Chatbot in de klantenservice: wat AI Act en AVG eisen

Sinds 2 augustus 2026 moet een chatbot in de klantenservice elke klant bij het begin van de chat melden dat hij een AI-systeem is. De Digital Omnibus gaf die plicht geen uitstel. De AVG voegt een bewaartermijn voor chatgesprekken, een privacyverklaring en een verwerkersovereenkomst toe. Goed ontworpen is het zichtbare deel de eerste regel van het chatvenster.

Dit artikel is voor de IT-manager, CIO, informatiemanager of manager klantenservice van een organisatie met 250 tot 5.000 fte in Nederland of Vlaanderen met een chatbot naast een bestaand ticketsysteem en een ICT-partner. Crux Digits bouwt het AI-deel en de onderbouwing; uw ICT-partner blijft beheren wat hij beheert.

Wat moet een klantenservice-chatbot klanten vertellen onder artikel 50?

Dat zij met AI communiceren, duidelijk gemeld uiterlijk bij de eerste interactie, op grond van artikel 50, leden 1 en 5, van de AI-verordening.

De richtsnoeren van de Europese Commissie over artikel 50, waarvan de Commissie de inhoud op 20 juli 2026 goedkeurde (C(2026) 5054), noemen chatbots in klantenservice, klachtenafhandeling en e-commerce uitdrukkelijk. Regelgebaseerde snelantwoorden en afwezigheidsmeldingen zijn in deze zin geen AI-systeem.

De datum is niet verschoven. Artikel 113, zoals gewijzigd door de Digital Omnibus, Verordening (EU) 2026/1744, houdt de algemene toepassingsdatum op 2 augustus 2026, zoals de FAQ van de Commissie over artikel 50 bevestigt. De overgangstermijn tot 2 december 2026 geldt alleen voor machineleesbare markering onder artikel 50, lid 2, bij generatieve systemen die al op de markt waren. De richtsnoeren zijn expliciet: een deels interactief, deels generatief systeem mag die termijn alleen voor de markering gebruiken, en de melding geldt sinds 2 augustus 2026. Ons overzicht van de Digital Omnibus behandelt de data die wel zijn verschoven, en het artikel over AI-labels de markering.

De toezichthouders benoemen de winst zelf. In hun gezamenlijke oproep van oktober 2025 noemen de Autoriteit Persoonsgegevens (AP) en de Autoriteit Consument & Markt (ACM) sneller antwoord, op elk moment van de dag, een echt voordeel voor klanten. Ze vragen er twee dingen voor terug: zeg dat het een machine is, en houd een medewerker bereikbaar.

Wie is verantwoordelijk voor de melding: de leverancier of u?

De aanbieder draagt artikel 50, lid 1, en wie een chatbot laat bouwen en onder eigen naam in gebruik neemt, is zelf aanbieder.

De richtsnoeren geven dit voorbeeld: een organisatie die een chatbot zelf ontwikkelt en onder eigen naam in gebruik neemt, is aanbieder. De definitie in artikel 3, punt 3, omvat ook systemen die u laat ontwikkelen, dus een bot die een partner voor u bouwt, telt mee. Past u een bestaand systeem aan met nieuwe trainingsdata en gebruikt u het onder uw naam, dan bent u aanbieder van het nieuwe systeem.

Neemt u een SaaS-chatbot af en configureert u die, dan is de leverancier doorgaans de aanbieder. De ontwerpkeuzes liggen nog steeds bij u: begroeting, personanaam, avatar en overdrachtsbericht, precies waar een conform product een misleidende inzet kan worden. Neem de melding op in uw configuratiecontrole.

Boetes voor overtreding van artikel 50 lopen op grond van artikel 99, lid 4, op tot 15 miljoen euro of 3% van de wereldwijde jaaromzet, het hoogste bedrag geldt. De Omnibus voegde lid 6 bis toe: voor kleine midcaps volgens Aanbeveling (EU) 2025/1099 geldt het laagste. De AP noemt zichzelf de beoogde toezichthouder op de AI-verordening; het concept van de Uitvoeringswet ging op 20 april 2026 in consultatie.

Hoe ziet een AI-melding in de chat eruit die werkt?

Een eenvoudig eerste bericht plus een vast label bij het invoerveld: de combinatie die de richtsnoeren van de Commissie voor tekstchat aanbevelen.

De richtsnoeren noemen technieken die werken: labels in gewone taal, zoals "U communiceert met een AI-systeem", een begroeting in het eerste bericht en vaste badges bij het invoerveld. Ze noemen ook wat op zichzelf tekortschiet: een melding die alleen in de algemene voorwaarden staat, een machineleesbare markering die niemand ziet, een vage verwijzing naar een "assistent", een algemene zin als "Diensten op deze website gebruiken AI" en een technische zin als "dit systeem gebruikt LLM's". Menselijke voorstellingen die kunnen misleiden staan op dezelfde lijst.

