Vraag een aanbieder van een AI-telefonist waar je gespreksdata staat, en je krijgt één zin terug. Meestal een geruststellende. Dat is bijna nooit het antwoord, want een telefoongesprek gaat door minstens vijf handen voordat het een regel in jouw systeem is — en die handen zijn van verschillende partijen, in verschillende landen, onder verschillende contracten.
Eén zin kan dat niet dekken. Vraag daarom niet naar de zin, maar naar de keten. Laag voor laag.
Vijf lagen, vijf andere partijen
Elke AI-telefonist, van wie dan ook, bestaat uit deze onderdelen:
- De telefonie. Je nummer staat bij een carrier. Die legt vast wie wanneer belde en hoe lang — ook als er verder niets wordt opgeslagen.
- Spraak naar tekst. De audio van je beller wordt getranscribeerd.
- Het taalmodel. Dat bepaalt wat de assistent zegt en wat hij uitvraagt.
- Tekst naar spraak. De stem die je beller hoort.
- De opslag en de koppelingen. Transcript, eventuele opname, afspraak, terugbelverzoek — plus wat er doorgaat naar je agenda, CRM of mailbox.
Laag 2, 3 en 4 zitten vaak bij één leverancier. Dat maakt het nog niet één antwoord: het betekent dat één partij de inhoud van al je gesprekken ziet.
Vijf vragen per laag
Zet de lagen in een kolom en stel bij elke laag dezelfde vijf vragen:
- Welke partij is dit, met naam? "Ons platform" is geen partij. Je wilt een bedrijfsnaam, want die naam moet straks in je eigen register van verwerkingsactiviteiten staan.
- Waar vindt de verwerking plaats, en staat dat in een contract? Let op het verschil tussen opslag en verwerking. Dat gegevens opgeslagen worden binnen de Europese Economische Ruimte zegt niets over waar ze verwerkt zijn: routering gaat bij veel diensten op basis van latency of beschikbaarheid, en bij uitval kan het ergens anders terechtkomen.
- Wat wordt bewaard, hoe lang, en wie kan erbij? Vraag naar een termijn in dagen, niet naar "niet langer dan nodig". En vraag wie bij de aanbieder zelf de transcripten kan openen.
- Wordt mijn data gebruikt om een model te trainen of te verbeteren? Dit moet expliciet uitgesloten zijn, ook voor "kwaliteitsdoeleinden".
- Wat als jullie van leverancier wisselen? Vraag of je dat vooraf hoort en hoeveel dagen vooraf. Een keten zonder aankondigingstermijn kan onder je voeten veranderen.
Stel de regiovraag vooral níet als "kan dat?", want het antwoord is dan altijd ja. Bij leveranciers in deze keten bestaat een vaste verwerkingsregio soms alleen in het duurste contract, met een apart account en aparte sleutels. De bruikbare vraag is: in welk contract staat het, en welk contract heb ik?
De verwerkersovereenkomst is geen formaliteit
Zodra een partij in jouw opdracht persoonsgegevens verwerkt, is een verwerkersovereenkomst verplicht (artikel 28 AVG). Jij bent verwerkingsverantwoordelijke; de aanbieder is verwerker; alles wat de aanbieder zelf inhuurt, is sub-verwerker. Voor die sub-verwerkers geldt dat je ze moet kennen en dat je bezwaar moet kunnen maken tegen een nieuwe. Gaat er data naar buiten de EER, dan heb je bovendien een geldige grondslag voor die doorgifte nodig.
Praktisch zijn dat drie documenten die er moeten liggen vóór de lijn opengaat: de verwerkersovereenkomst, de lijst sub-verwerkers met locatie, en de bewaartermijnen. Krijg je die alle drie niet, dan is dat je antwoord. De beginselen eromheen — doelbinding, minimale verwerking, opslagbeperking — staan in data in eigen beheer.
En vergeet de meldplicht niet: sinds 2 augustus 2026 moet een beller aan het begin van het gesprek horen dat hij met AI spreekt. Dat is artikel 50 van de AI-verordening, en het staat los van de AVG — beide gelden tegelijk.
De test die alles blootlegt
Papier is geduldig. Er is één verzoek dat in één keer laat zien of een aanbieder zijn eigen keten kent:
"Hier is een telefoonnummer. Verwijder alles wat jullie daarover hebben vastgelegd — opname, transcript, afspraak, notitie — inclusief wat in de back-up staat, en laat me zien dat het weg is."
Dat is niets bijzonders: het is het recht op wissen uit artikel 17 AVG, dat jouw beller bij jóu kan opeisen. Je moet het dus kunnen. Een aanbieder bij wie dit een verzoek per e-mail en twee weken wachten wordt, heeft geen grip op zijn keten — en dan kan hij de andere antwoorden ook niet onderbouwen.
Hoe een eerlijk antwoord klinkt
Een eerlijk antwoord is zelden een mooi antwoord. Het klinkt ongeveer zo:
"De spraaklaag loopt bij een leverancier die standaard buiten de EER verwerkt. Een vaste verwerkingsregio zit bij hen alleen in het zwaarste contract, dus dat beloven we niet. Wat we wél doen: wat de assistent vastlegt staat binnen een minuut op infrastructuur in eigen beheer, en daar geldt onze bewaartermijn. Daar is de verwerkersovereenkomst op geschreven."
Dat is precies de positie die ik zelf inneem. Voor de spraaklaag beloof ik geen vaste verwerkingsregio — dat zou ik niet kunnen nakomen. Wat ik wel vastleg: gespreksdata blijft in eigen beheer op eigen infrastructuur, er wordt niets van jouw gesprekken gebruikt om een model te trainen, er wordt niet aan voice-cloning gedaan, de AI-melding zit standaard in de begroeting, en het wissen per telefoonnummer is één handeling en geen project.
Een aanbieder die op elke laag "in de cloud, helemaal veilig" antwoordt, belooft meer dan hij kan nakomen. Dat is geen detail: het is jouw naam die eraan hangt als je klant vraagt waar zijn gegevens zijn gebleven.
Checklist voor het gesprek
- Welke partijen zitten er in de keten, met naam en per laag?
- Waar wordt verwerkt, en staat die regio contractueel vast?
- Hoeveel dagen worden transcripten en opnames bewaard?
- Wie bij de aanbieder kan gesprekken inzien of terugluisteren?
- Is training op mijn data expliciet uitgesloten, ook voor kwaliteit?
- Hoor ik het vooraf als er een sub-verwerker verandert?
- Ligt er een verwerkersovereenkomst vóór de start?
- Wordt de AI-melding standaard gedaan en kan hij niet uit?
- Kan alles bij één telefoonnummer in één handeling worden gewist?
Wil je zien hoe dit in de praktijk is ingericht, kijk dan bij de AI-receptionist of bij AI & automatisering. Voor de bredere vergelijking tussen aanbieders: AI-telefoniste vergelijken.
Let op
Dit artikel legt uit welke vragen je moet stellen; het is geen juridisch advies. Voor de concrete uitwerking van de AVG en de AI-verordening in jouw situatie — zeker bij gezondheidsgegevens of beroepsgeheim — schakel je een jurist in die daarin gespecialiseerd is.