Zodra een AI-agent persoonsgegevens verwerkt, zoals namen, e-mailadressen of klantvragen, ben je onder de AVG verantwoordelijk voor hoe dat gebeurt. Werkt de AI-leverancier namens jou met die gegevens, dan is een verwerkersovereenkomst verplicht. Dit artikel legt uit wat daarin moet staan en wat je zelf moet regelen als je een AI-agent inzet.
Wanneer heb je een verwerkersovereenkomst nodig?
De AVG maakt onderscheid tussen een verwerkingsverantwoordelijke (jouw bedrijf, dat bepaalt waarom en hoe gegevens verwerkt worden) en een verwerker (de partij die dat namens jou uitvoert, zoals een AI-leverancier). Zodra een AI-agent klantgegevens verwerkt, denk aan naam, contactgegevens of de inhoud van een gesprek, is er sprake van een verwerkersrelatie en is een verwerkersovereenkomst verplicht.
Wat er in een verwerkersovereenkomst moet staan
Een verwerkersovereenkomst regelt onder andere:
- Welke gegevens verwerkt worden en met welk doel.
- Hoe lang de gegevens bewaard worden en wanneer ze verwijderd worden.
- Welke beveiligingsmaatregelen de verwerker treft.
- Of en hoe onderaannemers (zoals een onderliggende AI-modelleverancier) betrokken zijn.
- Wat er gebeurt bij een datalek: meldplicht en termijnen.
- Waar de gegevens verwerkt en opgeslagen worden (binnen of buiten de EU).
Specifiek voor AI-agents: een paar aandachtspunten
Waar draait het taalmodel?
Sommige AI-diensten sturen gegevens naar servers buiten de EU voor verwerking. Vraag je leverancier expliciet waar de verwerking plaatsvindt en welke waarborgen er zijn als dat buiten de EU is.
Wordt data gebruikt om het model te trainen?
Vraag na of jouw gesprekken en gegevens gebruikt worden om het onderliggende AI-model te verbeteren, of dat ze strikt gescheiden blijven. Voor de meeste zakelijke toepassingen is het laatste wenselijk.
Wat gebeurt er bij opzegging?
Regel vooraf wat er met de opgeslagen gegevens gebeurt als je stopt met de dienst: worden ze verwijderd, en binnen welke termijn.
Wat je zelf als bedrijf moet regelen
Los van de overeenkomst met je leverancier blijf je zelf verantwoordelijk voor een aantal dingen: een actueel verwerkingsregister waarin de AI-toepassing is opgenomen, een privacyverklaring die klanten informeert dat een AI-agent hun gegevens verwerkt, en een proces om te reageren op verzoeken van betrokkenen (zoals inzage of verwijdering).
Relatie met de EU AI Act
Naast de AVG gelden voor bepaalde AI-toepassingen ook eisen uit de EU AI Act, zoals een transparantieplicht wanneer klanten met een AI-agent communiceren. Zie onze checklist over de EU AI Act voor het MKB voor het volledige overzicht.
Aan de slag
Ga bij het inzetten van een AI-agent na welke gegevens verwerkt worden, vraag de verwerkersovereenkomst op bij je leverancier, en werk je verwerkingsregister en privacyverklaring bij. Rawrr Media levert bij elke AI-agent een verwerkersovereenkomst en denkt mee over wat er verder geregeld moet worden.
Vraag hier jouw gratis AI-kennismaking aan.
Veelgestelde vragen over AVG en AI-agents
Is dit juridisch advies?
Nee. Dit artikel geeft een praktisch overzicht. Voor een sluitende juridische beoordeling van jouw specifieke situatie raden we aan een jurist of privacyfunctionaris te raadplegen.
Heb ik als klein bedrijf ook een verwerkersovereenkomst nodig?
Ja, de verplichting geldt ongeacht de bedrijfsgrootte, zodra er persoonsgegevens door een derde partij namens jou verwerkt worden.
Wat als mijn AI-leverancier geen verwerkersovereenkomst aanbiedt?
Vraag er expliciet naar. Een serieuze leverancier heeft een standaardovereenkomst klaarliggen. Is die er niet, dan is dat een signaal om kritisch te zijn op de leverancier.
Moet ik klanten apart informeren dat een AI hun vraag beantwoordt?
In veel gevallen wel, mede vanuit de transparantieplicht van de EU AI Act. Dit kan simpel via de privacyverklaring en een korte melding bij het gesprek zelf.
Verandert dit als de AI-agent op mijn eigen data draait in plaats van in de cloud?
Ja, bij een eigen (on-premise of privé gehost) AI-systeem lig je verantwoordelijkheid en de te maken afspraken anders. Zie onze gids over een eigen AI-systeem bouwen.