Op mijn eigen zakelijke nummer neemt sinds augustus 2026 een AI-assistent op. Lees een transcript van zo'n gesprek terug en je ziet meteen wat er binnenkomt: namen, telefoonnummers en de reden waarom iemand belde. Allemaal persoonsgegevens, en voor elk daarvan moet vaststaan waar het staat, hoe lang het blijft en op welke grond. Bij veel pilots is de techniek eerder klaar dan die papieren: de demo overtuigt, dan vraagt iemand van compliance wat er met de opnames gebeurt, en niemand weet het precies.
Hieronder staat wat je regelt, met per punt waar het in de AVG staat. Hoe je een leverancier kiest staat in de keuzegids, waar de data fysiek staat in Data in eigen beheer.
Wie is waarvoor verantwoordelijk
Jouw bedrijf bepaalt waarom de telefoon wordt opgenomen en wat er met de gesprekken gebeurt, en is daarmee verwerkingsverantwoordelijke. De leverancier van de AI-telefoniste werkt in jouw opdracht en is verwerker. Die gebruikt bijna altijd een spraakleverancier en een modelleverancier: subverwerkers, die hij volgens artikel 28 lid 2 alleen met jouw schriftelijke toestemming mag inschakelen. Lid 4 legt hun dezelfde plichten op als de verwerker. Vraag dus ook wie het gesprek nog meer hoort.
De grondslag (artikel 6)
Elke verwerking heeft een grond uit artikel 6 lid 1 nodig. Toestemming is er één van, maar voor een telefoonlijn meestal niet de handigste, omdat een beller hem op elk moment kan intrekken. De twee die vaker passen zijn de uitvoering van een overeenkomst (iemand belt over een afspraak of een lopende dienst, onder b) en het gerechtvaardigd belang (onder f). Bij die laatste weeg je je belang af tegen dat van de beller en leg je de afweging vast.
Opnemen en bewaren is een ander doel dan het gesprek afhandelen. Wil je opnames houden voor kwaliteitscontrole, dan heeft dat een eigen grond en een eigen termijn.
Bellers informeren (artikel 13)
Je verzamelt de gegevens bij de beller zelf, dus je informeert hem "bij de verkrijging van de persoonsgegevens". Dat is het begin van het gesprek. Een regel op je website is te laat. Wat je vertelt staat in lid 1 en 2: wie je bent, waarvoor en op welke grond, wie de gegevens ontvangen, hoe lang je ze bewaart en welke rechten de beller heeft.
Dat zeg je niet allemaal in de begroeting. Artikel 12 vraagt om een "beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm": een korte melding dat het gesprek wordt opgenomen en waarvoor, plus een privacypagina met de rest. In dezelfde zin hoort sinds 2 augustus 2026 dat de beller met een AI praat; die plicht komt uit artikel 50 van de AI Act, niet uit de AVG.
De verwerkersovereenkomst (artikel 28)
Lid 3 schrijft voor wat erin staat: onderwerp en duur, aard en doel, soort gegevens en categorieën betrokkenen, en wat de verwerker wel en niet mag. De verwerker verwerkt alleen op jouw schriftelijke instructies (onder a); daar leg je vast dat je gesprekken niet gebruikt worden om een model te trainen. Na afloop wist hij alle gegevens of geeft ze terug, inclusief kopieën (onder g). Hij helpt je bij verzoeken van bellers (onder e) en geeft je de informatie om dat alles aan te tonen (onder h). De lijst van subverwerkers hoort als bijlage bij de overeenkomst, met de afspraak dat wijzigingen vooraf gemeld worden (lid 2). Beoordelen doet een jurist; dit artikel vertelt alleen wat erin hoort.
Bewaartermijn (artikel 5 lid 1 onder e)
Persoonsgegevens blijven in herleidbare vorm "niet langer" bewaard "dan voor de doeleinden waarvoor de persoonsgegevens worden verwerkt noodzakelijk is". Een AI-telefoniste maakt drie dingen aan: de opname, het transcript en een notitie voor jullie agenda of mailbox. De notitie blijft tot de afspraak is afgehandeld, het transcript helpt een misverstand terug te zoeken, en de opname weegt het zwaarst (een stem is herleidbaar) en heeft het kortst een doel. Kies per categorie een termijn en laat het wissen automatisch gebeuren. Een termijn die iemand handmatig moet uitvoeren, wordt niet uitgevoerd.
Wat bellers spontaan vertellen (artikel 9)
Artikel 9 lid 1 verbiedt het verwerken van gegevens over onder meer gezondheid, geloof, politieke opvattingen en seksuele gerichtheid, tenzij een uitzondering uit lid 2 geldt. Een beller zegt dat hij de afspraak moet verzetten omdat hij in het ziekenhuis ligt, en dat staat dan in je transcript.
