AI met klantgegevens: wat de AVG en de AI Act van uw kantoor vragen

Uw kantoor blijft verwerkingsverantwoordelijke

Uw kantoor bepaalt waarom en hoe de gegevens van uw klanten verwerkt worden. Onder de AVG bent u daarmee verwerkingsverantwoordelijke. De leverancier van een AI-tool die voor u gesprekken verwerkt, is uw verwerker.

Met elke verwerker sluit u een schriftelijke verwerkersovereenkomst (artikel 28 AVG). Daarin staat onder meer dat de verwerker alleen op uw instructie werkt, dat zijn medewerkers tot geheimhouding verplicht zijn, dat hij de gegevens beveiligt, dat hij alleen met uw toestemming subverwerkers inschakelt, en dat hij de gegevens aan het einde verwijdert of teruggeeft.

Gezondheidsgegevens vragen extra zorg

In een gesprek over een hospitalisatieverzekering, gewaarborgd inkomen of een schuldsaldoverzekering komen al snel gezondheidsgegevens ter sprake. De AVG rekent die tot de bijzondere categorieën van persoonsgegevens (artikel 9), met strengere voorwaarden.

Verwerk alleen wat u voor het dossier nodig hebt. Een gegevensbeschermingseffectbeoordeling (DPIA, artikel 35) is verplicht als een verwerking waarschijnlijk een hoog risico inhoudt voor uw klanten. Nieuwe technologie in combinatie met gezondheidsgegevens is een reden om dat na te gaan vóór u begint.

Uw klant informeren

Uw klant heeft het recht te weten wat u met zijn gegevens doet (artikel 13 AVG). Gebruikt u een tool die het gesprek verwerkt, zeg dat dan: welke tool, waarvoor, wie de gegevens ziet en hoe lang ze bewaard worden. Een korte zin bij het begin van het gesprek en een paragraaf in uw privacyverklaring volstaan meestal.

Waar de gegevens naartoe gaan

Gaan gegevens naar een land buiten de Europese Economische Ruimte, dan mag dat alleen met waarborgen, zoals een adequaatheidsbesluit van de Europese Commissie of modelcontractbepalingen. Vraag uw leverancier daarom welke subverwerkers hij gebruikt, waar die de gegevens verwerken en waar ze opgeslagen worden.

Wat de AI Act betekent voor een makelaarskantoor

De Europese AI-verordening (2024/1689) legt regels op volgens het risico van een toepassing. Op de lijst van AI met een hoog risico staan systemen voor risicobeoordeling en prijszetting bij levens- en ziektekostenverzekeringen voor natuurlijke personen. Na de wijziging van 2026 gelden de regels voor die systemen vanaf 2 december 2027. Een tool die een gesprek omzet in tekst en samenvat zodat de makelaar het kan nakijken, valt in onze lezing niet in die categorie.

De transparantieregels van artikel 50 gelden sinds 2 augustus 2026. Ze richten zich vooral op aanbieders, die bijvoorbeeld door AI gemaakte inhoud machineleesbaar moeten markeren, en op chatbots die met mensen praten. Interne dossiernotities van uw kantoor vallen niet onder de regel voor AI-tekst die het publiek informeert over zaken van algemeen belang.

De verordening vraagt ook aandacht voor AI-geletterdheid. De wijziging van 2026 maakte die plicht lichter, maar het blijft verstandig dat iedereen op uw kantoor weet wat een tool doet en waar hij zich kan vergissen.

Het belangrijkste staat niet in de AI Act maar in de IDD: u blijft verantwoordelijk voor uw behoefteanalyse en uw advies. Lees wat een AI-tool voorbereidt na vóór het in een dossier komt.

Acht vragen voor elke leverancier

1. Waar worden onze gegevens verwerkt en opgeslagen, en door welke subverwerkers?
2. Gebruikt u of een van uw AI-leveranciers onze klantgegevens om modellen te trainen?
3. Wie bij u kan de inhoud van onze gesprekken zien, en in welke gevallen?
4. Wordt het geluid van het gesprek bewaard?
5. Hoe lang bewaart u transcripties en overzichten, en kunnen wij dat instellen?
6. Wat gebeurt er met onze gegevens als we stoppen?
7. Krijgen we een verwerkersovereenkomst en een lijst van subverwerkers vóór we beginnen?
8. Hoe en hoe snel meldt u ons een datalek?

Hoe Avenro deze vragen beantwoordt

Op onze pagina Veiligheid en gegevens beantwoorden we deze vragen voor Avenro, en leest u welke documenten u van ons krijgt vóór u begint.

Meer gidsen

• De behoefteanalyse: wat erin moet en hoe u ze vastlegtWat erin hoort, wanneer u ze maakt, wat de FSMA afwijst en hoe lang u ze bewaart.
• Wat er in uw IDD-klantdossier hoortWat uw klant vóór het contract krijgt, wat u bewaart en een checklist per dossier.

Alle gidsen