Is een AI-chatbot AVG-proof?

Privacy & compliance

Is een AI-chatbot AVG-proof? Privacy, AVG/GDPR en chatbots uitgelegd

Een chatbot op je site praat met echte mensen, en op dat moment raakt hij aan persoonsgegevens. Daarmee wordt de AVG (in Europa de GDPR) jouw probleem, niet zomaar een juridische voetnoot. Deze gids legt in gewone taal uit wat een chatbot precies verwerkt, op welke grondslag, en wat je moet regelen om binnen de regels te blijven.

De korte versie: een chatbot kan zeker AVG-proof zijn, maar niet per ongeluk. Het komt neer op waar je data staat, met wie je een verwerkersovereenkomst hebt, en of de onderliggende AI stiekem meetraint op jouw gesprekken. We zijn eerlijk over alle drie.

Bijgewerkt 2026-07-06

Belangrijkste punten

  • Een chatbot verwerkt persoonsgegevens (namen, e-mails, chatberichten, IP-adressen), dus de AVG geldt vanaf het eerste gesprek.
  • Je hebt een getekende verwerkersovereenkomst (DPA, AVG art. 28) nodig met je chatbotleverancier, omdat die namens jou gegevens verwerkt.
  • Waar de data staat, doet ertoe: EU-hosting (bijvoorbeeld Duitsland) voorkomt de extra hordes van doorgifte naar de VS.
  • De veiligste opzet antwoordt alleen uit je eigen content en gebruikt je gesprekken niet om het AI-model te trainen.
  • Bezoekers houden hun AVG-rechten (inzage, verwijdering), dus je moet hun gegevens op verzoek kunnen vinden en wissen.

Welke persoonsgegevens verwerkt een chatbot eigenlijk?

Meer dan de meeste mensen denken. De voor de hand liggende data is wat een bezoeker typt: een naam, een e-mailadres, een ordernummer, een telefoonnummer, soms een hele omschrijving van een klacht of een gezondheidsvraag. Maar een chatbot verzamelt ook data op de achtergrond: het IP-adres van de bezoeker, een sessie- of apparaat-ID, tijdstempels, de pagina waar iemand op zat, en het volledige transcript van het gesprek. Onder de AVG telt bijna dit alles als persoonsgegevens, omdat het te herleiden is naar een identificeerbaar persoon.

Dit is belangrijk omdat het de AVG niet uitmaakt of je persoonsgegevens wilde verzamelen. Zodra een chatbot ze kan ontvangen en opslaan, verwerk je ze, en ben je verantwoordelijk. Een goede gewoonte is om ervan uit te gaan dat elk gesprek persoonsgegevens kan bevatten en daaromheen te ontwerpen: bewaar alleen wat je nodig hebt, vraag niet meer dan het gesprek vereist, en zorg dat gevoelige input (zoals gezondheidsgegevens) met extra zorg wordt behandeld.

Op welke grondslag? Toestemming versus gerechtvaardigd belang

De AVG zegt dat je persoonsgegevens alleen mag verwerken als je een geldige grondslag hebt. Voor een klantenservice-chatbot zijn twee grondslagen gangbaar. De eerste is gerechtvaardigd belang: een bezoeker helpen die zelf een gesprek met je begon, is een normaal en verwacht onderdeel van ondernemen, en het afhandelen van zijn vraag valt daarbinnen. De tweede is toestemming, die relevant wordt zodra je verder gaat dan de vraag beantwoorden, bijvoorbeeld door tracking-cookies te plaatsen, iemand aan een mailinglijst toe te voegen, of de chat te gebruiken voor marketingprofilering.

In de praktijk is de eerlijke regel: wees vooraf transparant. Vertel bezoekers in een korte zin en een link naar je privacyverklaring dat ze met een AI-assistent chatten, wat er met hun gegevens gebeurt, en hoe lang die worden bewaard. Verstop het niet. Transparantie is niet alleen netjes, het is een AVG-eis, en het houdt ook het vertrouwen intact als een echt persoon later het transcript leest.

De verwerkersovereenkomst (DPA): het stuk dat mensen vergeten

Als je een chatbottool gebruikt, verwerkt die leverancier persoonsgegevens namens jou. Onder AVG artikel 28 maakt dat hen jouw verwerker en jou de verwerkingsverantwoordelijke, en dat betekent dat jullie samen een schriftelijke verwerkersovereenkomst moeten hebben, een DPA. Dit document is geen optioneel papierwerk. Het legt vast welke data wordt verwerkt, met welk doel, hoe die is beveiligd, of er subverwerkers zijn, en wat er gebeurt als het contract eindigt. Zonder deze overeenkomst ben je technisch gezien niet compliant, zelfs als al het andere perfect is.

De praktische test voor elke chatbotleverancier is simpel: kunnen ze je een DPA overhandigen, en kan dat zonder verkoopgesprek? ovellan bijvoorbeeld publiceert een downloadbare DPA, zodat je die kunt lezen, tekenen en bewaren voordat je ooit live gaat. Als een leverancier er geen kan leveren, of het verstopt achter een enterprise-abonnement, zie dat dan als een rode vlag en niet als een detail.

