AI-kennisbanken en vertrouwelijkheid: 7 vragen die elke dienstverlener moet stellen voordat hij klantgesprekken laat opnemen

Waarom dit artikel

Een AI-kennisbank die klantgesprekken opneemt, transcribeert en doorzoekbaar maakt is een enorme productiviteitswinst voor dienstverleners. We schreven eerder over hoe AI-kennisbanken per project eindelijk slim worden van jouw bedrijf—maar zodra je voice, video of chat gaat vastleggen, verschuift het gesprek van "handige tool" naar "juridische afweging".

Dit artikel is een checklist van zeven vragen die je moet kunnen beantwoorden voordat je een tool als Symphoria (een partner van Wux Webtools, en het platform waarmee wij zelf werken) of een alternatief gaat inzetten. De vragen zijn gebaseerd op de AVG, de EU AI Act, EDPB-richtlijnen en de praktijk van Nederlandse dienstverleners die wél compliant willen blijven zonder dat compliance het werk stilzet.

De context: je bent een dienstverlener—adviesbureau, ontwikkelaar, marketingbureau, accountant—die klanten helpt met projecten die maanden duren en tientallen gesprekken opleveren. Je wilt dat een AI die gesprekken samenvat, actiepunten extraheert en antwoorden geeft op vragen als "wat zei de klant vorige week over het budget?". Dat kan. Maar niet zonder deze zeven antwoorden.

1. Wie geeft toestemming voor de opname—en hoe leg je dat vast?

De AVG eist een rechtmatige grondslag voor elke verwerking van persoonsgegevens (art. 6). Voor opnames van gesprekken heb je meestal toestemming (art. 6 lid 1 sub a) of gerechtvaardigd belang (art. 6 lid 1 sub f) nodig. Toestemming moet voorafgaand, specifiek, geïnformeerd en vrijelijk gegeven zijn (art. 7). Dat betekent: geen pre-checked boxes, geen verborgen clausules in algemene voorwaarden, en zeker geen "we nemen op tenzij je bezwaar maakt".

Wat je wil zien: Een duidelijk opt-in-moment vóór het eerste gesprek dat wordt opgenomen. Dat kan een checkbox in je projectonboarding zijn ("Ik ga akkoord met opname van vergaderingen ten behoeve van projectdocumentatie en AI-ondersteuning"), een mondelinge bevestiging aan het begin van een call ("Deze call wordt opgenomen voor onze interne kennisbank—akkoord?"), of een aparte consent-mail. De toestemming moet worden gelogd: wie, wanneer, voor welk doel, en met welke tekst.

Hoe Symphoria dit oplost: Symphoria biedt een consent-layer per project. Voordat een opname start, vraagt het systeem expliciet toestemming van alle deelnemers. Die toestemming wordt opgeslagen met tijdstempel en IP-adres, en kan per project worden ingetrokken. Dat maakt het eenvoudiger om aan art. 7 lid 3 AVG te voldoen ("toestemming moet even gemakkelijk in te trekken zijn als te geven").

2. Waar staat de data fysiek opgeslagen, en welk recht is van toepassing?

De AVG verbiedt in principe doorgifte van persoonsgegevens naar landen buiten de EER zonder passende waarborgen (art. 44-50). Na het Schrems II-arrest (2020) zijn Standard Contractual Clauses (SCC's) niet langer voldoende als de ontvangende partij onderworpen is aan surveillance-wetgeving zoals de FISA 702 in de VS. De EU AI Act (2024) voegt daar een extra laag aan toe: high-risk AI-systemen moeten voldoen aan transparantie- en auditeisen die moeilijk te handhaven zijn als de data buiten de EU staat.

Wat je wil zien: Een heldere verklaring over waar de data fysiek staat (welk datacenter, welk land), welke subverwerkers toegang hebben, en of die partijen onderworpen zijn aan niet-Europese surveillance-wetgeving. Idealiter: opslag binnen de EU, bij een partij die geen Amerikaanse moedermaatschappij heeft of die expliciet een "EU-only"-modus aanbiedt.

Hoe Symphoria dit oplost: Symphoria draait volledig op Europese infrastructuur (AWS eu-west-1, Frankfurt) en gebruikt geen Amerikaanse subverwerkers voor opslag of verwerking van transcripts. Dat maakt het eenvoudiger om aan Schrems II te voldoen zonder ingewikkelde impact assessments.

