Hoe maakt u uw chatbot GDPR-conform

Denkt u eraan een chatbot voor een bedrijf in te zetten? Dan is dit artikel voor u.

Nu de GDPR (General Data Protection Regulation) bedrijven die klantgegevens verwerken steeds meer beïnvloedt, groeit de urgentie om de technologische aspecten van ondernemingen aan te pakken.

Een veelgestelde vraag van onze klanten is: hoe maak ik mijn Botpress-chatbot GDPR-conform? Hoewel naleving van de GDPR soms lastig kan zijn, helpen wij u graag verder.

Als de GDPR op uw bedrijf van toepassing is, volgen hier enkele tips en trucs om ervoor te zorgen dat uw chatbot blijvend voldoet aan de regelgeving.

GDPR Snelcursus

Wat is de GDPR?

De GDPR is een EU-verordening gericht op gegevensbescherming en privacy. Ze heeft invloed op personen en bedrijven in de EU en de Europese Economische Ruimte (EER), inclusief de overdracht van gegevens buiten deze gebieden.

Het doel is om individuen controle te geven over hun persoonsgegevens en een uniforme regelgeving binnen de EU te bieden. Als uw bedrijf in deze regio's actief is, moet u aan de GDPR voldoen.

Niet voldoen aan de GDPR heeft gevolgen. Dit kan leiden tot aanzienlijke boetes, tot wel 20 miljoen euro of 4% van uw wereldwijde jaaromzet – afhankelijk van welk bedrag hoger is.

Het doel is dat u aan uw gebruikers kunt aantonen dat u hun gegevens precies verwerkt zoals beloofd. Dit vergroot het vertrouwen van klanten in uw chatbots, wat uiteindelijk de winstgevendheid en het succes van uw bedrijf kan vergroten.

Wat wordt beschouwd als persoonsgegevens?

Volgens de GDPR worden persoonsgegevens gedefinieerd als “alle informatie over een geïdentificeerde of identificeerbare levende persoon.” Dit omvat onder andere:

• Telefoonnummers
• Creditcardnummers
• Personeelsnummers
• Accountgegevens
• Kentekenplaten
• Uiterlijk
• Klantnummers
• Adressen

De definitie onder de GDPR is echter breed – als u twijfelt of informatie als persoonsgegevens geldt, kunt u deze het beste als zodanig behandelen.

1. Wees Transparant

Als u klantgegevens verzamelt via uw chatbot – en deze gegevens vallen onder de GDPR – moet u transparant zijn naar de gebruikers van de chatbot. U moet uitleggen wie, wat, waar, wanneer en waarom u hun gegevens verzamelt.

Dit betekent dat u uw gebruikers informeert over welke klantgegevens u verzamelt, hoe u deze gebruikt en met wie u ze deelt. Deze informatie moet altijd aan de gebruiker worden gepresenteerd voordat u klantgegevens verzamelt.

Informeer de gebruiker vóór verzameling

U moet een duidelijke en begrijpelijke melding geven voordat u klantgegevens via uw chatbot verwerkt.

Dit ziet er vaak uit als pop-ups die aan gebruikers uitleggen welke gegevens u van hen verzamelt, waarom u dat doet en wat hun rechten zijn met betrekking tot het verzamelen van persoonsgegevens.

Publiceer een openbare privacyverklaring

U dient uw gegevensverwerkingspraktijken ook te beschrijven in een online privacyverklaring of -beleid en deze indien nodig bij te werken. U kunt bijvoorbeeld verwijzen naar de Privacyverklaring van Botpress.

Uw privacyverklaring moet het volgende bevatten:

• Welke informatie van de gebruiker wordt verzameld
• Waarom u hun persoonsgegevens verwerkt (dus het doel van de gegevensverzameling)
• Hoe u persoonsgegevens opslaat en overdraagt
• Hoe u hun persoonsgegevens beschermt en verwerkt
• De privacyrechten van gebruikers

Transparantie over het gebruik en de verwerking van klantgegevens zorgt voor vertrouwen en goodwill – dit leidt tot sterkere, langdurige klantrelaties en uiteindelijk tot een duurzamer en betrouwbaarder bedrijf.