Waar staat de data? Waarom EU-hosting ertoe doet

De datalocatie is een van de meest onderschatte onderdelen van chatbot-compliance. De AVG staat toe dat persoonsgegevens vrij binnen de EU bewegen, maar doorgifte naar landen buiten de EU, met de Verenigde Staten als grote voorbeeld, komt met extra voorwaarden en juridische onzekerheid die Europese toezichthouders al jaren bezighoudt. Veel chatbottools sturen de data van je bezoekers stilletjes via Amerikaanse servers, waardoor jij die complexiteit erft of je dat nu wilde of niet.

Het schonere antwoord is om de data vanaf het begin in de EU te houden. ovellan draait op infrastructuur in Duitsland (Hetzner), zodat je gesprekken en klantdata binnen de Europese Unie blijven. Dat lost niet als bij toverslag elke AVG-vraag op, maar het haalt wel de meest rommelige eruit: je leunt niet langer op een doorgiftemechanisme om te rechtvaardigen waar de data van je klanten belandt. Voor een Nederlands bedrijf dat met Nederlandse klanten praat, is dat precies de opzet die toezichthouders verwachten.

Traint de AI mee op jouw gesprekken?

Dit is de vraag die een echt privacyvriendelijke chatbot onderscheidt van een lekkende. Moderne chatbots draaien op grote taalmodellen, en sommige opzetten voeren de gesprekken terug in trainingsdata. Als dat gebeurt, kan een klantklacht of een e-mailadres dat iemand typte in theorie ergens opduiken waar je het nooit wilde hebben. Vanuit de AVG is dat een serieus probleem, want je verliest de controle over waar persoonsgegevens heen gaan en je kunt ze niet netjes wissen op verzoek.

Het eerlijke, verdedigbare ontwerp is het tegenovergestelde: de chatbot antwoordt alleen uit je eigen content (je website, je documenten, je FAQ), en je gesprekken worden niet gebruikt om het onderliggende model te trainen. ovellan werkt bewust zo, en zegt zelfs ik weet het niet als je content het antwoord niet bevat, in plaats van iets te verzinnen. Zo blijven twee dingen tegelijk waar: de bot blijft accuraat, en de data van je bezoekers blijft van jou. Samen met de DPA en EU-hosting is dat hoe een AVG-proof chatbot er in de praktijk uitziet.

Veelgestelde vragen

Mag een chatbot uberhaupt onder de AVG?
Ja. Een chatbot mag, zolang je een geldige grondslag hebt (meestal gerechtvaardigd belang voor het beantwoorden van vragen, toestemming voor iets extra zoals marketing), je er transparant over bent, en je een verwerkersovereenkomst met je leverancier hebt. De AVG verbiedt chatbots niet, hij stelt alleen voorwaarden.
Heb ik echt een DPA nodig voor een chatbot?
Ja, als de chatbotleverancier persoonsgegevens namens jou verwerkt, en dat doen ze bijna altijd. AVG artikel 28 vereist een schriftelijke verwerkersovereenkomst tussen jou (de verantwoordelijke) en hen (de verwerker). Een serieuze leverancier geeft je een downloadbare DPA zonder verkoopgesprek. Kan dat niet, dan is dat een waarschuwingssignaal.
Waarom doet het ertoe waar de chatbotdata staat?
Omdat data binnen de EU vrij beweegt, maar het versturen naar landen buiten de EU (zoals de VS) juridische voorwaarden en onzekerheid toevoegt. Data in de EU houden, bijvoorbeeld op servers in Duitsland, haalt dat hele probleem weg. ovellan host in Duitsland juist zodat je klantdata binnen de Europese Unie blijft.
Gebruikt de AI mijn klantgesprekken om zichzelf te trainen?
Dat hangt volledig van de leverancier af, en dit is dus de vraag die je moet stellen. Sommige opzetten voeren gesprekken terug in training, wat een AVG-risico is. Het veiligere ontwerp antwoordt alleen uit je eigen content en traint niet op je gesprekken. ovellan werkt zo, zodat de data van je bezoekers van jou blijft.
Wat als een bezoeker vraagt om zijn chatdata te wissen?
Onder de AVG hebben bezoekers recht op inzage en verwijdering, dus je moet hun gespreksdata op verzoek kunnen vinden en wissen. Dat is veel makkelijker als de data op een plek staat die jij beheert (je werkruimte) en niet verspreid is in een trainingsset. Bouw het kunnen vinden en verwijderen van een gesprek vanaf dag een in je proces in.

Zie het antwoorden voor je eigen bedrijf

Wijs ovellan naar je website en zie hoe hij de echte vragen van je klanten beantwoordt, in jouw taal, rond de klok.

Probeer ovellan gratis7 dagen gratis proberen. Voor Starter heb je geen creditcard nodig.

Bronnen

Is een AI-chatbot AVG-proof?