3. Welk model verwerkt de transcripts, en gaan ze mee in de training?

De meeste AI-kennisbanken gebruiken een extern LLM (OpenAI, Anthropic, Google) om transcripts te verwerken. Dat roept twee vragen op: (1) worden de transcripts gebruikt om het model te trainen? en (2) wie heeft toegang tot de prompts en responses? OpenAI's API-voorwaarden stellen sinds maart 2023 dat data via de API niet wordt gebruikt voor training—tenzij je expliciet opt-in via een apart programma. Maar die garantie geldt niet voor alle aanbieders, en zeker niet voor gratis of "research"-toegang.

Wat je wil zien: Een expliciete verklaring dat transcripts niet worden gebruikt voor modeltraining, en dat ze na verwerking niet langer toegankelijk zijn voor de LLM-aanbieder. Dat moet in de verwerkersovereenkomst staan, niet alleen in een FAQ. Bonus: het platform gebruikt een model dat je zelf kunt hosten (bijv. Llama, Mistral) of een Europese aanbieder met een harde no-training-clause.

Hoe Symphoria dit oplost: Symphoria gebruikt OpenAI's API met een Business Associate Agreement (BAA) en een no-training-clause. Transcripts worden verwerkt via de API, maar worden niet opgeslagen door OpenAI en gaan niet mee in toekomstige modelversies. Dat staat expliciet in de subprocessor-lijst.

4. Hoe lang bewaar je opnames en embeddings, en wie kan ze verwijderen?

De AVG eist dat persoonsgegevens niet langer worden bewaard dan noodzakelijk voor het doel waarvoor ze zijn verzameld (art. 5 lid 1 sub e: opslagbeperking). Voor een AI-kennisbank betekent dat: je moet kunnen uitleggen waarom een opname van zes maanden geleden nog steeds relevant is, en je moet een proces hebben om oude data te verwijderen. Dat geldt ook voor afgeleide data: embeddings (vectorrepresentaties van tekst) zijn persoonsgegevens als ze herleidbaar zijn naar een individu.

Wat je wil zien: Een instelbare bewaartermijn per project (bijv. "verwijder opnames automatisch na 12 maanden"), een knop waarmee een projectmanager handmatig een opname kan verwijderen, en een garantie dat verwijdering ook de embeddings en indexen raakt—niet alleen de audiofile. Idealiter: een audit log die laat zien wanneer iets is verwijderd en door wie.

Hoe Symphoria dit oplost: Symphoria biedt een "retention policy" per project. Je kunt instellen dat opnames na X maanden automatisch worden verwijderd, inclusief transcripts en embeddings. Handmatige verwijdering is mogelijk via de project-interface, en elke verwijdering wordt gelogd in de audit trail.

5. Welke audit logs zijn er—kan een klant achteraf zien wat er met "zijn" gesprek is gebeurd?

Transparantie is een kernbeginsel van de AVG (art. 5 lid 1 sub a). Dat betekent dat je moet kunnen uitleggen wat je met iemands data hebt gedaan—ook achteraf. Voor een AI-kennisbank betekent dat: je moet kunnen laten zien welke opnames zijn gemaakt, wie ze heeft bekeken, welke queries zijn uitgevoerd, en of er data is geëxporteerd of verwijderd. Zonder audit logs kun je die vragen niet beantwoorden, en loop je het risico op boetes bij een datalek of klacht.

Wat je wil zien: Een audit log per project die minimaal bijhoudt: (1) wie heeft een opname gestart, (2) wie heeft een transcript bekeken, (3) welke queries zijn uitgevoerd tegen de kennisbank, (4) of er data is geëxporteerd, en (5) of er data is verwijderd. Die log moet doorzoekbaar zijn en minimaal 12 maanden bewaard blijven (langer als je in een gereguleerde sector werkt).

Hoe Symphoria dit oplost: Symphoria logt alle acties op project-niveau: opnames, views, queries, exports en deletes. Die logs zijn toegankelijk voor de projecteigenaar en kunnen worden geëxporteerd als CSV. Dat maakt het eenvoudiger om te voldoen aan een verzoek om inzage (art. 15 AVG) of om een incident te onderzoeken.