De AP en de ACM voegden daar zelf een detail aan toe: "typende" puntjes voor een antwoord wekken de indruk dat er een mens typt. In hun voorbeeld gaat een klant van een menselijk klinkende bot genaamd Alex naar een tweede bot, Anna, voordat hij een medewerker spreekt. Beide zijn ontwerpkeuzes, eenvoudig terug te draaien.

Een voorbeeld van een eerste bericht dat de voorbeelden uit de richtsnoeren volgt, aan te passen aan uw eigen toon: "U chat met een AI-systeem, niet met een medewerker. Het antwoordt op basis van onze helppagina's en kan fouten maken. Typ op elk moment 'medewerker' om ons team te bereiken. Zo gaan wij met dit gesprek om: privacyverklaring." Eén regel tekst en één link. Hij neemt twee knelpunten uit het consumentenonderzoek van de ACM weg, niet weten of het een bot is en geen mens bereiken, en bevat meteen de AVG-verwijzing.

Bij spraak vragen de richtsnoeren om een gesproken melding aan het begin en herhaling in langere gesprekken. De ACM en de AP verwachtten hun eigen chatbotleidraad in het najaar van 2026 vast te stellen; op 28 oktober 2026 vonden wij nog geen gepubliceerde versie.

Wanneer is één melding aan het begin van de chat niet genoeg?

In risicovollere situaties verwachten de richtsnoeren herinneringen, en de bot zegt altijd eerlijk wat hij is als een klant ernaar vraagt.

Eén duidelijke melding volstaat volgens de richtsnoeren in de meeste gevallen. De uitzonderingen: kwetsbare gebruikers, emotioneel gevoelige gesprekken en situaties met meer risico op misleiding, met name financieel advies, verzekeringen, juridische bijstand, gezondheidsadvies en klachtenafhandeling. De schadechat van een verzekeraar valt daaronder. Herhaal daar het label bij een nieuw onderwerp en na elke overdracht.

Drie situaties bepalen de meeste implementaties.

Hybride antwoorden. Laten medewerkers AI een concept schrijven dat zij zelf controleren en versturen, dan is dat volgens de richtsnoeren indirecte interactie en valt het buiten artikel 50, lid 1. Bereikt AI-tekst de klant rechtstreeks binnen een gesprek dat een medewerker leidt, dan moeten juist die berichten gemarkeerd zijn. Toon bij elk bericht de werkelijke afzender, in het chatvenster en in het ticket.

Interne servicedesks. Een interne assistent voor getrainde, AI-geletterde medewerkers kan onder de uitzondering voor evidente interactie vallen; het voorbeeld in de richtsnoeren noemt IT-support uitdrukkelijk. De uitzondering wordt strikt uitgelegd, dus leg vast waarom uw doelgroep eraan voldoet. Een servicedesk-bot voor alle medewerkers, ook collega's met weinig digitale vaardigheden, voldoet daar mogelijk niet aan.

Emotieanalyse. Artikel 50, lid 3, legt de gebruiksverantwoordelijke een aparte plicht op bij emotieherkenning, die de AI-verordening definieert als het afleiden van emoties op basis van biometrische gegevens. Sentimentscores op getypte berichten vallen buiten die definitie. Stemanalyse van een beller valt erbinnen en is bovendien hoog-risico; voor uw eigen medewerkers op het werk wijzen de richtsnoeren op het verbod in artikel 5, lid 1, onder f.

Hoe lang mag u chatgesprekken bewaren?

Zolang een vastgelegd doel ze nodig heeft: de AVG kent geen vaste termijn, dus u kiest er zelf een en legt vast waarom.

De pagina van de AP over bewaren zegt dat organisaties zelf hun termijnen bepalen, de onderbouwing moeten vastleggen zodat zij zich tegenover de AP kunnen verantwoorden, en de termijnen in de privacyverklaring moeten vermelden. Wettelijke plichten, zoals de belastingwetgeving, of een lopende juridische procedure kunnen langer bewaren van bepaalde gegevens vereisen.

Een chatbot voegt één complicatie toe: na een overdracht staat het gesprek in twee systemen, het chatplatform en het ticket. Stel in beide een termijn in, anders betekent de kortere weinig. Zendesk biedt bijvoorbeeld verwijderschema's die gearchiveerde tickets na een ingestelde periode verwijderen, op de abonnementen Team, Professional en Enterprise, met één actief schema per type, of tot 10 met de add-on Advanced Data Privacy and Protection.

Een voorbeeldverdeling, met aannames en geen regel: gesprekken die een ticket werden, volgen de termijn van het ticket; gesprekken die de bot zonder ticket afsloot, krijgen een korte termijn, bijvoorbeeld 90 dagen, lang genoeg om de kwaliteit van antwoorden te beoordelen; en vraaglogs zonder namen, e-mailadressen en ordernummers kunnen blijven voor het verbeteren van de kennisbank. Welke termijnen u ook kiest, de onderbouwing hoort in uw verwerkingsregister.

