AI in je privacyverklaring

Gebruik je AI-tools bij klantgegevens, bijvoorbeeld voor het uitschrijven van gesprekken of het verwerken van documenten? Dan moet je dat in je privacyverklaring melden: dat je AI gebruikt, met welk doel, welke categorie ontvangers erbij betrokken is en of gegevens buiten de EER gaan (AVG art. 13 en 14).

Wat neem je op?

Dat AI-hulpmiddelen worden gebruikt en waarvoor (bijvoorbeeld transcriptie en tekstverwerking).
De categorie ontvangers: de AI-dienstverlener als verwerker.
Doorgifte buiten de EER en de waarborg, zoals het EU-VS-dataprivacykader of modelcontractbepalingen.
De bewaartermijn bij de leverancier en of gegevens worden gebruikt om modellen te trainen.
Dat de adviseur het advies zelf opstelt, controleert en ondertekent.

Modeltekst privacyverklaring

Wij gebruiken AI-diensten van zorgvuldig geselecteerde leveranciers, bijvoorbeeld voor het uitschrijven van gesprekken en het verwerken van documenten. Met deze leveranciers hebben wij een verwerkersovereenkomst. [Alleen opnemen als contractueel vastgelegd: Zij gebruiken uw gegevens niet om hun AI-modellen te trainen.] [Vermeld of gegevens buiten de EER worden verwerkt en op basis van welke waarborg.]

Gesprekken opnemen of laten uitschrijven

Meld aan het begin van het gesprek dat het wordt opgenomen of door AI wordt uitgeschreven, waarvoor en hoe lang het wordt bewaard. Leg de melding of toestemming vast in het dossier.

Voor een goed verslag laten we dit gesprek uitschrijven met een AI-hulpmiddel. De opname bewaren we niet langer dan nodig. Het verslag komt in uw dossier en u krijgt het ter controle. Heeft u bezwaar? Dan maken we zelf aantekeningen.

Wat leg je intern vast?

Een verwerkersovereenkomst per AI-leverancier (AVG art. 28), met een zakelijke licentie en geen consumentenaccount.
Een DPIA als de verwerking waarschijnlijk een hoog risico oplevert, bijvoorbeeld bij nieuwe technologie en grootschalige verwerking van financiële gegevens (AVG art. 35).
Een register van AI-toepassingen per rol, als basis voor privacyverklaring en DPIA.
Een meldroute voor datalekken: binnen 72 uur melden bij de Autoriteit Persoonsgegevens als er risico is voor betrokkenen (AVG art. 33).

Veelgestelde vragen

Moet ik in mijn privacyverklaring vermelden dat ik AI gebruik?

Ja, als AI-tools persoonsgegevens van klanten verwerken. Vermeld doel, categorie ontvangers en eventuele doorgifte buiten de EER (AVG art. 13 en 14).

Heb ik een verwerkersovereenkomst nodig met een AI-leverancier?

Ja, als de leverancier in jouw opdracht persoonsgegevens verwerkt (AVG art. 28). Zonder die overeenkomst laat je geen klantgegevens verwerken door een AI-dienst.

Mag ik een klantgesprek door AI laten uitschrijven?

Ja, mits je de klant vooraf informeert over de opname of transcriptie, het doel en de bewaartermijn, en dat vastlegt.

Wanneer is een DPIA nodig?

Als een verwerking waarschijnlijk een hoog privacyrisico oplevert. Bij klantdossiers met financiële gegevens en nieuwe technologie is dat snel het geval.

Zie ook

Deze pagina is een hulpmiddel voor het gesprek met compliance of een jurist en geen juridisch advies. Regels wijzigen: controleer de actuele stand in de bronnen op Wet- en regelgeving.

Laatst bijgewerkt: 18 oktober 2026. Hulpmiddel voor het gesprek met compliance, geen juridisch advies.