Is een AI-notetaker AVG-proof? De complete checklist (2026)

Nee, een AI-notetaker is niet automatisch AVG-proof — en geen enkele tool mag dat als keurmerk claimen, want “AVG-proof” is geen certificaat dat je afvinkt. Of je binnen de wet blijft, hangt af van hoe je de notetaker inzet, niet van het merk op de doos. Een gesprek bevat persoonsgegevens (en in de zorg of hulpverlening bijna altijd bijzondere persoonsgegevens), dus je hebt een geldige grondslag nodig, je moet mensen vooraf informeren, en je blijft als organisatie zelf verantwoordelijk — ook als de leverancier iets belooft [1]. De grootste breuk zit meestal niet in de wet maar in de techniek: veel notetakers sturen het gesprek naar externe servers, soms buiten de EU, onder voorwaarden die niemand heeft gelezen [7]. In dit artikel loop je een concrete checklist af — grondslag, toestemming, verwerkersovereenkomst, DPIA, bewaren, rechten van betrokkenen en de nieuwe AI Act — zodat je zelf kunt beoordelen of jouw notetaker de toets doorstaat.

Dit artikel is zorgvuldig samengesteld en van bronnen voorzien, maar is geen juridisch advies. Leg beleidskeuzes altijd voor aan je eigen jurist, FG of DPO.

Bestaat “AVG-proof” eigenlijk wel?

Kort gezegd: nee, niet als stempel. De AVG kent geen officieel keurmerk “AVG-proof” dat je op een product plakt. Wat de wet wél vraagt, is dat jij als verwerkingsverantwoordelijke aantoonbaar aan een set eisen voldoet: een geldige grondslag, transparantie, beveiliging, en respect voor de rechten van de mensen over wie het gaat. De Autoriteit Persoonsgegevens (AP) is er duidelijk over dat de verantwoordelijkheid bij jouw organisatie blijft liggen — je kunt die niet doorschuiven naar de leverancier van de tool [1]. Een notetaker kan dus hooguit ontworpen zijn om compliance te ondersteunen; of je daadwerkelijk binnen de wet blijft, bepaal je met je eigen inrichting en beleid.

Belangrijk detail: sinds AI ook onder het vergrootglas van de AP ligt, gelden voor systemen die persoonsgegevens verwerken met algoritmes dezelfde AVG-regels — plus extra aandacht voor transparantie en menselijke controle [5]. Een AI-notetaker is dus geen grijs gebied: het is gewoon een verwerking van persoonsgegevens, met een AI-randje eromheen.

De complete checklist (10 punten)

Loop deze tien punten langs. Kan je ze allemaal met “ja” en met bewijs beantwoorden, dan sta je stevig. Struikel je bij één ervan, dan weet je precies waar je werk hebt.

