AI-chatbots op websites: AVG-conform inzetten

AI-chatbots zijn allang geen toekomstmuziek meer: ze beantwoorden klantvragen dag en nacht, ontlasten supportteams en verbeteren de gebruikerservaring merkbaar. Maar wie zo'n bot op zijn website inzet, betreedt privacyrechtelijk terrein dat zorgvuldige planning vraagt. Dit artikel laat zien waar het op aankomt, waar de typische valkuilen liggen en hoe een rechtsgeldige implementatie lukt.

Wat maakt AI-chatbots bijzonder vanuit privacyoogpunt?

Anders dan een eenvoudig contactformulier verwerkt een AI-chatbot invoer in realtime, slaat hij gespreksgeschiedenissen op, stuurt hij gegevens door naar externe diensten en leert hij in sommige gevallen van de interacties. Daardoor ontstaan meerdere privacyrechtelijke dimensies tegelijk:

• Verzameling van persoonsgegevens – gebruikers voeren namen, e-mailadressen, probleembeschrijvingen of zelfs gezondheidsinformatie in, vaak zonder zich daarvan bewust te zijn.
• Doorgifte naar derde landen – veel AI-diensten (OpenAI, Google, Amazon) verwerken gegevens op servers in de VS of in andere landen buiten de EU.
• Geautomatiseerde verwerking – zodra een systeem beslissingen neemt die gevolgen hebben voor personen, is art. 22 AVG van toepassing.
• Training van AI-modellen – worden invoergegevens gebruikt om het model te verbeteren, dan is dat een zelfstandige verwerkingsactiviteit.

De Algemene verordening gegevensbescherming (AVG) geldt voor al deze handelingen zodra er ook maar één betrokkene uit de EU bij betrokken is.

Rechtsgronden: op welke basis mag worden verwerkt?

Elke verwerking van persoonsgegevens heeft een rechtsgrond nodig volgens art. 6 AVG. Voor chatbots komen doorgaans drie in aanmerking:

Toestemming (art. 6, lid 1, onder a, AVG) Toestemming is de veiligste grondslag wanneer de gegevensverwerking verder gaat dan wat nodig is voor het leveren van de dienst, bijvoorbeeld bij het gebruik van gespreksgegevens voor analysedoeleinden of AI-training. Ze moet vrij, geïnformeerd, specifiek en ondubbelzinnig worden gegeven. Een vooraf aangevinkt vakje volstaat niet.

Uitvoering van een overeenkomst (art. 6, lid 1, onder b, AVG) Wordt de chatbot ingezet voor de afhandeling van een bestaande of beoogde contractuele relatie (bijv. bestelstatus opvragen, supportvragen in het klantaccount), dan kan deze grondslag van toepassing zijn.

Gerechtvaardigde belangen (art. 6, lid 1, onder f, AVG) Voor puur functionele chatbotinteracties zonder gevoelige gegevens kan het gerechtvaardigde belang van de onderneming worden ingeroepen, maar alleen als een belangenafweging in het voordeel van de verwerkingsverantwoordelijke uitvalt en de grondrechten van de gebruikers niet zwaarder wegen.

Tip uit de praktijk: voor bezoekers zonder bestaande contractuele relatie is toestemming doorgaans de aangewezen keuze.

Technische en organisatorische maatregelen (TOM's)

Art. 25 AVG vereist “gegevensbescherming door ontwerp” (privacy by design) en “gegevensbescherming door standaardinstellingen” (privacy by default). Concreet betekent dat voor chatbots:

Dataminimalisatie De bot mag alleen de gegevens opvragen die voor de betreffende vraag echt nodig zijn. Wie alleen naar de openingstijden vraagt, hoeft geen e-mailadres in te voeren.

Pseudonimisering en anonimisering Gesprekslogs moeten zo mogelijk geanonimiseerd of ten minste gepseudonimiseerd worden opgeslagen. Echte namen en directe identificatoren moeten in een vroeg stadium uit de logs worden verwijderd.