2. Wees Eerlijk

U mag gegevens alleen verwerken voor de opgegeven doeleinden. Dit betekent dat u en uw medewerkers alert moeten zijn dat klantgegevens uitsluitend voor deze doeleinden worden verwerkt.

Als u bijvoorbeeld aangeeft klantgegevens te gebruiken voor het versturen van commerciële communicatie, het trainen van algoritmes, data-analyse voor productverbetering, technische ondersteuning, klantenservice of personalisatie van diensten, mag u de gegevens alleen voor deze doelen gebruiken, en niet voor andere doeleinden.

3. Wees Slim

U mag gegevens alleen verwerken met een geldige juridische grondslag.

Neem de tijd om intern te beoordelen op welke juridische basis u klantgegevens verwerkt. Deze analyse is verplicht onder de GDPR.

U mag klantgegevens alleen verwerken als aan één of meer van de volgende voorwaarden is voldaan:

• Het is gebaseerd op uitdrukkelijke toestemming van de chatbotgebruiker
• Het maakt deel uit van een contract met de gebruiker en verwerking is noodzakelijk
• Het is ter naleving van een wettelijke verplichting
• Het is ter bescherming van de vitale belangen van de gebruiker (denk aan levensbedreigende situaties)
• Het is voor het uitvoeren van een taak van algemeen belang
• Het maakt deel uit van uw wettelijke bevoegdheid
• Het is om gerechtvaardigde belangen na te streven (tenzij deze belangen worden overschaduwd door de belangen of fundamentele rechten en vrijheden van de gebruiker)

De meest voorkomende redenen voor het verwerken van klantgegevens zijn toestemming, uitvoering van een contract of gerechtvaardigd belang.

4. Wees Klantgericht

U moet gebruikers in staat stellen hun privacyrechten uit te oefenen.

Een punt op de GDPR-checklist voor online chatbots is dat gebruikers van de chatbot hun privacyrechten onder de GDPR moeten kunnen uitoefenen.

Chatbotgebruikers moeten toegang kunnen krijgen tot de klantgegevens die de chatbot over hen heeft verzameld, deze kunnen corrigeren, verwerking kunnen beperken of bezwaar kunnen maken, verwijdering van hun gegevens kunnen aanvragen of hun gegevens in een overdraagbaar formaat kunnen ontvangen.

Bij voorkeur kunnen gebruikers deze rechten direct via de conversatiestroom van uw chatbot uitoefenen, via een interactief vraag-en-antwoordproces. Gelukkig biedt Botpress deze mogelijkheid.

5. Wees Menselijk

Probeer aan te tonen dat geautomatiseerde beslissingen menselijke betrokkenheid hebben.

Chatbots die draaien op Botpress maken gebruik van AI-technologie. Ze zijn specifiek AI-agenten op basis van LLMs.

Tenzij aan bepaalde voorwaarden is voldaan, mag u uw chatbot niet zo inrichten dat AI zelfstandig belangrijke beslissingen over een gebruiker neemt: beslissingen mogen geen juridische gevolgen hebben of de gebruiker aanzienlijk beïnvloeden.

Dit betekent dat menselijke controle aanwezig moet zijn in elke fase van het inzetten van een chatbot die agentische AI gebruikt om GDPR-conformiteit te waarborgen. U moet kunnen aantonen dat menselijke betrokkenheid een rol heeft gespeeld bij het nemen van deze beslissingen.

6. Wees Terughoudend met Logs

Evalueer welke soorten logs u bijhoudt via uw chatbot. Heeft u foutlogs? Toegangslogs? Beveiligingsauditlogs?

Als dat zo is, bepaal dan of deze logs klantgegevens bevatten, zoals IP-adressen, identificerende informatie of volledige namen. Als het antwoord ‘ja’ is, moet u mogelijk een proces opzetten om deze klantgegevens te verwijderen. De GDPR verbiedt het bewaren van deze gegevens zonder geldige reden.

Als er geen geldige reden is om gegevens te bewaren, verwijder dan alle persoonsgegevens die via logs zijn verkregen.

Bij Botpress verwijderen we automatisch persoonsgegevens die via logs zijn verkregen na een expliciet vastgestelde periode.

