Een AI-telefoonassistent verwerkt persoonsgegevens: telefoonnummers, namen, adressen, soms gezondheidsinformatie, en een opname van de stem van de beller. Dat mag, maar alleen als het goed geregeld is. Een assistent is nooit vanzelf "AVG-proof": het hangt af van de leverancier én van hoe u hem inzet. In dit artikel leest u wat de AVG en de Europese AI-verordening vragen, wie waarvoor verantwoordelijk is en waar u op let bij het kiezen en inrichten.

Welke gegevens verwerkt een AI-telefoonassistent?

Bij een gemiddeld gesprek gaat het om:

  • het telefoonnummer van de beller;
  • de opname van het gesprek;
  • de transcriptie en een samenvatting;
  • de gegevens die de beller zelf noemt: naam, adres, e-mail, kenteken, de vraag of klacht;
  • afgeleide gegevens, zoals een afspraak of terugbelverzoek in uw systeem.

Al deze gegevens zijn persoonsgegevens. Noemt een beller iets over zijn gezondheid, bijvoorbeeld bij een tandarts of fysiotherapeut, dan gaat het om bijzondere persoonsgegevens. Daarvoor gelden strengere regels.

Wie is verantwoordelijk?

De AVG onderscheidt twee rollen:

  • U bent de verwerkingsverantwoordelijke. U bepaalt waarom en hoe gesprekken worden aangenomen en wat er met de gegevens gebeurt. De beller is uw klant.
  • De leverancier van de assistent is verwerker. Die verwerkt de gegevens in uw opdracht, volgens uw instructies.

Tussen u en de verwerker hoort een verwerkersovereenkomst. Daarin staat onder meer welke gegevens worden verwerkt, hoe ze beveiligd zijn, welke subverwerkers worden ingeschakeld en wat er gebeurt bij een datalek. Bij Belloket sluiten we die overeenkomst met elke klant. MediaJet is voor de gesprekken die de assistent namens u voert verwerker; u bent verantwoordelijke.

Op welke grondslag mag u gesprekken aannemen en opnemen?

Voor het aannemen en afhandelen van een gesprek is de grondslag meestal duidelijk: de beller wil iets van u, zoals een afspraak of een antwoord. Dat valt onder het uitvoeren van een (toekomstige) overeenkomst of uw gerechtvaardigd belang.

Voor het opnemen van gesprekken ligt het iets genuanceerder. U moet bellers vooraf informeren dat het gesprek wordt opgenomen en waarom, bijvoorbeeld voor kwaliteitscontrole of om het verslag te kunnen controleren. Dat doet u in het welkomstbericht en in uw privacyverklaring. Bewaar opnames niet langer dan nodig.

Wat vraagt de AI-verordening sinds 2 augustus 2026?

Naast de AVG geldt de Europese AI-verordening (AI Act). Artikel 50 is sinds 2 augustus 2026 van toepassing. Het verplicht dat mensen die rechtstreeks met een AI-systeem communiceren, daarvan op de hoogte worden gebracht, uiterlijk bij het begin van het gesprek, tenzij dat al overduidelijk is. Bij een telefoongesprek met een natuurlijke stem is het niet overduidelijk. Een AI-telefoonassistent moet zich dus bekendmaken.

Bij Belloket stelt de assistent zich daarom altijd aan het begin voor als digitale assistent. Een AI-telefoonassistent voor het aannemen van klantgesprekken valt normaal gesproken niet onder de categorie hoog risico van de AI-verordening. Gebruikt u AI voor bijvoorbeeld medische triage, laat dat dan apart beoordelen.

Waar worden de gegevens verwerkt?

Een AI-telefoonassistent werkt met meerdere technische partijen: telefonie, spraakherkenning, een taalmodel, spraaksynthese en hosting. Vraag uw leverancier welke subverwerkers dat zijn en in welke landen ze de gegevens verwerken. Gebeurt dat buiten de Europese Economische Ruimte, dan moet daar een geldige basis voor zijn, zoals een adequaatheidsbesluit (bijvoorbeeld het EU-VS Data Privacy Framework) of standaardcontractbepalingen.

Bij Belloket staan de subverwerkers in de verwerkersovereenkomst en de privacyverklaring. Waar gegevens buiten de EER worden verwerkt, gebeurt dat op basis van een adequaatheidsbesluit of standaardcontractbepalingen.

