Is een AI-chatbot AVG-proof (GDPR compliant)?

Een chatbot is op zichzelf niet wel of niet compliant; de manier waarop u hem inzet is dat wel. U hebt een rechtmatige grondslag voor de verwerking nodig, duidelijke informatie voor gebruikers, verwerkersovereenkomsten met elke aanbieder die de gegevens verwerkt, een geldig mechanisme voor doorgifte buiten de EU, beperkte bewaartermijnen en een manier om verzoeken om inzage en verwijdering te beantwoorden.

Ziet de LLM-aanbieder de berichten van mijn klanten?

Ja, alles wat u in de prompt meestuurt, komt terecht bij de aanbieder die het model draait, inclusief de gespreksgeschiedenis en opgehaalde kennis. Daarom zijn de keuze van de aanbieder, de contractvoorwaarden, de instellingen voor gegevensbewaring en de regio belangrijk, en moet u onnodige persoonsgegevens uit prompts houden.

Wat vraagt de KVKK voor AI-chatbots?

De Turkse wet bescherming persoonsgegevens nr. 6698 is op chatbotgesprekken met mensen in Türkiye net zo van toepassing als op elke andere verwerking. U moet betrokkenen informeren, een wettelijke grondslag voor de verwerking hebben, extra zorgvuldig zijn met bijzondere categorieën zoals gezondheidsgegevens en een toegestaan mechanisme gebruiken, zoals de standaardcontracten van de Raad, wanneer gegevens naar het buitenland worden doorgegeven, bijvoorbeeld aan een LLM-aanbieder buiten Türkiye.

Hoe lang moet ik chatbotgesprekken bewaren?

Alleen zolang u ze nodig hebt voor het doel dat u aan klanten hebt gecommuniceerd, zoals het afhandelen van het verzoek, wettelijke verplichtingen of kwaliteitscontrole. Stel voor elke gegevensopslag een bewaartermijn in, inclusief gesprekslogs, logs van de LLM-aanbieder en een eventuele vectordatabase, en verwijder of anonimiseer gegevens zodra de termijn verloopt.

AI-chatbots en klantgegevens: een AVG- (GDPR) en KVKK-privacychecklist voor messagingteams

Een AI-agent op WhatsApp of Instagram laat klantberichten langs meerdere bedrijven lopen. Deze checklist laat zien hoe u die gegevens in kaart brengt, aanbieders kiest, bewaartermijnen instelt en toestemming regelt onder de AVG (GDPR) en de Turkse KVKK.

MonoChat-team Bijgewerkt: 13 oktober 2026 8 min leestijd

Op deze pagina

Waar klantgegevens heen gaan wanneer een AI-agent antwoordt
De privacychecklist voor AI-chatbots
Snel overzicht: AVG (GDPR) en KVKK naast elkaar
Hoe MonoChat u helpt de controle over AI en gegevens te houden
Bronnen

Om een AI-chatbot AVG- (GDPR) en KVKK-proof te maken, brengt u elk systeem in kaart waar klantberichten doorheen gaan, zorgt u voor een rechtmatige grondslag en een duidelijke privacyverklaring, sluit u met elke aanbieder een verwerkersovereenkomst, gebruikt u een geldig doorgiftemechanisme wanneer gegevens de EU of Türkiye verlaten, houdt u persoonsgegevens waar mogelijk uit prompts, stelt u bewaartermijnen in en vertelt u mensen dat ze met een AI praten. Compliance komt voort uit hoe u de chatbot inzet, niet uit de chatbot zelf.

Het lastige is dat één WhatsApp-antwoord vier of vijf bedrijven kan raken: Meta, uw messagingplatform, een LLM-aanbieder, een vectordatabase en het CRM waarin de agent dingen opzoekt. Deze checklist loopt ze stuk voor stuk langs. Het is praktische handreiking voor messagingteams en geen juridisch advies, dus laat de details bevestigen door uw functionaris voor gegevensbescherming of juridisch adviseur.

