AVG en AI: wat mag je met klantgegevens?

Waarom AVG en AI een gesprek waard zijn

Steeds meer bedrijven sturen klantdata door AI-tools, chatbots en automatiseringen. Een WhatsApp-agent die vragen beantwoordt, een CRM dat automatisch leads aanmaakt, een n8n-workflow die formulierdata verwerkt: ze hebben allemaal iets gemeen. Ze raken persoonsgegevens.

De Algemene Verordening Gegevensbescherming (AVG) is niet veranderd omdat AI populairder werd. De regels die gelden voor een spreadsheet met klantgegevens, gelden ook voor een AI-agent die diezelfde gegevens leest, opslaat of doorstuurt. Het verschil is dat de risico’s bij AI groter zijn: meer data, snellere verwerking, minder zichtbaar voor de klant.

Dit artikel legt uit wat je als ondernemer moet regelen voordat je klantdata door AI-tools laat lopen.

---

Wat de AVG zegt over persoonsgegevens verwerken

De AVG is van toepassing zodra je persoonsgegevens verwerkt. Dat zijn gegevens waarmee je een persoon direct of indirect kunt identificeren: naam, e-mailadres, telefoonnummer, IP-adres, maar ook gedragsdata uit je CRM of chatgeschiedenissen.

Voor verwerking heb je een grondslag nodig. De meest gebruikte grondslagen in het mkb zijn:

• Uitvoering van een overeenkomst: je verwerkt gegevens omdat de klant een dienst afneemt.
• Gerechtvaardigd belang: je hebt een legitiem bedrijfsbelang dat zwaarder weegt dan de privacy van de betrokkene.
• Toestemming: de betrokkene heeft uitdrukkelijk ingestemd.

AI verandert de grondslag niet, maar maakt het lastiger om te onderbouwen. Als een AI-agent een chatgeschiedenis analyseert om een klant te profileren, valt dat niet vanzelf onder de uitvoering van een overeenkomst. Je moet kunnen uitleggen waarom je die data verwerkt en hoe lang je die bewaart.

---

Wanneer heb je een verwerkersovereenkomst nodig?

Een verwerkersovereenkomst (VOK) is verplicht wanneer je een derde partij inschakelt die persoonsgegevens voor jou verwerkt. Die derde partij noem je een verwerker. Als je klantdata doorstaat naar een extern AI-platform, is dat platform in de meeste gevallen een verwerker.

Denk aan:

• Een AI-chatbot die draait op de API van OpenAI of Anthropic (Claude)
• Een automatiseringstool zoals n8n die klantgegevens verplaatst tussen systemen
• Een CRM zoals GoHighLevel dat klantdata opslaat
• Een WhatsApp-koppeling die berichten verwerkt via een externe dienst

Bij elk van deze partijen controleer je:

1. Staat er een verwerkersovereenkomst of Data Processing Agreement (DPA) in hun voorwaarden?
2. Waar worden de gegevens opgeslagen? Bij voorkeur in de EU.
3. Welke subverwerkers gebruiken zij? Grote platforms werken vaak met subdienstverleners.

Grote aanbieders als OpenAI, Anthropic en Make hebben DPA-documentatie beschikbaar. Je moet die wel actief accepteren en kunnen aantonen dat je dat gedaan hebt.

---

Wat mag je klantdata gebruiken voor in AI?

Dit is de vraag die de meeste ondernemers overslaan. Ze koppelen hun CRM aan een AI-tool en sturen klantdata mee in prompts zonder na te denken over het doel.

Een paar praktische vuistregels:

Stuur niet meer data dan nodig

Als een AI-agent een vervolgmail moet sturen, heeft die in de meeste gevallen alleen de naam en het e-mailadres nodig. Geen volledige klanthistorie, geen financiële gegevens, geen notities uit vorige gesprekken, tenzij dat strikt noodzakelijk is voor de taak.