Bewaartermijnen

De AVG zegt: niet langer bewaren dan nodig. Voor opnames en transcripties is er geen vaste wettelijke termijn; u bepaalt een termijn die past bij het doel. Kies bewust: een opname van een afspraakverzoek heeft na een paar maanden weinig waarde meer.

Bij Belloket bepaalt u zelf de bewaartermijn. Standaard is dat 12 maanden; korter kan altijd.

Extra aandacht in de zorg

Tandartsen, fysiotherapeuten en andere zorgverleners verwerken via de telefoon al snel gezondheidsgegevens. Let dan op:

  • laat de assistent alleen vragen wat nodig is voor de afspraak of het terugbelverzoek, en geen medische details;
  • kies een korte bewaartermijn;
  • beperk wie in het team de gesprekken kan inzien;
  • beoordeel of een DPIA (gegevensbeschermingseffectbeoordeling) nodig is. Bij grootschalige verwerking van gezondheidsgegevens is die verplicht.

Rechten van bellers

Bellers hebben recht op inzage, correctie en verwijdering van hun gegevens. Vraagt een beller daarom, dan moet u dat binnen een maand kunnen afhandelen. Met een portaal waarin u gesprekken per contact terugvindt, is dat eenvoudig. Komt een verzoek bij Belloket binnen, dan sturen wij het door naar u.

Checklist: is uw AI-telefoonassistent AVG-proof?

  • [ ] Er is een verwerkersovereenkomst met de leverancier.
  • [ ] U weet welke subverwerkers er zijn en waar ze de gegevens verwerken.
  • [ ] De assistent maakt aan het begin bekend dat hij een AI-assistent is.
  • [ ] Bellers horen dat het gesprek wordt opgenomen, en waarom.
  • [ ] Uw privacyverklaring noemt de AI-telefoonassistent.
  • [ ] U heeft een passende bewaartermijn ingesteld.
  • [ ] Alleen teamleden die het nodig hebben, zien gesprekken (rollen en rechten).
  • [ ] Het portaal is beveiligd met tweestapsverificatie.
  • [ ] De assistent vraagt niet meer gegevens dan nodig.
  • [ ] In de zorg: u heeft beoordeeld of een DPIA nodig is.

Hoe Belloket dit regelt

  • Verwerkersovereenkomst met elke klant.
  • De assistent stelt zich altijd voor als digitale assistent.
  • Bewaartermijn instelbaar, standaard 12 maanden.
  • Rollen en rechten per teamlid.
  • Tweestapsverificatie, versleutelde verbindingen (TLS) en versleutelde opslag van wachtwoorden en sleutels.
  • Geen tracking- of advertentiecookies op onze website.

Lees ook onze privacyverklaring en de verwerkersovereenkomst.

Veelgestelde vragen

Mag een AI de telefoon opnemen voor mijn bedrijf?
Ja. Er is geen verbod op AI-telefonie. U moet wel de AVG volgen en, sinds 2 augustus 2026, bellers vertellen dat ze met een AI-systeem spreken.
Moet ik bellers vertellen dat het gesprek wordt opgenomen?
Ja. Informeer bellers vooraf, bijvoorbeeld in het welkomstbericht, en leg het uit in uw privacyverklaring.
Herkent de assistent bellers aan hun stem?
Nee. Belloket herkent terugkerende bellers aan hun telefoonnummer, niet aan hun stem. Er vindt geen biometrische identificatie plaats.
Hoe lang mogen opnames bewaard worden?
Er is geen vaste wettelijke termijn. Bewaar ze niet langer dan nodig voor het doel. Bij Belloket stelt u de termijn zelf in; standaard is 12 maanden.
Wie is aansprakelijk bij een datalek?
U als verwerkingsverantwoordelijke moet een datalek zo nodig melden bij de Autoriteit Persoonsgegevens. De verwerker moet u daar snel over informeren en helpen. De afspraken daarover staan in de verwerkersovereenkomst.

Bronnen (geraadpleegd 31 oktober 2026): AI-verordening art. 50 (artificialintelligenceact.eu/nl/article/50; digital-strategy.ec.europa.eu, FAQ transparantieverplichtingen); Autoriteit Persoonsgegevens, "Transparantie-eisen voor AI". Dit artikel is geen juridisch advies.