Je chatbot staat live, beantwoordt netjes vragen van bezoekers, en intussen staat er in jouw privacybeleid nog steeds: “Wij verwerken uw gegevens voor het afhandelen van contactaanvragen.” Geen woord over de chatbot. Geen woord over de Amerikaanse server waarop die draait. Geen woord over wat er met die gesprekken gebeurt nadat het venster is gesloten.

Dat is precies de situatie waar de Gegevensbeschermingsautoriteit (GBA) naar kijkt wanneer een klacht binnenkomt. Niet of je tool technisch werkt, maar of je eerlijk bent over wat hij doet met persoonsgegevens. Je privacybeleid aanpassen voor AI-tools is geen formaliteit: het is de brug tussen wat jouw technologie doet en wat jouw gebruikers mogen verwachten.

De symptomen dat je beleid achterloopt op je technologie

Een paar concrete signalen dat er een probleem is. Je chatbot staat live, maar het woord “geautomatiseerde verwerking” of “chatbot” komt nergens voor in je privacybeleid. Je aanbevelingsengine stuurt data door naar een aanbieder gevestigd in de Verenigde Staten, maar onder “derden” staat alleen je boekhouder. En als een gebruiker je vraagt “wat doet u met mijn chatgesprek?”, weet je zelf het antwoord niet zeker.

Dit zijn geen kleine lacunes. Dit zijn gaten waar een GBA-inspecteur doorheen stapt.

Wat er juridisch verandert zodra je AI toevoegt

Een gewone contactformulier-website verwerkt relatief weinig data op een voorspelbare manier. Zodra je een AI-tool of chatbot toevoegt, activeer je drie GDPR-triggers die een update van je privacybeleid vereisen. Dit begint met een goed begrip van welke persoonsgegevens je verwerkt.

  • Nieuw verwerkingsdoel. De AI verwerkt gegevens voor een doel dat verschilt van “uw bericht doorsturen naar onze mailbox”. Dat nieuwe doel moet je benoemen, inclusief de rechtsgrond waarop je je baseert.
  • Geautomatiseerde besluitvorming of profilering. Als de tool gedrag analyseert, aanbevelingen doet of gebruikers in categorieën indeelt, val je mogelijk onder artikel 22 GDPR. Dat vraagt een specifieke vermelding én, in bepaalde gevallen, een opt-out.
  • Doorgifte buiten de EER. Veel AI-aanbieders zijn Amerikaans. Die doorgifte is niet verboden, maar moet transparant zijn en een rechtsgrond hebben, zoals Standard Contractual Clauses (SCC’s).

Eerste gat dichten: het verwerkingsdoel correct omschrijven

“De chatbot beantwoordt vragen” is een functionele beschrijving, geen GDPR-conforme doelomschrijving. Wat je nodig hebt, is een formulering die aangeeft welke gegevens je verwerkt, waarom, en op welke rechtsgrond.

Een voorbeeld dat je kunt aanpassen: “Wanneer u een gesprek voert met onze chatbot, verwerken wij de inhoud van dat gesprek en uw IP-adres om uw vraag te beantwoorden en de werking van de tool te verbeteren. Wij baseren ons hiervoor op ons gerechtvaardigd belang om onze dienstverlening te optimaliseren.”

Let op het verschil tussen toestemming en gerechtvaardigd belang. Voor een chatbot die puur functioneel is (vragen beantwoorden, geen profilering), kan gerechtvaardigd belang volstaan, maar je moet die afweging kunnen verantwoorden. Verzamelt de tool ook data voor marketingdoeleinden of gedragsanalyse, dan heb je in de meeste gevallen toestemming nodig.

Tweede gat dichten: geautomatiseerde besluitvorming en profilering

Artikel 22 GDPR is specifieker dan veel mensen denken. Het geldt alleen wanneer een geautomatiseerde beslissing rechtsgevolgen heeft of de persoon “in aanmerkelijke mate treft”. Een chatbot die je vraag beantwoordt, valt daar normaal niet onder. Een AI die beslist of je een lening krijgt, wel.

Maar profilering, een stap lager, is al relevanter. Als jouw aanbevelingsengine bezoekers indeelt op basis van hun browsegedrag om gepersonaliseerde content te tonen, is dat profilering die je moet vermelden. Zelfs als er geen “beslissing” volgt.

Wat je dan in je privacybeleid zet: een omschrijving van hoe de profilering werkt, welk effect dat heeft voor de gebruiker, en hoe die er bezwaar tegen kan maken. Die opt-out hoeft niet ingewikkeld te zijn, maar hij moet bestaan en werken.

Derde gat dichten: de externe aanbieder transparant maken

Stel: je gebruikt een chatbot gebouwd op een Amerikaans AI-platform. Dan is die aanbieder een derde partij die persoonsgegevens verwerkt. Je privacybeleid moet minimaal het volgende vermelden.

  • De naam van de aanbieder (bijvoorbeeld “OpenAI, LLC” of de naam van de specifieke dienst die je gebruikt).
  • De vestigingsplaats, inclusief het land buiten de EER indien van toepassing.
  • De rol van die aanbieder: is het een verwerker (hij handelt in jouw opdracht) of een medeverwerkingsverantwoordelijke (hij bepaalt mee het doel en de middelen)?
  • De grondslag voor de doorgifte buiten de EER: in de meeste gevallen zijn dat Standard Contractual Clauses, maar controleer dit in de verwerkersovereenkomst van de aanbieder.

