AI Act en AVG: wat moet je echt regelen?
Voor een klantenservicechatbot valt het mee, mits je een paar dingen op orde hebt. Dit is wat er wel geldt, wat er niet geldt, en een checklist die je in een uur afwerkt.
Deze pagina is algemene informatie en geen juridisch advies. Bij twijfel over jouw situatie: overleg met een jurist.
Het korte antwoord
Een chatbot die klantvragen beantwoordt valt onder beperkt risico. De belangrijkste verplichting is transparantie: de klant moet weten dat hij met AI praat. Daarnaast geldt gewoon de AVG voor de persoonsgegevens die je verwerkt. Verder is er voor het MKB weinig aan de hand, zolang je niet gaat scoren, selecteren of beoordelen.
Wanneer gaat wat in
| Datum | Wat er ingaat | Relevant voor jou? |
|---|---|---|
| Feb 2025 | Verboden toepassingen en AI-geletterdheid | Ja, je team moet weten hoe het systeem werkt |
| Aug 2025 | Regels voor aanbieders van algemene AI-modellen | Nee, dat is je leverancier |
| Aug 2026 | Transparantieplicht en het gros van de overige regels | Ja, dit is jouw deadline |
| Aug 2027 | Resterende verplichtingen voor hoog risico in producten | Zelden, alleen bij ingebouwde AI in producten |
De vier risiconiveaus
Onaanvaardbaar risico
Verboden. Denk aan sociale scoring, manipulatie van kwetsbare groepen en emotieherkenning op de werkvloer. Een klantenservicebot komt hier niet in de buurt.
Hoog risico
Zware eisen rond documentatie, toezicht en kwaliteit. Denk aan werving, kredietbeoordeling en toegang tot essentiële diensten. Let op als je bot bepaalt wie welke korting of welk krediet krijgt.
Beperkt risico
Hier zit jouw chatbot. Eén kernverplichting: de gebruiker moet weten dat hij met AI communiceert. Verder gelden de gewone regels rond eerlijke handelspraktijken.
Minimaal risico
Spamfilters, tekstsuggesties, sorteren van tickets. Geen specifieke verplichtingen vanuit de AI Act.
De AVG is in de praktijk strenger
De meeste MKB-bedrijven lopen niet vast op de AI Act maar op privacy. Zodra een klant zijn ordernummer, adres of klachtomschrijving intypt, verwerk je persoonsgegevens.
- Sluit een verwerkersovereenkomst met de partij die het model draait
- Zet uit dat jouw gesprekken gebruikt worden om modellen te trainen
- Weet in welk land de verwerking plaatsvindt en leg dat vast
- Bewaar gesprekken niet langer dan nodig, kies een concrete termijn
- Vermeld het gebruik van AI in je privacyverklaring
- Laat de bot niet vragen om gegevens die je niet nodig hebt
Checklist: ben je compliant?
Onzin die je vaak hoort
Je hebt een AI-audit nodig
Voor een klantenservicebot in de categorie beperkt risico bestaat geen auditplicht. Partijen die dat verkopen, verkopen angst.
AI mag geen klantgegevens zien
Dat mag prima, mits je een grondslag hebt en de verwerking netjes is geregeld. Anders zou geen enkel CRM mogen bestaan.
Je moet je AI registreren bij de overheid
Registratie in de EU-databank geldt voor hoog risico systemen. Voor een chatbot hoeft dat niet.
Amerikaanse leveranciers mogen niet
Ze mogen wel, maar leg vast waar verwerkt wordt en regel de doorgifte netjes. Veel aanbieders hebben inmiddels Europese verwerking.
Veelgestelde vragen over regels
Valt mijn klantenservicechatbot onder de AI Act?
Ja, vrijwel zeker in de categorie beperkt risico. Dat betekent in de praktijk één harde verplichting: je moet duidelijk maken dat de gebruiker met een AI-systeem praat.
Moet ik letterlijk zeggen dat het een bot is?
Je moet het zo duidelijk maken dat een gemiddelde bezoeker het begrijpt voordat het gesprek begint. Een zin als 'Je praat met onze AI-assistent, vraag gerust naar een collega' voldoet.
Wat zijn de boetes?
Voor verboden toepassingen loopt het op tot 35 miljoen euro of 7 procent van de wereldwijde omzet. Voor het schenden van transparantieverplichtingen tot 15 miljoen euro of 3 procent. In de praktijk begint het toezicht bij aanwijzingen en herstelverzoeken.
Mag ik klantgegevens naar een AI-leverancier sturen?
Alleen met een verwerkersovereenkomst en een geldige grondslag onder de AVG. Let op waar de gegevens verwerkt worden en of ze gebruikt worden om modellen te trainen. Zet dat laatste uit.
Mag AI emoties van klanten herkennen?
Emotieherkenning is verboden op de werkvloer en in het onderwijs. Toonherkenning bij klanten om een gesprek eerder naar een mens te sturen, is toegestaan, maar wees terughoudend en documenteer wat je doet.
Wat moet ik vastleggen?
Welk systeem je gebruikt, waarvoor, welke gegevens erin gaan, wie de leverancier is, hoe je transparantie regelt en wie intern verantwoordelijk is. Eén A4 volstaat voor de meeste MKB-bedrijven.
Wie zit hier achter?
Deze site is een initiatief van Triplebird, een Nederlands AI-automatiseringsbureau voor het MKB. Wij bouwen automatiseringen voor vaste prijzen, geen uurtarieven, en hebben inmiddels 40+ bedrijven geautomatiseerd in onder meer de bouw, e-commerce, finance, zorg en zakelijke dienstverlening. Onze klanten houden gemiddeld 14 uur per week over, vanaf week zes. We hebben deze gids geschreven omdat we te vaak zien dat ondernemers een chatbot kopen voordat iemand hun klantvragen heeft geteld.
Benieuwd wat er kan in jouw bedrijf? Plan 20 minuten in.
Geen verkooppraatje. We kijken samen naar je processen en je hoort eerlijk wat er wel en niet kan.
Liever mailen? hello@triplebird.nl