Wat hoort in de privacyverklaring en de verwerkersovereenkomst?

De privacyverklaring noemt doel, grondslag en bewaartermijn van de chat; de verwerkersovereenkomst bindt de leverancier op grond van artikel 28 AVG aan uw instructies.

Klanten moeten vooraf geïnformeerd worden. De AP legt uit dat bij gegevens die iemand op een website invult, een duidelijke verwijzing naar de online privacyverklaring genoeg is: de link in de eerste chatregel. Neem in de verklaring een paragraaf over de chatbot op: doel, grondslag, of medewerkers gesprekken lezen, bewaartermijn en leverancier.

De chatbotleverancier verwerkt klantgegevens in uw opdracht, dus u moet een verwerkersovereenkomst sluiten. De aanbevelingen van de AP van 11 november 2025 vragen om concrete afspraken en grip op de hele leveranciersketen. Voor Vlaamse organisaties oordeelde de Gegevensbeschermingsautoriteit (GBA) in beslissing 137/2023 dat de plicht op verwerkingsverantwoordelijke én verwerker rust, en stelde zij een inbreuk vast waar de overeenkomst pas na de verwerking werd ondertekend.

Vijf punten die wij in een verwerkersovereenkomst voor een chatbot nalopen: de subverwerkers, inclusief de aanbieder van het onderliggende AI-systeem; of gesprekken systemen van de leverancier trainen of verbeteren, en hoe u dat uitzet; bewaren en verwijderen van gesprekken, logs en bestanden, ook bij einde contract; waar de verwerking plaatsvindt en het doorgiftemechanisme buiten de EER; en de meldtermijn voor datalekken plus uw auditrecht.

Wanneer is een DPIA verstandig voor een klantenservice-chatbot?

Zodra de chatbot aan twee of meer van de negen DPIA-criteria voldoet; bij een publieke chatbot op deze schaal is dat normaal.

Noch de DPIA-lijst van de AP met 17 soorten verwerkingen noch de lijst van de GBA noemt chatbots. Beide toezichthouders verwijzen naar de negen criteria van de Europese privacytoezichthouders en hanteren dezelfde vuistregel: voldoet uw verwerking aan twee criteria, ga dan uit van een DPIA (AP, GBA). Een publieke chatbot bij een organisatie van 250 tot 5.000 fte voldoet meestal al aan twee: innovatief gebruik van nieuwe technologie en verwerking op grote schaal.

Drie ontwerpkeuzes voegen criteria toe, en elk daarvan is een reden om de DPIA vóór de livegang te doen. De bot verwerkt gezondheids-, financiële of andere gevoelige gegevens, zoals bij een zorgverzekeraar, een zorgaanbieder of een incassoafdeling. Gesprekken worden gebruikt om klanten te profileren of hun gedrag te beoordelen, wat de AP-lijst onder categorie 15, profilering, noemt. Of overdrachtsgegevens worden gebruikt om uw eigen medewerkers te beoordelen, wat raakt aan categorie 11, controle van werknemers.

Met drie gegevensstromen, chat, kennisbank en overdracht, is een DPIA voor een chatbot overzichtelijk werk, en hij is meteen het ontwerpdossier waar uw auditor om vraagt. Ons artikel over AI op SharePoint laat dezelfde aanpak zien voor een intern systeem, en AI en de AVG behandelt de basis.

Waar Crux Digits past

Voor veel teams is een kant-en-klare oplossing de snelste route. SimplyBoost is ons eigen product: een AI-supportagent die antwoordt uit uw website, pdf's, FAQ en catalogus via websitechat, WhatsApp, Instagram en Facebook Messenger. Een account bevat drie AI-agents. Een gesprek gaat naar een mens, of naar Zendesk, Freshdesk, Gorgias of Slack, met het gesprek erbij: de menselijke route waar de AP en de ACM om vragen. Een agent kan op ingelogde portaalpagina's draaien en gebruikers herkennen aan een geverifieerd e-mailadres, en hij antwoordt in het Nederlands, Frans, Duits, Spaans en Engels. Zie simplyboost.io.

Moet de chatbot binnen uw eigen systemen werken, dan bouwt Crux Digits hem samen met uw ICT-partner: een AI-audit voor €2.500, een Productieklare MVP voor €20.000 en productie vanaf €50.000, exclusief btw, met de code in uw bezit. Dan bent u aanbieder onder artikel 50, lid 1, dus melding, overdracht en bewaartermijnen horen bij de bouw en de documentatie die wij opleveren. Uw ICT-partner blijft uw infrastructuur beheren.

De maatwerkroute in detail: AI-agent voor klantenservice.

Laatst bijgewerkt: 28 oktober 2026.

Onze AI Act-check (€950, vaste prijs) geeft binnen een week uw risicoclassificatie, verplichtingen en een concrete to-dolijst, inclusief wat u gerust kunt negeren.

Veelgestelde vragen