Train geen modellen op klantdata zonder grondslag

Sommige AI-diensten gebruiken jouw data standaard om hun modellen te verbeteren. Dat is doorgaans niet toegestaan zonder expliciete toestemming van de betrokkene. Controleer de instellingen van elke tool en schakel dit uit als het mogelijk is.

Bijzondere categorieën zijn extra gevoelig

Gezondheidsgegevens, politieke opvattingen, religie, seksuele oriëntatie: dit zijn bijzondere categorieën persoonsgegevens. De AVG verbiedt verwerking hiervan tenzij er een uitdrukkelijke uitzondering geldt. AI-tools die klantgesprekken analyseren, kunnen onbedoeld bijzondere gegevens oppikken. Dat is een risico dat je actief moet beheersen.

---

Een register van verwerkingsactiviteiten

Ieder bedrijf dat persoonsgegevens verwerkt, is verplicht een register bij te houden. Daarin staat:

• Welke categorieën persoonsgegevens je verwerkt
• Met welk doel
• Op basis van welke grondslag
• Hoe lang je de data bewaart
• Welke externe partijen de data ontvangen

Als je met AI-automatisering werkt, voeg je de nieuwe verwerkingen toe aan dat register. Dat is geen papieren exercitie voor grote bedrijven. De Autoriteit Persoonsgegevens kan hier naar vragen, en bij een datalek is het register het eerste wat zij opvragen.

In het artikel over veilig automatiseren gaan we dieper in op hoe je toegang en databeheer technisch inricht, wat goed aansluit bij wat je juridisch moet vastleggen.

---

Transparantie naar klanten

Je klanten hebben het recht om te weten dat hun gegevens worden verwerkt. In de meeste gevallen regel je dat via je privacyverklaring. Als je AI inzet op een manier die voor de klant niet direct zichtbaar is, zoals een AI-agent die meeleest in supporttickets, moet je dat vermelden.

Daarnaast hebben klanten het recht op:

• Inzage: ze mogen vragen welke data je van hen hebt.
• Correctie: ze mogen onjuiste data laten aanpassen.
• Verwijdering: in bepaalde gevallen mogen ze vragen om verwijdering van hun gegevens.

Als je klantdata op meerdere plekken staat, in je CRM, in de logs van een AI-tool, in een Supabase-database, dan moet je bij een verwijderingsverzoek al die plekken kunnen aanpassen. Dat is technisch lastiger dan het klinkt als je systemen niet goed op elkaar zijn aangesloten.

---

Wat je concreet regelt voordat je live gaat

Een praktische checklist voor elk AI-project waarbij klantdata betrokken is:

• Inventariseer welke persoonsgegevens door de automatisering gaan
• Controleer of alle externe dienstverleners een DPA of verwerkersovereenkomst aanbieden
• Stel dataretentie in: hoelang bewaar je chatgeschiedenissen, formulierinzendingen en logs?
• Beperk datadoorgifte tot wat strikt noodzakelijk is voor de taak
• Voeg de nieuwe verwerking toe aan je register van verwerkingsactiviteiten
• Werk je privacyverklaring bij als de AI-inzet zichtbaar is voor klanten
• Controleer of data buiten de EU gaat en of dat is toegestaan

Bij NRL Automations beginnen we elk project met een inventarisatie van wat er technisch en juridisch geregeld moet zijn voordat we ook maar een API-koppeling bouwen. Veiligheid en compliance zijn geen sluitpost, maar een startpunt.

---

AVG is geen blokkade, maar een kader

De AVG houdt je niet tegen om AI te gebruiken. Het vraagt wel dat je nadenkt over wat je doet en waarom. Bedrijven die dat goed regelen, bouwen meer vertrouwen op bij klanten en lopen minder risico bij incidenten.

Wil je weten hoe je een AI-automatisering opzet die van begin af aan goed is ingericht? Plan een gesprek via /#boeken en we kijken samen waar de kansen en de risico’s zitten.