Waar klantgegevens heen gaan wanneer een AI-agent antwoordt

Begin met het uittekenen van het pad van één bericht. Een typische stroom ziet er zo uit:

Stap	Systeem	Betrokken gegevens	Uw vraag
1	Messagingkanaal (WhatsApp, Instagram, Messenger)	Telefoonnummer of gebruikersnaam, berichtinhoud, media	Welke voorwaarden en opslagregels gelden?
2	Messagingplatform	Gespreksgeschiedenis, contactprofiel, tags, notities	Wie heeft toegang, waar wordt het opgeslagen, hoe lang?
3	Kennisbank en vectordatabase	Uw content; alleen persoonsgegevens als u die hebt geüpload	Staan er persoonsgegevens in de index?
4	LLM-aanbieder	Prompt: instructies, opgehaalde tekst, geschiedenis, laatste bericht	Worden gegevens bewaard, gebruikt voor training, waar verwerkt?
5	Gekoppelde tools (CRM, boekingen, webshop)	Bestelgegevens, afspraken, accountgegevens	Wat kan de agent lezen en schrijven?
6	Medewerkers	Volledig gesprek na overdracht	Wie ziet wat, en wordt het gelogd?

Elke rij is een plek waar persoonsgegevens worden verwerkt en waar u een contract, een bewaarregel en toegangsbeheer nodig hebt. Kunt u een rij niet invullen, dan is dat uw eerste taak.

De privacychecklist voor AI-chatbots

1. Kies een rechtmatige grondslag en leg die vast

Onder de AVG (GDPR, artikel 6) heeft elk verwerkingsdoel een rechtsgrond nodig. Een klant beantwoorden die u heeft geschreven, berust meestal op een overeenkomst of een gerechtvaardigd belang. Marketingberichten berusten meestal op toestemming. Gesprekken gebruiken om uw agent te verbeteren is een apart doel, en dat moet u afzonderlijk beoordelen in plaats van aan te nemen dat de oorspronkelijke grondslag het dekt.

De KVKK heeft een eigen lijst met verwerkingsvoorwaarden. Bedient u zowel EU- als Turkse klanten, leg dan de grondslag onder beide wetten vast.

2. Informeer mensen over de AI en over hun gegevens

Uw privacyverklaring moet vermelden dat gesprekken door een AI-systeem kunnen worden afgehandeld, welke aanbieders de gegevens verwerken, waar, hoe lang, en hoe iemand een medewerker bereikt. De artikelen 13 en 14 van de AVG (GDPR) bepalen wat u moet opnemen, en de KVKK kent een vergelijkbare informatieplicht.

In de EU gelden de transparantieverplichtingen van de AI Act vanaf 2 augustus 2026. Die schrijven voor dat mensen worden geïnformeerd wanneer ze met een AI-systeem communiceren, tenzij dat uit de context duidelijk is. Een kort eerste bericht regelt zowel het juridische punt als de verwachtingen van de klant:

Hallo, ik ben de virtuele assistent van Northwind Home, een AI. Ik kan
helpen met bestellingen, retouren en bezorging. Typ op elk moment "medewerker"
om ons team te spreken.
Privacyverklaring: northwindhome.example/privacy

3. Sluit een verwerkersovereenkomst met elke verwerker

Uw messagingplatform, LLM-aanbieder, host van de vectordatabase en elke toolaanbieder die namens u persoonsgegevens verwerkt, is een verwerker. Artikel 28 van de AVG (GDPR) vereist een schriftelijke overeenkomst die de verwerking beperkt tot uw instructies, vertrouwelijkheid en beveiliging vereist en subverwerkers, verwijdering en audits regelt. Houd een lijst van subverwerkers bij en controleer die wanneer aanbieders wijzigen.

4. Controleer doorgiften buiten de EU of Türkiye

Veel LLM-aanbieders verwerken gegevens in andere landen. Onder hoofdstuk V van de AVG (GDPR) hebben doorgiften buiten de EER een adequaatheidsbesluit of passende waarborgen nodig, zoals standaardcontractbepalingen.

De KVKK-regels voor doorgifte naar het buitenland zijn in juni 2024 gewijzigd. Doorgiften berusten nu op een adequaatheidsbesluit, passende waarborgen zoals de standaardcontracten die door de Raad voor bescherming van persoonsgegevens zijn gepubliceerd, of beperkte uitzonderingen. Standaardcontracten moeten binnen vijf werkdagen na ondertekening bij de Autoriteit worden gemeld. Controleer waar elke aanbieder gegevens verwerkt en kies regio’s of aanbieders die bij uw verplichtingen passen.