6. Wat is de exit-strategie? (Kun je je kennisbank exporteren in open formaat?)

Vendor lock-in is een risico bij elke SaaS-tool, maar bij een AI-kennisbank is het extra pijnlijk: je hebt maanden aan gesprekken, transcripts en metadata verzameld, en als je niet kunt exporteren, ben je die kennis kwijt. De AVG geeft je het recht op dataportabiliteit (art. 20), maar dat geldt alleen voor data die je zelf hebt aangeleverd—niet voor afgeleide data zoals embeddings of samenvattingen. Toch is het verstandig om te eisen dat je alles kunt exporteren, in een formaat dat je bij een andere aanbieder kunt importeren.

Wat je wil zien: Een export-knop die je minimaal geeft: (1) alle audio- of videobestanden, (2) alle transcripts in platte tekst of JSON, (3) alle metadata (tijdstempels, deelnemers, tags), en (4) idealiter ook de embeddings in een open formaat zoals Parquet of JSONL. Bonus: de export is geautomatiseerd en kan worden ingepland (bijv. wekelijkse backup naar je eigen S3-bucket).

7. Wie is verwerker, wie is verwerkingsverantwoordelijke, en staat dat in een verwerkersovereenkomst?

De AVG maakt onderscheid tussen de verwerkingsverantwoordelijke (de partij die bepaalt waarom en hoe persoonsgegevens worden verwerkt) en de verwerker (de partij die namens de verwerkingsverantwoordelijke verwerkt). Als dienstverlener ben jij meestal de verwerkingsverantwoordelijke, en de AI-kennisbank is de verwerker. Dat betekent dat je een verwerkersovereenkomst (art. 28 AVG) nodig hebt die precies vastlegt wat de verwerker mag doen, hoe lang, met welke subverwerkers, en wat er gebeurt bij een datalek.

Wat je wil zien: Een verwerkersovereenkomst (Data Processing Agreement, DPA) die voldoet aan art. 28 lid 3 AVG. Die moet minimaal bevatten: (1) het onderwerp en de duur van de verwerking, (2) de aard en het doel van de verwerking, (3) het type persoonsgegevens en de categorieën betrokkenen, (4) de rechten en verplichtingen van de verwerkingsverantwoordelijke, (5) een lijst van subverwerkers, en (6) een procedure voor datalekken. Die overeenkomst moet ondertekend zijn voordat je begint met opnemen.

Hoe Symphoria dit oplost: Symphoria biedt een standaard DPA die voldoet aan art. 28 AVG. Die kun je ondertekenen via de platform-interface, en hij wordt automatisch bijgewerkt als er een nieuwe subverwerker wordt toegevoegd. Dat maakt het eenvoudiger om compliant te blijven zonder elke keer een juridisch team in te schakelen.

TL;DR-checklist

• Toestemming: Leg voorafgaande, specifieke toestemming vast—met tijdstempel en opt-out-optie.
• Opslag: Controleer of data binnen de EU staat en niet onderworpen is aan niet-Europese surveillance-wetgeving.
• Training: Eis een expliciete garantie dat transcripts niet worden gebruikt voor modeltraining.
• Bewaring: Stel een bewaartermijn in en zorg dat verwijdering ook embeddings raakt.
• Audit: Eis logs van wie wat heeft bekeken, gequery'd en verwijderd.
• Export: Controleer of je alle data kunt exporteren in een open formaat.
• DPA: Onderteken een verwerkersovereenkomst voordat je begint met opnemen.

Wat dit betekent voor jouw organisatie

Als je deze zeven vragen kunt beantwoorden, ben je een heel eind. Maar let op: compliance is geen one-time checklist. De AVG eist dat je regelmatig controleert of je nog steeds aan de eisen voldoet (art. 24: "passende technische en organisatorische maatregelen"), en de EU AI Act voegt daar een extra laag aan toe voor high-risk systemen. Dat betekent: periodieke audits, DPIA's bij nieuwe use cases, en een proces om te reageren op inzageverzoeken en datalekken.

Wil je zien hoe dit in de praktijk werkt? Lees een week met een AI-kennisbank: zo verandert het werk van een projectmanager bij een dienstverlener—een verhalende case waarin we precies laten zien hoe deze vragen in de dagelijkse praktijk opduiken.

De belangrijkste les: een AI-kennisbank is pas een productiviteitswinst als je het vertrouwen van je klanten behoudt. En dat vertrouwen verdien je door deze vragen te stellen—en te kunnen beantwoorden—voordat je op "record" drukt.