Heb je geen verwerkersovereenkomst gesloten met de aanbieder? Dan is dat sowieso een probleem dat je eerst moet oplossen, los van je privacybeleid. Meer hierover verderop.

Vierde gat dichten: bewaartermijnen voor AI-gegenereerde data

Chatgesprekken, inferenties (de conclusies die de AI trekt uit jouw input) en log-data hebben vaak een heel andere levensduur dan je standaard klantdata. Toch vermelden de meeste privacybeleidslijnen één generieke zin zoals “wij bewaren uw gegevens zo lang als nodig voor het doel van de verwerking”.

Dat is te vaag voor AI-data. Formuleer dit concreter, per type: “Chatgesprekken bewaren wij gedurende 30 dagen na het gesprek voor technische opvolging, waarna ze automatisch worden verwijderd. Log-data van de chatbot worden maximaal 90 dagen bewaard voor beveiligingsdoeleinden.”

Weet je de exacte termijnen niet? Vraag ze op bij je AI-aanbieder. Die is verplicht je dat te vertellen als verwerker in jouw opdracht.

Hoe je dit schrijft zonder juridisch jargon

Je privacybeleid aanpassen voor AI-tools betekent niet dat je een juridisch document moet produceren. Het betekent dat een gemiddelde Belgische websitebezoeker begrijpt wat er gebeurt met zijn data.

Een paar vuistregels. Schrijf in de tweede persoon: “wanneer u de chatbot gebruikt” in plaats van “ingeval de betrokkene gebruik maakt van de geautomatiseerde verwerkingsfaciliteit”. Benoem de tool bij naam zodat het herkenbaar is. Vermijd afkortingen als SCC zonder uitleg; schrijf “standaard contractuele clausules (een juridisch instrument dat Europese privacybescherming garandeert bij doorgifte naar landen buiten de EU)”.

Een voorbeeldzin over doorgifte die je kunt hergebruiken: “Uw chatgesprekken worden verwerkt door [naam aanbieder], gevestigd in de Verenigde Staten. Wij hebben met hen standaard contractuele clausules afgesloten die ervoor zorgen dat uw gegevens ook buiten de EU beschermd blijven.”

De GBA-checklist: vijf vragen voor je de AI-tool live zet

Gebruik dit als snelle zelfaudit voordat je publiceert of als je controleert of een bestaand beleid up-to-date is.

  • Staat de chatbot of AI-tool bij naam vermeld in het privacybeleid, inclusief het doel van de verwerking?
  • Heb je de rechtsgrond voor die verwerking correct benoemd (toestemming of gerechtvaardigd belang, met uitleg)?
  • Als de tool profileert of geautomatiseerde beslissingen neemt: staat dat beschreven, inclusief een manier om bezwaar te maken?
  • Is de externe aanbieder met naam en vestigingsplaats vermeld, inclusief de grondslag voor eventuele doorgifte buiten de EER?
  • Zijn de bewaartermijnen voor chatdata en log-data concreet geformuleerd, apart van je algemene klantdata?

Vijf keer “ja” is geen garantie voor volledige GDPR-conformiteit, maar het sluit de meest voorkomende gaten die de GBA aanhaalt bij klachtenonderzoeken over AI-tools.

Wanneer je toch een jurist nodig hebt

Een zelfgeschreven update van je privacybeleid volstaat voor de meeste kleine ondernemers en vzw’s die een standaard chatbot integreren. Maar er zijn drie situaties waarin je echt een specialist moet inschakelen.

Ten eerste: als jouw AI-tool grootschalig gevoelige gegevens verwerkt, zoals gezondheidsdata, financiële informatie of gegevens over kwetsbare groepen. De drempel voor “grootschalig” is lager dan je denkt.

Ten tweede: als de tool volledig geautomatiseerde beslissingen neemt met rechtsgevolgen, zoals een creditcheck, een automatische weigering of een score die iemands toegang tot een dienst bepaalt. Artikel 22 GDPR is hier streng en de vereisten gaan verder dan een beleidszin.

Ten derde: als de AI-aanbieder geen verwerkersovereenkomst aanbiedt of weigert. Dan kun je die tool juridisch niet verantwoord inzetten, ongeacht hoe goed je privacybeleid is geschreven. Een jurist kan helpen alternatieven te zoeken of de aanbieder te challengen.

Je AI-tool of chatbot live zetten is de makkelijke stap. Je privacybeleid aanpassen zodat het eerlijk weergeeft wat die tool doet, is de stap die veel ondernemers overslaan, en dat is precies waar de GBA op let bij een klacht of een controle.

De vier gaten die je moet dichten zijn telkens concreet: het verwerkingsdoel, de eventuele profilering, de externe aanbieder en de bewaartermijnen. Je hoeft geen jurist te zijn om die te beschrijven, maar je moet er wel bewust mee bezig zijn. Gebruik de vijf vragen hierboven als startpunt en werk ze systematisch af. Heb je een Belgische website en wil je snel een conforme basis hebben, dan helpt de generator op deze site je om de structuur meteen goed te zetten.