Een chatbot op uw website: de AVG-checklist voor Nederlandse ondernemers

Een chatbot op uw website verwerkt persoonsgegevens zodra iemand een naam, een telefoonnummer of een e-mailadres achterlaat — en vaak al eerder. Dat maakt de AVG van toepassing, plus een aantal Nederlandse regels die u niet in een algemene Europese handleiding tegenkomt. Deze checklist loopt langs wat u concreet moet regelen: wat er in de privacyverklaring hoort, hoe het zit met cookies volgens de Autoriteit Persoonsgegevens, welke afspraken u met uw leverancier maakt, en welke transparantieplicht er sinds kort bij komt.

Eén onderscheid vooraf, omdat het de rest van dit stuk leesbaar maakt: „mag ik dit gesprek voeren” en „mag ik deze cookie plaatsen” zijn twee losse vragen met twee verschillende regimes. Het gesprek valt onder de AVG en heeft een grondslag nodig, die niet per se toestemming hoeft te zijn. De cookie valt daarnaast onder de Telecommunicatiewet, met een eigen toestemmingsregel. Wie die twee door elkaar haalt, regelt óf te veel óf te weinig.

Dit is algemene oriëntatie, geen juridisch advies. Voor uw eigen situatie is een eigen beoordeling nodig.

1. Beschrijf in uw privacyverklaring dat er een chatbot is

Dit is de stap die het vaakst blijft liggen, en tegelijk de goedkoopste. Zodra de chatbot gegevens vastlegt, geldt de informatieplicht: bezoekers moeten kunnen nalezen welke gegevens u verzamelt, waarvoor, hoe lang u ze bewaart en met wie u ze deelt. Een aparte paragraaf in uw bestaande privacyverklaring volstaat — een los document is niet nodig.

• Welke gegevens de chatbot vastlegt (bijvoorbeeld: naam, contactgegevens, de categorie van de vraag)
• Waarvoor u die gegevens gebruikt — in de praktijk: om terug te kunnen bellen of mailen
• Hoe lang u ze bewaart, en wat er daarna mee gebeurt
• Welke verwerker de chatbot levert en waar de gegevens staan
• Hoe iemand inzage, correctie of verwijdering kan vragen

2. Cookies: de drie categorieën van de AP

Hier wijkt de Nederlandse praktijk af van wat u in een algemene Europese uitleg leest. De Autoriteit Persoonsgegevens onderscheidt drie soorten cookies: functionele cookies, beperkt analytische cookies en overige cookies. Voor elk geldt een ander regime, en de grondslag zit niet alleen in de AVG maar ook in de Telecommunicatiewet.

Voor een chatbot betekent dit in de praktijk: ga na welke cookies de widget zelf zet, en in welke categorie die vallen. Een chatbot die alleen een sessie onthoudt zodat het gesprek na het doorklikken naar een andere pagina niet weg is, zit in een andere categorie dan een chatbot die bezoekersgedrag over meerdere sites volgt. Vraag uw leverancier om die lijst als u die niet heeft.

3. Leg de verwerkersovereenkomst vast

Als een leverancier persoonsgegevens voor u verwerkt, is hij verwerker en bent u verwerkingsverantwoordelijke. Artikel 28 AVG vraagt dan om een schriftelijke overeenkomst waarin staat wat de verwerker wel en niet met de gegevens mag doen. Dat is geen formaliteit die u achteraf regelt. Let wel op het onderscheid: deze overeenkomst is niet de rechtsgrondslag voor de verwerking zelf — die staat in artikel 6 AVG — maar de afspraak die u nodig heeft om een verwerker in te mogen schakelen. Twee verschillende dingen, die in de praktijk vaak op één hoop worden gegooid.

4. Bepaal de bewaartermijn — en controleer of die ook echt wordt uitgevoerd

Gegevens bewaren mag niet langer dan nodig. Het punt waar het in de praktijk misgaat, is niet de termijn zelf maar de uitvoering: een termijn die in een document staat maar door geen enkel proces wordt afgedwongen, is geen bewaartermijn. Vraag daarom niet alleen wat de termijn is, maar of er iets is dat automatisch opruimt. Bij Smartwebchat worden chatgesprekken na 30 dagen automatisch verwijderd. De contactgegevens die een bezoeker achterlaat, blijven in het dashboard staan tot de termijn afloopt die per assistent is ingesteld (standaard 12 maanden); losse vermeldingen verwijderen wij op verzoek. Wat er precies wordt vastgelegd, staat op de pagina over AVG en gegevensbescherming.

5. Kijk waar het taalmodel draait

Een AI-chatbot stuurt de vraag van de bezoeker naar een taalmodel. Waar dat model draait, bepaalt of er een doorgifte buiten de EU plaatsvindt. Deze vraag verdwijnt makkelijk uit beeld, omdat de leverancier van de chatbot en de aanbieder van het model niet dezelfde partij hoeven te zijn.

Bij Smartwebchat verlaat een vraag in het standaardmodel de EU niet. U kunt per chatbot een premiummodel inschakelen; de aanvragen gaan dan naar servers buiten de EU. Dat is een keuze die u zelf maakt en die niet standaard aanstaat — maar het is wel een keuze die u moet kennen voordat u die maakt. Welke modellen bij welk plan horen, staat bij de prijzen.

6. Vertel bezoekers dat ze met een AI praten

Dit is sinds kort niet alleen netjes, maar verplicht. Artikel 50 van de EU-AI-verordening vraagt van aanbieders van AI-systemen die rechtstreeks met mensen communiceren dat de betrokkene weet dat hij met een AI-systeem te maken heeft, tenzij dat uit de context al duidelijk is. De bepaling is van toepassing vanaf 2 augustus 2026.

Praktisch is dit een kleine ingreep: de chatbot maakt zich aan het begin van het gesprek kenbaar, in het venster zelf. Niet in een voorwaardentekst, niet drie klikken verderop.

De checklist in het kort

1. Paragraaf over de chatbot in de privacyverklaring: welke gegevens, waarvoor, hoe lang, met wie.
2. Cookies van de widget in kaart: functioneel, beperkt analytisch of overig — en per categorie het juiste regime.
3. Verwerkersovereenkomst getekend, met subverwerkers en datalekprocedure erin.
4. Bewaartermijn vastgesteld én aantoonbaar automatisch uitgevoerd.
5. Nagegaan waar het taalmodel draait en of er doorgifte buiten de EU plaatsvindt.
6. De chatbot maakt zich bij het begin van het gesprek kenbaar als AI.
7. Vastgelegd hoe u een verzoek om inzage of verwijdering afhandelt, en wie dat doet.