1. Grondslag. Heb je een geldige wettelijke grondslag om het gesprek op te nemen en te verwerken? De AVG kent er zes, waaronder toestemming en gerechtvaardigd belang. Je moet zelf beoordelen welke van toepassing is; de AP kan dat niet voor je invullen [1]. Voor cliënt- en patiëntgesprekken lopen AVG en WGBO bovendien door elkaar heen — lees daarvoor cliëntgesprekken opnemen: wat mag er volgens de AVG en WGBO?
2. Transparantie en toestemming. Weten de deelnemers vooraf dat er wordt opgenomen en wat ermee gebeurt? Als je toestemming als grondslag gebruikt, moet die vrij, specifiek en ondubbelzinnig zijn — vooraf aangevinkte vakjes tellen niet [1]. Leg vast dát en hóe je toestemming vroeg. Hoe je dat netjes formuleert — met een voorbeeldtekst — lees je in toestemming vragen voor gespreksopname: zo doe je het goed.
3. Verwerkersovereenkomst. Gebruik je een externe (cloud)dienst die de gegevens voor jou verwerkt, dan is een verwerkersovereenkomst verplicht — daarin leg je vast wat de verwerker wel en niet met de data mag doen [2]. Verwerkt de tool alles binnen je eigen organisatie, dan is er geen externe verwerker en dus geen doorgifte om af te dekken.
4. DPIA. Voer je een risicovolle verwerking uit, dan is een Data Protection Impact Assessment verplicht — bijvoorbeeld bij het op grote schaal verwerken van bijzondere persoonsgegevens [3]. De AP publiceert een lijst met verwerkingen waarvoor een DPIA sowieso moet [4]. Let op: een AI-notetaker maakt die plicht niet kleiner. Geen enkele tool laat de DPIA-plicht vervallen — beoordeel het per situatie.
5. Dataminimalisatie. Verwerk je alleen wat nodig is? Neem niet standaard alles op “voor de zekerheid” op, en bewaar geen ruwe audio langer dan nodig. Hoe minder gegevens rondgaan, hoe kleiner het risico en de aanvalsoppervlakte [8].
6. Beveiliging en doorgifte. Zijn de gegevens versleuteld, en — cruciaal — verlaten ze je organisatie? Veel notetakers sturen gevoelige gesprekken naar externe servers, soms buiten de EU, onder voorwaarden die zelden gelezen zijn [7]. Een gesprek dat je pand niet verlaat, kán ook niet lekken bij een derde partij [8].
7. Bewaartermijn en verwijderen. Heb je vastgelegd hoe lang je audio en verslagen bewaart, en wis je op tijd? De AP is duidelijk dat mensen recht hebben op verwijdering; een organisatie moet daar in de regel binnen een maand op reageren [6]. Wis ruwe audio zodra je die niet meer nodig hebt.
8. Rechten van betrokkenen. Kun je een verzoek om inzage, correctie of verwijdering daadwerkelijk uitvoeren? De AVG geeft betrokkenen zeven rechten, waaronder inzage en het recht op vergetelheid [6]. Dat betekent dat je moet weten wélk verslag over wie gaat, en het gericht kunt aanpassen of verwijderen.
9. Menselijke controle. Blijft er een mens verantwoordelijk voor de inhoud? Een AI-verslag kan fouten bevatten; behandel het als concept tot een mens het heeft nagekeken en goedgekeurd. De AP benadrukt bij AI juist die menselijke controle en het tegengaan van blind vertrouwen op automatische uitkomsten [5]. Beloof nooit foutloosheid — beloof controleerbaarheid.
10. AI Act-transparantie. Vanaf 2 augustus 2026 gelden extra transparantieregels: je moet mensen laten weten wanneer ze met AI te maken hebben of AI-gegenereerde inhoud zien [9]. Voor een AI-notetaker betekent dat: wees open dat het verslag door AI is opgesteld en door een mens is nagekeken.

Cloud versus lokaal: waar zit het echte risico?

De meeste checklistpunten hierboven — verwerkersovereenkomst, doorgifte buiten de EU, onbekende voorwaarden, datalekken bij derden — komen samen op één punt: waar gaat het gesprek naartoe? Bij een clouddienst verlaat je opname het pand en beland je in de keten van een leverancier. Dat is niet per definitie verboden, maar het is wél waar het misgaat: in de VS lopen rechtszaken over medische gesprekken die zonder duidelijke grondslag naar de cloud van een AI-verslagleverancier werden gestuurd [7]. Een steeds vaker genoemd alternatief in de zorg is lokaal verwerken, waarbij de opname op je eigen apparatuur blijft [8].

Dit is precies de ontwerpkeuze achter Verbinn: één Mac in je eigen pand (de Kern) doet de transcriptie en het verslag, geen woord van het gesprek verlaat de organisatie, en de Kern laat zien welke uitgaande verbindingen er wél zijn — geen daarvan draagt gespreksinhoud. Elk verslag blijft een concept tot een mens het goedkeurt, en elke zin is klikbaar naar de letterlijke bronregel, zodat je controleert in plaats van gelooft. Zo vallen verschillende checklistpunten in één keer op hun plek. Maar ook lokaal ben je nog steeds zelf verantwoordelijk voor grondslag, toestemming en een eventuele DPIA — techniek neemt die verplichtingen niet over.

Aantoonbaar compliant blijven

De AVG vraagt niet alleen dat je het goed doet, maar ook dat je kunt aantonen dat je het goed doet (de verantwoordingsplicht). Zorg daarom dat je vastlegt welke grondslag je gebruikt, dát je toestemming vroeg, wie toegang heeft, hoe lang je bewaart en wanneer je wist. Een onveranderbaar (append-only) auditlog en een privacy-overzicht bij elke export maken dat controleerbaar — voor je FG, je DPO en desnoods voor de AP. Zie het niet als een eenmalige afvink-oefening: leg het beleid vast, herhaal de DPIA als de situatie verandert, en houd de AI Act-transparantieregels in de gaten die vanaf augustus 2026 gaan gelden [9].