Op WhatsApp biedt de Cloud API van Meta lokale opslag: u kunt per zakelijk telefoonnummer kiezen waar berichtgegevens in rust worden opgeslagen. Content kan tijdens het gebruik nog internationaal in datacenters van Meta worden verwerkt, bij de Cloud API maximaal 60 minuten, voordat het alleen in de gekozen regio wordt bewaard.

5. Kies de LLM-aanbieder weloverwogen

De modelaanbieder ziet alles wat u in de prompt zet. Controleer vóór het koppelen:

Gebruik voor training. Gebruikt de aanbieder API-gegevens om modellen te trainen, en kunt u dat uitschakelen?
Bewaring. Hoe lang worden prompts en uitvoer bewaard, ook voor misbruikbewaking?
Regio. Waar worden gegevens verwerkt en opgeslagen, en kunt u dat kiezen?
Contract. Is er een verwerkersovereenkomst beschikbaar voor uw abonnement?
Zelf hosten. Zou een open-sourcemodel op uw eigen servers geschikt zijn voor gevoelige toepassingen?

Een eigen aanbiedersaccount gebruiken (bring your own key) betekent dat het contract, de regio-instellingen en de bewaaropties van u zijn, in plaats van overgenomen van het account van een leverancier.

6. Beperk wat er in prompts en tools terechtkomt

Dataminimalisatie (artikel 5 AVG/GDPR) is de meest effectieve privacymaatregel voor AI-agents.

Upload geen klantdossiers, identiteitsdocumenten of interne notities naar de kennisbank.
Stuur het model alleen de geschiedenis die het nodig heeft, niet het volledige contactprofiel.
Geef tools zo beperkt mogelijke toegang: een tool voor bestelstatus heeft een bestelnummer nodig, niet de hele klantendatabase.
Maskeer of vermijd velden zoals identiteitsnummers, kaartnummers en wachtwoorden.
Instrueer de agent om nooit te vragen naar gevoelige gegevens die hij niet nodig heeft.

Agentregel: Vraag in de chat nooit naar kaartnummers, wachtwoorden of
identiteitsnummers. Deelt een klant er toch een, herhaal die dan niet en
bied in plaats daarvan de beveiligde betaallink of een gesprek met ons team aan.

Als uw agent via protocollen zoals MCP met bedrijfssystemen verbonden is, geldt dezelfde regel voor elk gekoppeld systeem. Zie MCP voor klantmessaging voor de risico’s.

7. Behandel gezondheidsgegevens en andere bijzondere gegevens extra zorgvuldig

Gezondheid, religie, biometrische gegevens en vergelijkbare categorieën krijgen extra bescherming onder artikel 9 van de AVG (GDPR) en de KVKK. Klinieken, apotheken en verzekeraars moeten beperken wat de AI verwerkt, medisch advies door AI vermijden en klinische vragen doorsturen naar gekwalificeerde medewerkers. Overweeg een gegevensbeschermingseffectbeoordeling (artikel 35 AVG/GDPR) voordat u een AI-agent lanceert die dergelijke gegevens op grote schaal verwerkt.

8. Stel voor elke opslag een bewaartermijn in

Opslagbeperking (artikel 5 AVG/GDPR) betekent dat u persoonsgegevens alleen bewaart zolang dat nodig is. Stel een termijn vast en documenteer die voor:

gespreksgeschiedenis in uw messagingplatform,
logs bij de LLM-aanbieder,
geëxporteerde transcripties en analyses,
alle persoonsgegevens in een vectordatabase of kennisbank.

Zorg er vervolgens voor dat verwijdering ook echt gebeurt, waar mogelijk ook in back-ups.

9. Wees voorbereid op verzoeken om inzage en verwijdering

Klanten kunnen vragen wat u over hen bewaart en u vragen dat te verwijderen (artikelen 15 en 17 AVG/GDPR, met vergelijkbare rechten onder de KVKK). Weet hoe u de gesprekken van een persoon vindt in elk systeem in uw gegevenskaart, en hoe u ze in elk ervan verwijdert.

