GDPR en AI-chatbots

Zelfs een eenvoudige ondersteuningschatbot verzamelt persoonlijke gegevens: identificatoren zoals een e-mailadres of telefoonnummer, bestel- en leveringsdetails, de inhoud van berichten en technische gegevens zoals een IP-adres. Omdat gebruikers vrij kunnen typen, kunnen ze ook informatie delen die het bedrijf nooit heeft gevraagd, inclusief gevoelige gegevens zoals gezondheidsinformatie. De Franse autoriteit voor gegevensbescherming, de CNIL, raadt aan om gebruikers voor het gesprek te waarschuwen niet gevoelige gegevens te delen, tenzij dat nodig is.

Deze pagina geeft algemene informatie over de AVG (Verordening (EU) 2016/679). Het is geen juridisch advies; voor jouw eigen situatie, raadpleeg je gegevensbeschermingsfunctionaris of een advocaat.

Het bedrijf dat beslist waarom en hoe de chatbot wordt gebruikt, is over het algemeen de verwerkingsverantwoordelijke. Het heeft een juridische basis nodig voor elk doel — bijvoorbeeld het uitvoeren van een contract bij het beantwoorden van een vraag over een bestelling van een klant. Het moet gebruikers informeren (artikelen 13 en 14): wie de verwerkingsverantwoordelijke is, doeleinden, juridische basis, ontvangers, bewaartermijn en rechten. Het moet alleen verzamelen wat het doel vereist, bewaartermijnen instellen en mensen in staat stellen hun rechten op toegang, rectificatie en verwijdering uit te oefenen.

De chatbotprovider fungeert meestal als verwerker en moet gebonden zijn aan een contract dat voldoet aan artikel 28. Als persoonlijke gegevens naar een land buiten de EU worden verzonden — bijvoorbeeld naar een modelprovider in de Verenigde Staten — zijn de overdrachtsregels van Hoofdstuk V van toepassing.

Controleer of gespreksgegevens worden gebruikt om modellen te trainen of te verbeteren, door wie, en of dat kan worden uitgeschakeld. Weet waar het taalmodel draait, aangezien prompts persoonlijke gegevens bevatten. Wees voorzichtig met beslissingen die juridische of vergelijkbaar significante effecten hebben — bijvoorbeeld het weigeren van een terugbetaling — die uitsluitend door geautomatiseerde middelen worden genomen, wat artikel 22 beperkt. Voor grotere implementaties kan een gegevensbeschermingseffectbeoordeling vereist zijn.

De mening 28/2024 van de Europese Toezichthoudende Autoriteit voegt toe dat AI-modellen die zijn getraind op persoonlijke gegevens niet automatisch anoniem zijn, wat belangrijk is bij het kiezen van modelproviders. De EU AI-wet vereist afzonderlijk dat mensen worden geïnformeerd dat ze met een AI praten.

AI SmartTalk is een Frans bedrijf en host het platform in Frankrijk. Assistenten gebruiken standaard AI-modellen die in de Europese Unie worden gehost; een beheerder kan een niet-EU-model zoals OpenAI of Anthropic kiezen, en de applicatie vraagt elke keer om expliciete toestemming wanneer er een wordt geselecteerd. Gespreksgegevens worden bewaard totdat de assistent of het account wordt verwijderd, met permanente verwijdering 30 dagen na een verzoek om accountverwijdering, zoals beschreven in het privacybeleid. Bedrijven blijven verantwoordelijk voor het informeren van hun eigen bezoekers.