Versleuteling Overdracht en opslag van chatbotgegevens moeten versleuteld gebeuren (minimaal TLS 1.2, liever TLS 1.3).

Toegangsbeperkingen Logs en gespreksgeschiedenissen mogen alleen toegankelijk zijn voor bevoegde personen. Op rollen gebaseerde toegangsconcepten moeten worden gedocumenteerd.

Bewaar- en verwijderbeleid Voor alle verwerkte gegevens moeten duidelijke bewaartermijnen zijn vastgelegd. Gespreksgeschiedenissen mogen niet langer worden bewaard dan strikt noodzakelijk; doorgaans volstaan enkele weken tot maanden.

Verwerking in opdracht: de overeenkomst met de aanbieder

Wie een externe AI-dienst integreert, via een API of een kant-en-klare widgetoplossing, draagt persoonsgegevens over aan een dienstverlener. Dat is verwerking in opdracht in de zin van art. 28 AVG. Zonder geldige verwerkersovereenkomst is de inzet onrechtmatig.

Een verwerkersovereenkomst moet onder meer regelen:

• onderwerp en duur van de verwerking
• aard en doel van de verwerking
• gebondenheid van de verwerker aan instructies
• technische en organisatorische beschermingsmaatregelen
• omgang met subverwerkers
• rechten van betrokkenen en ondersteuningsplichten

Veel grote aanbieders (OpenAI, Microsoft, Google) stellen standaardovereenkomsten ter beschikking. Die moeten echter niet blind worden geaccepteerd: een juridische toetsing is aan te raden, vooral met betrekking tot subverwerkers en hun vestigingslocaties.

Doorgifte naar derde landen: het VS-probleem

Een centraal probleem bij het gebruik van Amerikaanse AI-diensten is de doorgifte van gegevens naar derde landen. Sinds het Schrems II-arrest van het Hof van Justitie van de EU (2020) is doorgifte naar de VS zonder passende waarborgen niet toegestaan.

Sinds juli 2023 bestaat met het EU-U.S. Data Privacy Framework (DPF) een nieuw adequaatheidsbesluit van de Europese Commissie. Aanbieders die onder het DPF zijn gecertificeerd, mogen gegevens uit de EU ontvangen zonder dat aanvullende standaardcontractbepalingen (SCC's) nodig zijn. Of een aanbieder gecertificeerd is, kunt u online controleren.

Belangrijk: het DPF is niet onherroepelijk. Er lopen politieke en juridische discussies die het voortbestaan ervan op middellange termijn in gevaar kunnen brengen. Een risicoafweging en regelmatige herbeoordeling blijven geboden.

Als alternatief bieden Europese aanbieders of zelf gehoste open-sourcemodellen (bijv. LLM's op eigen infrastructuur) een privacyrechtelijk robuustere oplossing, omdat er geen doorgifte naar derde landen plaatsvindt.

Privacyverklaring: aan de transparantieplicht voldoen

De privacyverklaring van de website moet de inzet van de chatbot volledig en begrijpelijk beschrijven (art. 13 AVG). De volgende informatie is verplicht:

• Welke gegevens verzamelt de chatbot?
• Voor welk doel worden ze verwerkt?
• Op welke rechtsgrond?
• Aan welke ontvangers (inclusief subverwerkers) worden gegevens verstrekt?
• Naar welke landen worden gegevens doorgegeven, en op welke grondslag?
• Hoe lang worden gegevens bewaard?
• Welke rechten hebben de gebruikers (inzage, verwijdering, bezwaar)?

Een algemene formulering als “Wij gebruiken AI-tools” is onvoldoende. De beschrijving moet concreet en navolgbaar zijn.