Je kunt niet voorkomen dat het gezegd wordt, wel wat je ermee doet. Laat de assistent er niet op doorvragen en bewaar niet meer dan het doel vraagt: voor de agenda is "verzetten naar donderdag" genoeg, de reden hoeft de notitie niet in. Hoort het bij je werk dat bellers gezondheidsgegevens doorgeven, dan heb je een uitzondering uit lid 2 nodig, en dat is een vraag voor je jurist vóór de lijn opengaat.
Het verwerkingsregister (artikel 30)
Organisaties met minder dan 250 medewerkers zijn volgens lid 5 vrijgesteld, maar die vrijstelling vervalt als de verwerking "niet incidenteel is" of bijzondere gegevens kan bevatten. Een telefoonlijn die elke werkdag opneemt is niet incidenteel. Reken dus op een register en zet de AI-telefoniste erin als eigen verwerking, met wat lid 1 vraagt: doel, categorieën betrokkenen en gegevens, ontvangers inclusief subverwerkers, doorgifte buiten de EU, bewaartermijnen en beveiliging.
Rechten van bellers (artikel 12, 15, 17 en 21)
Een beller mag vragen welke gegevens je van hem hebt (artikel 15), ze laten wissen (artikel 17) en bezwaar maken als je op gerechtvaardigd belang werkt (artikel 21). Artikel 12 lid 3 geeft je een maand. Dat lukt alleen als je opname en transcript op telefoonnummer kunt terugvinden en verwijderen, ook bij de verwerker en zijn subverwerkers. Bij mijn eigen lijn is dat één opdracht die opname, transcript en alle notities met dat nummer wist.
Als een beller geen AI wil
Een apart recht op een mens aan de telefoon staat niet in de AVG. Wel het recht van bezwaar uit artikel 21 bij gerechtvaardigd belang. Geef de assistent een uitweg die hij meteen aanbiedt: doorverbinden naar een medewerker, of een terugbelverzoek met alleen naam en nummer. Wat de melding aan het begin belooft, moet de assistent ook kunnen.
Checklist
- Grondslag per doel vastgelegd: gesprek afhandelen, opname bewaren.
- Melding aan het begin van het gesprek: opname, doel, AI, verwijzing naar de privacypagina.
- Privacypagina met de volledige informatie uit artikel 13.
- Verwerkersovereenkomst met lijst van subverwerkers en uitsluiting van training, beoordeeld door een jurist.
- Bewaartermijn per categorie (opname, transcript, notitie), automatisch gewist.
- Afspraak over bijzondere gegevens die bellers spontaan noemen.
- AI-telefoniste als verwerking in het register.
- Inzage- en wisverzoek getest met een echt nummer.
Hoe ik het aanpak
Bij een AI-telefoniste die ik inricht, liggen grondslag, bewaartermijnen en subverwerkers vast voordat de lijn opengaat, en test ik het wisverzoek vóór de oplevering. Loopt bij jullie een pilot die hierop vastzit, leg me de vragen dan voor via de contactpagina.
Veelgestelde vragen
Mag een AI-telefoniste gesprekken opnemen?
Ja, met een grondslag uit artikel 6 AVG, een melding aan het begin van het gesprek (artikel 13) en een bewaartermijn die niet langer is dan het doel vraagt (artikel 5 lid 1 onder e). Sinds 2 augustus 2026 moet de beller ook horen dat hij met een AI praat (artikel 50 AI Act).
Moet ik bellers toestemming vragen voor een AI-telefoniste?
Niet per se. Toestemming is één van de zes grondslagen in artikel 6 lid 1 AVG. Voor een telefoonlijn past de uitvoering van een overeenkomst of het gerechtvaardigd belang vaak beter, omdat toestemming op elk moment ingetrokken kan worden. Bij gerechtvaardigd belang heeft de beller het recht van bezwaar (artikel 21); bied dan een route naar een medewerker.
Heb ik een verwerkersovereenkomst nodig voor een AI-telefoniste?
Ja. De leverancier verwerkt persoonsgegevens in jouw opdracht en is verwerker; artikel 28 lid 3 AVG schrijft voor dat die verwerking in een overeenkomst wordt geregeld. Daarin horen ook de subverwerkers (spraak- en modelleverancier) en de afspraak dat je gesprekken niet voor training worden gebruikt.
Bronnen
- Verordening (EU) 2016/679 (AVG), Nederlandse tekst, geraadpleegd op 30 oktober 2026: artikel 5, 6, 9, 12, 13, 15, 17, 21, 28 en 30. eur-lex.europa.eu/eli/reg/2016/679/oj
- Verordening (EU) 2024/1689 (AI Act), artikel 50: zie AI Act artikel 50.
Let op
Dit artikel legt uit wat je regelt en waar het in de AVG staat. Het is geen juridisch advies: laat de verwerkersovereenkomst, de grondslag en de omgang met bijzondere gegevens beoordelen door een jurist die gespecialiseerd is in privacy- en AI-wetgeving.