Voor bedrijven: wat regelt u?
1. Een verwerkersovereenkomst
De aanbieder van uw chatbot verwerkt de gegevens van uw klanten in uw opdracht. Hij is dan een verwerker; u bent de verwerkingsverantwoordelijke. De AVG (artikel 28) schrijft voor dat u de afspraken met een verwerker vastlegt in een overeenkomst. Daarin staat onder meer waarvoor de gegevens gebruikt mogen worden, hoe ze beveiligd zijn, wie er nog meer bij kan (subverwerkers) en wat er gebeurt na afloop. Veel aanbieders hebben een standaardversie; vraag ernaar vóór u begint.
2. Waar staan de gegevens?
Vraag waar gesprekken worden opgeslagen en verwerkt, en welk taalmodel achter de chatbot zit. Worden gegevens buiten de Europese Unie verwerkt, dan moeten er volgens de AVG passende waarborgen zijn. Vraag de aanbieder welke dat zijn en laat het in de overeenkomst opnemen.
3. Wordt er getraind met uw gesprekken?
Vraag of gesprekken van uw klanten worden gebruikt om AI-modellen te verbeteren. Bij zakelijke abonnementen is dat vaak standaard uitgezet, maar controleer het in de voorwaarden.
4. Bewaartermijn
Bewaar gesprekken niet langer dan nodig. Spreek een termijn af en kijk of de dienst gesprekken automatisch verwijdert.
5. Zo min mogelijk gegevens
Laat de chatbot alleen vragen wat echt nodig is. Voor een vraag over openingstijden is geen naam nodig. Vraag bijzondere persoonsgegevens, zoals gezondheid, niet uit via een chatbot tenzij dat echt nodig en goed geregeld is.
6. Uw privacyverklaring
Vermeld in uw privacyverklaring dat u een chatbot gebruikt, welke gegevens daarbij worden verwerkt en door wie. Gebruikt de chatdienst cookies of vergelijkbare technieken, pas dan ook uw cookiemelding aan.
7. Beveiliging en datalekken
Chatbots kunnen gekoppeld zijn aan vertrouwelijke informatie. De AP en de ACM wezen in oktober 2025 op het risico dat een chatbot meer prijsgeeft dan nodig. Geef de chatbot dus alleen informatie die klanten mogen zien, en test of hij geen interne gegevens of gegevens van andere klanten noemt.
8. Transparant over AI
Naast de AVG geldt sinds 2 augustus 2026 de transparantieplicht uit de Europese AI-verordening: mensen moeten weten dat ze met AI praten. Zie De AI-wet en uw chatbot.
Checklist voor uw aanbieder
- Heeft u een verwerkersovereenkomst en een lijst van subverwerkers?
- Waar worden gesprekken opgeslagen, en welk taalmodel wordt gebruikt?
- Worden gesprekken gebruikt voor training? Kan dat uit?
- Hoe lang worden gesprekken bewaard, en kan ik ze verwijderen?
- Hoe meldt u een datalek aan mij, en hoe snel?
- Kan ik bij stoppen al mijn gegevens meenemen?
Thuis: uw eigen privacy
Gebruikt u zelf een AI-assistent zoals ChatGPT, Gemini of Copilot? Dan bent u zelf de gebruiker en geldt de privacyverklaring van de aanbieder. Een paar tips:
- Typ geen BSN, wachtwoorden, bank- of medische gegevens in.
- Kijk in de instellingen of uw gesprekken gebruikt mogen worden om het model te verbeteren, en zet dat uit als u dat niet wilt.
- Verwijder oude gesprekken die u niet meer nodig heeft.
- Plak geen documenten met gegevens van anderen, zoals een cv of brief van een ander, zonder dat dat nodig is.
Op Particulier vergelijken we de assistenten ook op privacy-instellingen. Voor uitleg over uw rechten kunt u terecht bij de Autoriteit Persoonsgegevens.
Hulp nodig?
Wilt u weten of uw chatbot privacy goed geregeld heeft? Vul het formulier in. We kijken vrijblijvend mee. Let op: wij geven praktisch advies, geen juridisch advies; bij twijfel over uw situatie raadpleegt u een privacyjurist.