nodig voor het doel. Stel een concrete bewaartermijn in en verwijder gegevens daarna automatisch.
5. Controleer het gebruik van gesprekken. Zorg dat gesprekken niet zonder grondslag worden gebruikt om AI-modellen te trainen, en leg vast hoe je omgaat met verzoeken van betrokkenen.

Waar staan de servers?

De locatie van de servers bepaalt onder welke rechtsorde je gegevens vallen. Worden ze buiten de EU verwerkt, bijvoorbeeld in de VS, dan gelden aanvullende eisen en risico's. Een aanbieder die volledig binnen de EU host, houdt je gegevens binnen de Europese rechtsorde en maakt naleving een stuk eenvoudiger.

Wat dat voor ons betekent, zonder mooier te maken dan het is: onze telefonie en spraakverwerking draaien in Europa, maar de opslag van gesprekken staat in Europa (europe-west1). Een deel van de verwerkende functies draait op dit moment nog in de Verenigde Staten, onder het EU-US Data Privacy Framework en de standaardcontractbepalingen. Wij werken eraan om alles binnen de EU te krijgen. Vraag dit bij elke aanbieder expliciet, laat het schriftelijk bevestigen, en let erop dat "servers in de EU" en "opslag in de EU" twee verschillende antwoorden kunnen zijn - een mondelinge toezegging is onvoldoende als het erop aankomt.

Let er ook op waar eventuele onderaannemers de gegevens verwerken. Veel AI-diensten leunen op modellen of infrastructuur van derden; als die buiten de EU draaien, verplaatst het risico zich simpelweg een laag dieper. Vraag daarom niet alleen waar de aanbieder zelf host, maar ook welke subverwerkers worden ingeschakeld en waar die zich bevinden. Een transparante aanbieder kan die keten laten zien.

Hoe lang blijven opnames en transcripten bewaard?

De AVG kent het principe van opslagbeperking: je bewaart gegevens niet langer dan nodig voor het doel. Voor telefonie betekent dat een concrete bewaartermijn voor opnames en transcripten, met automatische verwijdering daarna. Een gesprekssamenvatting die je nodig hebt voor de afspraak mag je bewaren; de ruwe opname hoef je zelden lang te houden.

Bepaal vooraf welke termijn past bij jouw doel en leg die vast. Kies een aanbieder waarbij je die termijn zelf kunt instellen, zodat je niet afhankelijk bent van een standaard die misschien niet bij jouw situatie past.

Een handige vuistregel: bewaar de gestructureerde uitkomst van een gesprek zolang je die zakelijk nodig hebt - een afspraak, een aanvraag, een terugbelverzoek - maar de ruwe geluidsopname zo kort mogelijk. Voor veel bedrijven volstaat het om opnames na enkele dagen of weken te verwijderen zodra de samenvatting is verwerkt. Hoe minder je bewaart, hoe kleiner je risico bij een eventueel datalek en hoe eenvoudiger je aan verwijderverzoeken voldoet.

Wat zegt de EU AI Act?

De EU AI Act voegt aan de AVG een transparantieplicht toe: als iemand met een AI-systeem communiceert, moet dat duidelijk zijn. Voor telefonie betekent dit dat je de beller laat weten dat hij met een digitale assistent spreekt. Dat kan kort en natuurlijk, bijvoorbeeld doordat de assistent zich voorstelt als digitale medewerker.

Die transparantie is niet alleen een verplichting, maar ook verstandig: bellers hebben vooral bezwaar tegen wachten en keuzemenu's, niet tegen een AI die direct en eerlijk antwoord geeft. Duidelijk zijn schept vertrouwen.

De AI Act kent verschillende risicocategorieën, en een telefoonassistent die afspraken en vragen afhandelt valt in de lichtste, met vooral een transparantieplicht als eis. Dat is goed nieuws: je hoeft geen zware conformiteitsprocedure te doorlopen, maar je moet wél kunnen aantonen dat je bellers weten dat ze met AI communiceren. Leg daarom vast hoe je begroeting dat meldt, zodat je het bij een controle kunt laten zien.

Wat regelt VoiceHelden, en wat regel jij?

Naleving is een gedeelde verantwoordelijkheid. Zo verdelen we het:

• VoiceHelden regelt: 100% EU-hosting, een verwerkersovereenkomst, instelbare bewaartermijnen en de mogelijkheid om de beller te informeren over AI en opname.
• VoiceHelden regelt: gesprekken worden niet zonder grondslag gebruikt om modellen te trainen.
• Jij regelt: het bepalen van je bewaartermijn, het informeren van je bellers in je begroeting en het afhandelen van verzoeken van betrokkenen (inzage, verwijdering).
• Jij regelt: een rechtmatige grondslag voor het opnemen en verwerken, passend bij jouw situatie.