7. Wees Veilig

Naast alle andere aspecten moet u ook zorgen voor technische, organisatorische, fysieke en administratieve maatregelen om de informatie die via uw chatbot wordt verwerkt te beschermen.

Dit kan bijvoorbeeld betekenen dat u:

• Versleutel klantgegevens zowel in rust als tijdens verzending
• Anonimiseer of pseudonimiseer klantgegevens
• Beheer de toegang van je medewerkers tot klantgegevens op basis van het need-to-know-principe
• Zorg voor passende back-ups, naast andere overwegingen

Dit zijn allemaal passende maatregelen om de gegevens die aan jou zijn toevertrouwd te beveiligen – deze verschillen afhankelijk van het doel van je chatbot en de gegevens die je verzamelt.

Voor meer voorbeelden kun je Bijlage 2 van de Data Processing Agreement van Botpress raadplegen voor een lijst met beveiligingsmaatregelen die wij nemen wanneer je met onze hulp een chatbot bouwt.

Bouw conforme chatbots

Zorgen dat je chatbot voldoet aan de AVG is niet alleen belangrijk om juridische of financiële redenen. Vertrouwen en transparantie opbouwen met je gebruikers is essentieel voor het imago van je bedrijf en je relatie met klanten. Twijfel je, zorg er dan voor dat je producten en diensten een AVG-checklist volgen om aan de regelgeving te voldoen.

We helpen je graag om ervoor te zorgen dat je AI-chatbot aan de benodigde regelgeving voldoet. Veel onderdelen van AVG-naleving zijn direct ingebouwd in Botpress, zodat jij je kunt richten op het bouwen van je bot.

Voor vragen kun je contact opnemen via [email protected].

Veelgestelde vragen

1. Is GDPR-naleving verplicht voor niet-EU-bedrijven die chatbots gebruiken?

Ja, AVG-naleving is verplicht voor niet-EU-bedrijven als hun chatbot persoonsgegevens van EU-inwoners verwerkt of zich op EU-gebruikers richt. Dit geldt ongeacht waar het bedrijf is gevestigd, volgens het extraterritoriale bereik van de AVG (Artikel 3).

2. Hoe voer ik een Data Protection Impact Assessment (DPIA) uit voor mijn chatbot?

Om een DPIA voor je chatbot uit te voeren, breng je in kaart welke persoonsgegevens worden verzameld, beoordeel je de risico’s voor de privacy van gebruikers en documenteer je de technische en organisatorische maatregelen (zoals versleuteling of toegangsbeheer). De DPIA moet een gestructureerd format volgen en afgerond zijn vóór ingebruikname als de verwerking risicovol is.

3. Hoe zorg ik ervoor dat mijn chatbot geen gevoelige gegevens logt tijdens het debuggen of voor analyses?

Om te voorkomen dat je chatbot gevoelige gegevens logt, stel je logging zo in dat berichtinhoud wordt uitgesloten, velden (zoals namen, e-mails, medische gegevens) worden gemaskeerd of geanonimiseerd, en toegang tot logs wordt beperkt via RBAC (role-based access control). Debugtools moeten worden getest in geanonimiseerde omgevingen en logs moeten regelmatig worden verwijderd of versleuteld.

4. Moet ik mijn chatbot aanpassen voor verschillende regio's met verschillende privacywetten?

Ja, je moet de gegevensverwerking van je chatbot aanpassen aan de wetgeving van elke regio, zoals de AVG (EU), CCPA (Californië) of LGPD (Brazilië). Dit kan betekenen dat je het beleid voor gegevensbewaring, toestemmingsmechanismen en het beheer van gebruikersrechten per rechtsgebied moet aanpassen.

5. Wordt realtime gebruikersprofilering via LLM's als GDPR-conform beschouwd?

Realtime gebruikersprofilering door LLM’s kan in overeenstemming met de AVG zijn als aan strikte criteria wordt voldaan: expliciete toestemming van de gebruiker, transparantie en het recht om geautomatiseerde besluitvorming te weigeren (Artikel 22). Als profilering invloed heeft op gebruikersrechten of toegang tot diensten, zijn menselijke beoordeling en uitgebreide informatie wettelijk verplicht.