Rechten van betrokkenen technisch uitvoeren

Ook voor chatbotgegevens gelden alle rechten van betrokkenen uit de AVG:

• Recht op inzage (art. 15): gebruikers kunnen verlangen te weten welke gegevens zijn opgeslagen.
• Recht op gegevenswissing (art. 17): op verzoek moeten alle persoonsgegevens uit gesprekslogs kunnen worden verwijderd.
• Recht op overdraagbaarheid van gegevens (art. 20): bij verwerking op basis van toestemming of een overeenkomst moeten gegevens in een machineleesbaar formaat kunnen worden verstrekt.
• Recht van bezwaar (art. 21): bij verwerking op basis van gerechtvaardigde belangen kunnen gebruikers bezwaar maken.

De technische infrastructuur moet deze rechten kunnen ondersteunen. Gesprekslogs moeten daarom zo zijn opgebouwd dat ze eenduidig aan een persoon kunnen worden toegeschreven en op verzoek volledig kunnen worden verwijderd.

Bijzondere categorieën van persoonsgegevens

Worden in de chatbot gevoelige gegevens verwerkt, bijvoorbeeld bij communicatie tussen arts en patiënt, psychologische begeleiding of juridisch advies, dan gelden strengere eisen volgens art. 9 AVG. Gezondheidsgegevens, religieuze overtuigingen of politieke opvattingen mogen alleen met uitdrukkelijke toestemming of onder strikte wettelijke uitzonderingen worden verwerkt.

In zulke scenario's is een gegevensbeschermingseffectbeoordeling (DPIA) volgens art. 35 AVG vrijwel altijd verplicht.

Gegevensbeschermingseffectbeoordeling (DPIA)

Een DPIA moet worden uitgevoerd wanneer een verwerkingsactiviteit waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen. Bij AI-chatbots is dat vaak het geval, vooral wanneer:

• profilering of systematische analyse van gebruikersgedrag plaatsvindt,
• bijzondere categorieën van persoonsgegevens worden verwerkt,
• grootschalige verwerking plaatsvindt op een publiek toegankelijk systeem.

De DPIA documenteert risico's, tegenmaatregelen en de beoordeling van het restrisico, en moet aan de toezichthoudende autoriteit worden voorgelegd als de risico's niet voldoende kunnen worden beperkt.

Praktische checklist voor AVG-conforme AI-chatbots

Rechtsgrond

• Rechtsgrond voor elke verwerkingsactiviteit bepaald
• Toestemmingsmechanisme (indien vereist) technisch geïmplementeerd
• Verwerkersovereenkomst met de aanbieder gesloten en gecontroleerd

Transparantie

• Privacyverklaring bijgewerkt en volledig
• Gebruikers worden vóór de eerste invoer over de gegevensverwerking geïnformeerd

Techniek

• Overdracht en opslag versleuteld
• Bewaartermijnen vastgelegd en technisch geïmplementeerd
• Rechten van betrokkenen kunnen worden uitgeoefend (inzage, verwijdering, overdraagbaarheid)
• Dataminimalisatie geïmplementeerd (alleen noodzakelijke velden)

Doorgifte naar derde landen

• Aanbieder gecontroleerd op DPF-certificering of SCC's
• Doorgifte gedocumenteerd

Risicobeoordeling

• DPIA uitgevoerd (indien vereist)
• Register van verwerkingsactiviteiten bijgewerkt

Conclusie

Een AI-chatbot kan een waardevolle aanvulling op elke website zijn, op voorwaarde dat hij vanaf het begin AVG-conform wordt opgezet. De grootste risico's ontstaan niet door kwade opzet, maar door ontbrekende overeenkomsten, onduidelijke rechtsgronden en gebrekkige transparantie tegenover de gebruikers. Wie de beschreven maatregelen consequent toepast, creëert niet alleen rechtszekerheid, maar ook vertrouwen bij zijn gebruikers, en dat is uiteindelijk het duurzamere concurrentievoordeel.

Bij complexe scenario's, vooral in gereguleerde sectoren zoals gezondheidszorg, financiën of recht, is het daarnaast raadzaam een specialist op het gebied van gegevensbescherming en juridische vraagstukken in te schakelen.