Waar staat uw data als u met een AI-agent werkt?

Een klant stuurt een mail met een klacht. De agent leest de mail, zoekt de orderhistorie op en stelt een concept-antwoord voor. Uw medewerker keurt het goed en verstuurt. Intussen is die mail, inclusief naam, bedrijfsnaam en ordernummer, door minstens twee systemen gegaan. De vraag is niet óf dat gebeurt. De vraag is waar, hoe lang en met welke garanties.

Veel ondernemers stoppen bij de vraag "staat mijn data in de cloud?". Dat is begrijpelijk, maar te grof. De relevante vragen zijn fijngranulairder: wie verwerkt wat, op welk moment, in welk land, en op basis van welke verwerkersovereenkomst? Die vragen beantwoord ik hier stuk voor stuk.

Uw bedrijfsdata staat in Frankfurt, de taalmodelcall gaat naar de VS

De manier waarop een agent werkt, legt meteen de datastromen bloot. De opslag van uw bedrijfsgegevens, de logbestanden en de werkdata zitten bij FactumAI in Frankfurt. Dat is een EU-datacenter, vallend onder Duits recht en de algemene AVG-kaders.

Maar een agent is meer dan een database. Op het moment dat een agent een tekst analyseert of een antwoord formuleert, maakt hij gebruik van een taalmodel. Wij werken met Anthropic. Die calls gaan naar servers in de Verenigde Staten. Dat is geen verborgen feit, maar het is iets wat u moet weten voordat u tekent.

Anthropic staat op onze sub-verwerkerslijst. Er is een transfer impact assessment opgesteld voor de datatransfer naar de VS, conform de vereisten van de AVG. Dat betekent: niet dat alle data in de EU blijft, maar wel dat de overdracht juridisch is gedekt en gedocumenteerd. U heeft recht op inzage in die documentatie.

Stuur zo min mogelijk persoonsgegevens mee met een modelvraag

De meest effectieve privacymaatregel is technisch van aard: stuur alleen de informatie naar het taalmodel die de agent nodig heeft om zijn taak te doen. Een agent die een betalingsherinnering formuleert, heeft de naam van de klant nodig en het openstaande bedrag. Hij heeft het burgerservicenummer of het volledige klantdossier niet nodig.

Dit heet dataminimalisatie en het staat in artikel 5 van de AVG. Het is ook gewoon goed ontwerp. Een agent die te veel data mee stuurt, is een agent die slecht is geconfigureerd. Bij het bouwen kijken wij per stap in het proces welke velden noodzakelijk zijn en welke kunnen worden weggelaten of gepseudonimiseerd.

Wilt u weten hoe dit eruitziet in de context van uw eigen klantcommunicatie? Bij klantenservice automatiseren is het onderscheid tussen wat de agent nodig heeft en wat hij niet nodig heeft bijzonder relevant, omdat mails veel meer contextinformatie bevatten dan strikt noodzakelijk is voor het antwoord.

Een verwerkersovereenkomst is geen papieren formaliteit

Als FactumAI persoonsgegevens verwerkt namens uw bedrijf, bent u de verwerkingsverantwoordelijke en zijn wij de verwerker. Dat legt de AVG vast in een verwerkersovereenkomst. Die overeenkomst regelt wat wij met uw data mogen doen, hoe lang we die bewaren en wat er gebeurt bij een datalek.

Wat u mag verwachten in zo'n overeenkomst: een duidelijke omschrijving van de verwerkingsdoeleinden, een bewaartermijn per categorie data, een meldplicht bij incidenten binnen 72 uur aan u als verwerkingsverantwoordelijke, en een sub-verwerkerslijst met daarin minimaal Anthropic als partij die taalmodelcalls verwerkt.

Vraag altijd om de sub-verwerkerslijst voordat u een agent in productie neemt. Elke serieuze leverancier geeft u die. Krijgt u hem niet, dan is dat een signaal.

Logbestanden bevatten meer dan u denkt

Een agent die draait, produceert logbestanden. Die zijn onmisbaar: zonder logging kunt u niet zien wat de agent heeft gedaan, of hij de juiste stappen heeft gevolgd en waar hij eventueel de fout in is gegaan. Maar die logbestanden bevatten ook data. Soms zelfs persoonsgegevens, als de input van de agent die bevatte.

Dat betekent dat u als verwerkingsverantwoordelijke ook een bewaartermijn moet afspreken voor logs. Wat is redelijk? Dat hangt af van hoe lang u verwacht dat u na een incident nog wilt kunnen reconstrueren wat er is gebeurd. In de meeste MKB-situaties is 90 dagen een werkbare termijn, maar dat is een aanname die u met eigen overwegingen moet invullen.

Bij het bouwen van een agent op maat maken wij standaard afspraken over welke data in logs terechtkomt en welke juist niet. Bijvoorbeeld: het antwoord dat de agent heeft voorgesteld, wel. De volledige inhoud van een klantmail, in veel gevallen niet.

Uw bestaande systemen zijn de eerste schakel in de dataketen

Een agent haalt zijn informatie ergens vandaan. Dat is bijna altijd uw eigen ERP, CRM, boekhoudsysteem of mailbox. Die koppeling is de eerste schakel in de dataketen. Hoe die koppeling technisch werkt, bepaalt mede hoe persoonsgegevens de organisatie verlaten.

Bij een API-koppeling met bijvoorbeeld Exact of AFAS stuurt de agent alleen een gericht verzoek naar het systeem en krijgt precies de gevraagde velden terug. Bij een koppeling via e-mail of bestandsexport is de data minder afgebakend en moet u in de configuratie van de agent extra aandacht besteden aan wat er wel en niet verder gaat. Voor meer achtergrond over hoe die koppelingen werken: het artikel over integraties met bestaande systemen legt per methode uit wat de technische en praktische verschillen zijn.

De AVG vraagt om een register, niet om een oordeel dat u nooit hoeft te geven

Als u een agent inzet die persoonsgegevens verwerkt, bent u verplicht dat op te nemen in uw verwerkingsregister. Dat klinkt als bureaucratie, maar het is ook gewoon nuttig: u heeft een actueel overzicht van waar uw klantdata naartoe gaat. Dat is informatie die u sowieso zou willen hebben.

De vermelding hoeft niet ingewikkeld te zijn. Naam van het proces, doel van de verwerking, categorieën persoonsgegevens, betrokken partijen inclusief sub-verwerkers, bewaartermijn en de juridische grondslag. Bij FactumAI leveren wij de informatie aan die u nodig heeft om uw eigen register bij te werken.

Wilt u weten wat er verder nog geregeld moet zijn vanuit de AVG voordat u een agent in gebruik neemt? Het artikel over AVG en AI-agents werkt de meest voorkomende vragen uit: van grondslagen voor verwerking tot wat u mag automatiseren en wat niet.

Eén concrete stap die u deze week kunt zetten

Maak een lijst van de drie processen waarbij u een agent overweegt. Schrijf per proces op welke categorieën persoonsgegevens daarin voorkomen: namen, e-mailadressen, financiële gegevens, of iets gevoeliger. Die lijst is het startpunt voor elk gesprek over dataopslag, verwerkersovereenkomsten en configuratie van de agent. Zonder die lijst begint u blind.