Wat zijn de risico's van een aanbieder buiten de EU?

Kiest een aanbieder voor servers buiten de Europese Economische Ruimte - bijvoorbeeld in de Verenigde Staten - dan verlaten je persoonsgegevens de Europese rechtsorde. Voor zo'n doorgifte gelden aanvullende eisen: je moet een geldig doorgiftemechanisme hebben en beoordelen of het beschermingsniveau in het derde land vergelijkbaar is. Dat maakt naleving complexer en legt meer verantwoordelijkheid bij jou.

Bovendien kunnen buitenlandse overheden onder hun eigen wetgeving toegang eisen tot gegevens die op hun grondgebied of bij hun bedrijven staan. Voor gevoelige gesprekken - een medische afspraak, een juridische intake - is dat een reëel risico. Dat geldt ook voor ons: onze opslag staat op dit moment bij Google Cloud in de Verenigde Staten, met het EU-US Data Privacy Framework en de standaardcontractbepalingen als doorgiftemechanisme. Wij zeggen dat liever hardop dan dat je het later ontdekt. Voor wie een harde EU-only-eis heeft, is dat op dit moment een reden om eerst met ons te bellen; wij werken eraan en zeggen eerlijk wanneer het zover is.

Rechten van betrokkenen: inzage en verwijdering

Onder de AVG heeft iedereen wiens gegevens je verwerkt bepaalde rechten: het recht op inzage, op correctie, op verwijdering ("het recht om vergeten te worden") en op beperking van de verwerking. Als een beller vraagt welke gegevens je van hem hebt, of vraagt om die te wissen, moet je daar binnen de wettelijke termijn gehoor aan geven.

In de praktijk betekent dit dat je moet kunnen achterhalen welke opnames, transcripten en samenvattingen je van een specifieke beller hebt, en die op verzoek kunt verwijderen. Kies daarom een aanbieder die gesprekken vindbaar en verwijderbaar maakt, en leg intern vast wie zulke verzoeken afhandelt en hoe. Zo kun je snel en aantoonbaar reageren wanneer iemand een beroep doet op zijn rechten.

Checklist: is jouw AI-telefonie AVG-proof?

Loop deze punten langs voordat je een AI-telefoonassistent in gebruik neemt:

• Staat vast dat de servers volledig binnen de EU staan, schriftelijk bevestigd?
• Is er een verwerkersovereenkomst getekend met je aanbieder?
• Weet je welke gegevens worden vastgelegd en voor welk doel?
• Is er een concrete bewaartermijn ingesteld, met automatische verwijdering daarna?
• Informeert je begroeting de beller over de opname én dat hij met AI spreekt?
• Heb je een rechtmatige grondslag voor het opnemen en verwerken?
• Is geregeld dat gesprekken niet zonder grondslag voor modeltraining worden gebruikt?
• Weet je wie inzage- en verwijderverzoeken afhandelt, en binnen welke termijn?

Mag je een telefoongesprek met AI opnemen?

Ja, mits je de beller aan het begin van het gesprek informeert en een geldige grondslag hebt onder de AVG. Meld dat het gesprek wordt opgenomen en waarvoor. Onder de EU AI Act moet ook duidelijk zijn dat de beller met AI spreekt.

In de praktijk regel je dit met een korte mededeling aan het begin van het gesprek. De assistent meldt dat het gesprek wordt opgenomen en waarvoor, en dat de beller met een digitale medewerker spreekt. Zo voldoe je in één zin aan zowel de AVG als de transparantieplicht uit de EU AI Act.

Belangrijk is dat "mogen" niet hetzelfde is als "zomaar". Je hebt een geldige grondslag nodig - bijvoorbeeld de uitvoering van een overeenkomst of een gerechtvaardigd belang - en je moet transparant zijn over wat je met de opname doet. Neem geen bijzondere persoonsgegevens op als dat niet strikt noodzakelijk is, en bewaar de opname niet langer dan nodig. Houd je je aan die principes, dan is opnemen met AI net zo goed toegestaan als opnemen door een mens.

• hoe werkt een ai telefoonassistent

Verder lezen

• hoe werkt een ai telefoonassistent
• ai telefoonassistent voor advocaten
• ai telefoonassistent voor tandartsen
• ai receptionist prijzen