Beveiliging AI-notulist: ISO 27001, SOC 2 en versleuteling

Een AI-notulist hoort mee te luisteren in je vergaderingen. Dat betekent dat er strategie, klantgegevens en soms personeelszaken door een externe dienst gaan. Logisch dus dat je wilt weten hoe het zit met de beveiliging van je AI-notulist. Het goede nieuws: je hoeft geen securityspecialist te zijn om de juiste vragen te stellen.

In dit artikel loop je door de belangrijkste beveiligingslagen, leer je wat termen als ISO 27001 en SOC 2 echt zeggen en krijg je een korte checklist die je bij elke leverancier kunt gebruiken.

Waarom beveiliging bij AI-notulen extra telt

Notulen zijn geconcentreerde informatie. Waar een losse e-mail één onderwerp bevat, staat in een transcript van een uur vaak alles bij elkaar: prijzen, besluiten, namen en meningen. Een lek levert dus meer schade op dan je op het eerste gezicht zou denken.

Daar komt bij dat de gegevens op meerdere plekken leven: de opname, het transcript, de samenvatting en de koppelingen naar andere tools. Elke plek is een mogelijk zwak punt. Goede beveiliging kijkt dus naar de hele keten, niet alleen naar de inlogpagina.

ISO 27001: wat zegt dat certificaat?

ISO 27001 is een internationale norm voor informatiebeveiliging. Een leverancier die gecertificeerd is, laat een onafhankelijke partij controleren of er een werkend beveiligingsmanagementsysteem is. Denk aan risicoanalyses, vaste procedures, incidentafhandeling en jaarlijkse audits.

Let op twee dingen. Kijk eerst wat de scope van het certificaat is: geldt het voor het hele product of alleen voor een kantoor of onderdeel? Kijk daarnaast naar de geldigheidsdatum. Een verlopen certificaat is geen certificaat.

SOC 2: Type I of Type II?

SOC 2 komt uit de Amerikaanse wereld en wordt door veel softwareleveranciers gebruikt. Een onafhankelijke auditor toetst beheersmaatregelen rondom beveiliging, beschikbaarheid en vertrouwelijkheid.

• Type I: een momentopname. De maatregelen bestaan op papier en zijn op één dag gecontroleerd.
• Type II: de maatregelen zijn over een langere periode (meestal 6 tot 12 maanden) getoetst op werking. Dit zegt veel meer.

Vraag bij twijfel gewoon om het samenvattende rapport. Serieuze leveranciers delen dat onder een geheimhoudingsverklaring.

Versleuteling: onderweg en in opslag

Versleuteling is de basis. Je wilt dat je gegevens op twee momenten zijn beschermd.

• In transit: tijdens het versturen tussen je vergadertool en de server, meestal via TLS. Dat is tegenwoordig standaard.
• At rest: opgeslagen opnames en transcripten zijn versleuteld, bijvoorbeeld met AES-256.

Sommige aanbieders bieden ook eigen sleutelbeheer aan voor grotere organisaties. Dat is mooi als extra, maar voor de meeste teams is goede standaardversleuteling met degelijk sleutelbeheer ruim voldoende.

Toegangsbeheer en inloggen

De sterkste versleuteling helpt niet als iedereen bij alle notulen kan. Kijk daarom naar deze onderdelen:

• Tweestapsverificatie voor alle gebruikers, het liefst afdwingbaar door de beheerder.
• Single sign-on (SSO) met je eigen omgeving, zodat vertrekkende collega's automatisch hun toegang verliezen.
• Rollen en rechten, zodat je per map, team of vergadering bepaalt wie wat ziet.
• Een auditlog waarin je terugziet wie wanneer notulen heeft bekeken, gedeeld of geëxporteerd.

Wil je dieper in op rechten per gebruiker? In ons artikel over toegangsrechten in een AI-notulist lees je hoe je dat inricht.

Waar staan je gegevens en wie heeft er toegang toe?

Beveiliging en privacy lopen hier door elkaar. Vraag na in welke regio de gegevens staan en welke onderaannemers (subverwerkers) erbij betrokken zijn, bijvoorbeeld voor spraakherkenning of opslag. Een overzicht van subverwerkers hoort openbaar te zijn.

Vraag ook of medewerkers van de leverancier jouw inhoud kunnen inzien, en onder welke voorwaarden. Goede partijen beperken dat tot noodgevallen, leggen het vast en vragen je toestemming.

Praktijkvoorbeeld: een tool beoordelen in een uur

Stel, je onderzoekt een AI-notulist voor je team. Je hoeft niet weken te vergelijken. Open de securitypagina van de leverancier en kijk of certificeringen, versleuteling en subverwerkers daar helder staan. Een tool als Fireflies als voorbeeld van een AI-notulist met een openbare securitypagina laat zien hoe zo'n overzicht eruit hoort te zien. Ontbreekt die informatie bij een andere aanbieder, dan is dat al een signaal.

Vraag daarna de verwerkersovereenkomst op en lees hoe incidenten worden gemeld. Combineer dat met een korte proefperiode en je hebt in een uur of twee een onderbouwd beeld.

Checklist: dit vraag je aan elke leverancier

• Welke certificeringen heb je (ISO 27001, SOC 2 Type II) en wat is de scope?
• Zijn opnames en transcripten versleuteld in transit en at rest?
• Kan ik tweestapsverificatie en SSO afdwingen?
• Is er een auditlog en kan ik rechten per team of map instellen?
• Waar staan de gegevens en wie zijn de subverwerkers?
• Hoe lang bewaren jullie data en kan ik die zelf verwijderen?
• Binnen welke termijn melden jullie een datalek?
• Wordt mijn inhoud gebruikt om modellen te trainen?

Bewaar de antwoorden in je verwerkingsregister of leveranciersdossier. Dat scheelt gedoe als er later vragen komen van een klant of auditor.

Wat je zelf in de hand houdt

Een veilige leverancier is maar de helft van het verhaal. Zet zelf ook de basis op orde: sterke wachtwoorden of SSO, het direct verwijderen van gevoelige vergaderingen en duidelijke afspraken over wie notulen mag delen. De meeste incidenten ontstaan niet door een hack, maar door een gedeelde link die te lang open bleef staan.

Veelgestelde vragen

Is een AI-notulist zonder ISO 27001 onveilig?

Niet automatisch. Een certificaat is een sterk bewijs, maar kleinere aanbieders werken soms met vergelijkbare maatregelen zonder certificering. Vraag dan om documentatie over hun beveiligingsbeleid, versleuteling en incidentprocedures, en weeg mee hoe gevoelig jouw vergaderingen zijn.

Wat is belangrijker: SOC 2 of ISO 27001?

Geen van beide is per definitie beter. ISO 27001 is breder bekend in Europa, SOC 2 Type II is sterk in het bewijzen dat maatregelen echt werken over tijd. Heeft een leverancier beide, dan is dat een goed teken.

Moet ik een verwerkersovereenkomst sluiten?

Ja. Zodra een AI-notulist persoonsgegevens verwerkt in opdracht van jouw organisatie, is een verwerkersovereenkomst verplicht onder de AVG. Leg daarin ook vast hoe beveiliging en datalekmeldingen zijn geregeld.