10. Vermijd beslissingen die alleen door AI worden genomen

Artikel 22 van de AVG (GDPR) beperkt beslissingen die uitsluitend op geautomatiseerde verwerking berusten en mensen aanzienlijk raken. Laat de AI antwoorden, gegevens verzamelen en doorsturen, en laat goedkeuringen, afwijzingen, kredietbeslissingen en uitzonderingen bij mensen. Een betrouwbare overdracht van AI naar medewerker is zowel een servicefunctie als een compliancefunctie.

11. Beveilig toegang en houd logs bij

Beperk wie gesprekken kan lezen, gebruik rolgebaseerde toegang, vereis multifactorauthenticatie en houd auditlogs bij van wie wat heeft gedaan. Artikel 32 van de AVG (GDPR) vereist beveiliging die past bij het risico, en artikel 33 stelt een termijn van 72 uur voor het melden van een datalek aan de toezichthouder, wanneer het lek een risico voor mensen vormt.

12. Volg de eigen regels van het kanaal

Het WhatsApp Business Messaging Policy van Meta stelt eigen eisen aan opt-in, gegevensgebruik en AI. Onze gids over het WhatsApp AI-chatbotbeleid voor 2026 behandelt wat Meta toestaat, en WhatsApp opt-in behandelt toestemming voor proactieve berichten.

Onderwerp	AVG (GDPR)	KVKK (wet nr. 6698)
Gebruikers informeren	Artikelen 13 en 14	Informatieplicht
Verwerkersovereenkomsten	Artikel 28	Verwerkingsverantwoordelijke is mede verantwoordelijk voor de beveiliging door verwerkers (artikel 12)
Doorgifte naar het buitenland	Hoofdstuk V: adequaatheid, standaardcontractbepalingen	Adequaatheid, standaardcontracten gemeld aan de Autoriteit, beperkte uitzonderingen
Bijzondere categorieën	Artikel 9	Bijzondere categorieën persoonsgegevens
Bewaring	Opslagbeperking, artikel 5	Verwijdering, vernietiging of anonimisering wanneer het doel vervalt
Rechten van betrokkenen	Inzage, wissing en andere	Vergelijkbare rechten, waaronder inzage en verwijdering

Hoe MonoChat u helpt de controle over AI en gegevens te houden

MonoChat is zo gebouwd dat de gevoelige onderdelen van de stack onder uw controle kunnen blijven. Dit biedt het product, zoals beschreven op onze pagina over beveiliging en compliance:

Uw eigen LLM-sleutels. Met eigen LLM’s koppelt u uw eigen account bij OpenAI, Anthropic, Google, Azure, AWS of een andere aanbieder, zodat u uw eigen prijzen en gegevensafspraken behoudt en zelf bepaalt welke assistent welk model gebruikt.
Zelfgehoste modellen. U kunt modellen koppelen die op uw eigen servers draaien, via Ollama of uw eigen model-API, wanneer prompts op uw eigen infrastructuur moeten blijven.
Uw eigen vectordatabase. VectorDB-integratie bewaart de vectoren van de kennisbank in de vectordatabase van uw keuze, met uw eigen opslag- en bewaarbeleid, in de regio of cloud van uw keuze.
Afgebakende kennis. De AI-kennisbank verdeelt content in scopes met eigen toegangsbeheer, zodat elke agent alleen ophaalt wat hij mag.
Gecontroleerde AI-acties. AI-functietools draaien met validatie, rechten, toegestane endpoints en logs, zodat een assistent alleen kan doen wat u toestaat.
Toegangsbeheer en logs. Rolgebaseerde toegang, isolatie van werkruimtes, auditlogs en versleutelde aanbiedersgegevens per werkruimte.
Officiële kanaal-API’s. WhatsApp verbindt via het officiële WhatsApp Business Platform (Cloud API), en MonoChat is een officiële Meta Business Partner.
Certificeringen en beleid. MonoChat heeft ISO 27001- en ISO 9001-certificeringen, en het privacybeleid is opgesteld onder de KVKK (wet nr. 6698). Verzoeken om inzage, correctie of verwijdering van persoonsgegevens worden binnen 30 dagen beantwoord.
On-premise optie. Het Enterprise-abonnement biedt on-prem-implementatie voor strengere eisen.

U kunt het product beoordelen met het gratis Basic-abonnement (één agent, één kanaal) op app.monochat.ai, en het volledige privacybeleid lezen voordat u uw beoordeling afrondt.

Bronnen

Pas dit toe in de praktijk met MonoChat

Alle gidsen