Internationale doorgifte AI-notulen: wat zegt de AVG?

Wat is internationale doorgifte precies?

Internationale doorgifte klinkt formeel, maar de kern is simpel: het gaat om het moment dat persoonsgegevens uit een vergadering het grondgebied van de Europese Economische Ruimte verlaten. Denk aan namen, meningen en besluiten die in je notulen staan en die worden opgeslagen of verwerkt op een server in de Verenigde Staten, India of ergens anders buiten de EER. Zodra dat gebeurt, gelden er extra AVG-regels, ook als je zelf nooit bewust "gegevens exporteert".

Voor veel organisaties komt dit onderwerp pas in beeld als een AI-notulist in gebruik wordt genomen. Logisch, want ineens loopt elke vergadering via een extern platform dat spraak omzet naar tekst en die tekst ergens moet verwerken en bewaren.

Waarom raakt dit jouw AI-notulen software?

Veel AI-notulisten zijn Amerikaanse of internationale bedrijven. Ook als de leverancier een Europees kantoor heeft, kan de onderliggende infrastructuur, spraakherkenning of taalmodel gedeeltelijk buiten de EER draaien. Dat betekent dat de audio-opname, transcriptie of samenvatting van je vergadering technisch gezien wordt doorgegeven aan een derde land.

Dat is niet per definitie een probleem, maar het is wel iets waar je als organisatie verantwoordelijkheid voor draagt. De AVG maakt namelijk geen uitzondering voor handige software: als er persoonsgegevens in je notulen staan, wat bij vrijwel elke vergadering het geval is, dan gelden de regels voor doorgifte gewoon.

De regels sinds Schrems II

Met het Schrems II-arrest werd duidelijk dat een contract alleen niet genoeg is om gegevens veilig naar een derde land te sturen. Er moet ook daadwerkelijk een passend beschermingsniveau zijn, rekening houdend met de wetgeving van het ontvangende land. Voor doorgifte naar de Verenigde Staten was dat een tijd lang onzeker terrein.

Standaardcontractbepalingen (SCC's)

Standaardcontractbepalingen zijn door de Europese Commissie goedgekeurde modelclausules die een leverancier buiten de EER contractueel verplichten tot een AVG-waardig beschermingsniveau. Een serieuze AI-notulist neemt deze clausules op in de verwerkersovereenkomst of verwijst er expliciet naar. Vraag er gerust naar als je dit niet kunt terugvinden.

Het EU-VS Data Privacy Framework

Voor doorgifte naar de Verenigde Staten is er inmiddels het EU-VS Data Privacy Framework. Amerikaanse bedrijven die zich hieraan certificeren, mogen gegevens ontvangen zonder dat je aparte SCC's hoeft af te sluiten, omdat de Europese Commissie heeft vastgesteld dat dit kader een passend beschermingsniveau biedt. Check bij twijfel of je leverancier op de officiële lijst van gecertificeerde organisaties staat, want een vermelding op de website alleen is geen garantie.

Waar moet je op letten bij je AI-notulist

Voordat je een AI-notulist breed uitrolt, is het slim om een paar dingen na te vragen bij de leverancier:

• Waar staan de servers waarop audio, transcripties en samenvattingen worden verwerkt?
• Is er een verwerkersovereenkomst beschikbaar met daarin een doorgifteclausule?
• Wordt er gebruikgemaakt van SCC's, het Data Privacy Framework, of allebei?
• Hoe lang wordt de data bewaard en kun je die zelf laten verwijderen?
• Wordt vergaderdata gebruikt om AI-modellen te trainen, en zo ja, kun je dat uitzetten?

Tools zoals een AI-notulist als Fireflies.ai zijn transparant over waar gegevens worden verwerkt en bieden instellingen om doorgifte en bewaartermijnen te beheren. Dat maakt het een stuk makkelijker om als organisatie aan te tonen dat je bewust met deze keuzes bent omgegaan.

Wat als je leverancier buiten de EU verwerkt zonder waarborgen?

Als blijkt dat je AI-notulist gegevens doorgeeft zonder SCC's, certificering onder het Data Privacy Framework of een andere geldige grondslag, dan loop je als verwerkingsverantwoordelijke risico. Niet de leverancier, maar jouw organisatie is aanspreekbaar op een correcte gegevensverwerking. In de praktijk betekent dit dat je ofwel om aanvullende waarborgen vraagt, ofwel overstapt naar een leverancier die dit wel op orde heeft.

Het helpt om dit niet als eenmalige check te zien, maar als vast onderdeel van je leveranciersbeoordeling. Wetgeving en certificeringen veranderen, dus een jaarlijkse controle van je verwerkersovereenkomsten is geen overbodige luxe.

Praktische checklist voor doorgifte

Zet dit lijstje naast je huidige AI-notulist en loop het rustig na:

• Verwerkersovereenkomst aanwezig en up-to-date.
• Doorgiftemechanisme (SCC's en/of Data Privacy Framework) benoemd.
• Serverlocaties bekend en gedocumenteerd.
• Bewaartermijnen ingesteld op wat noodzakelijk is.
• Training van AI-modellen op jouw data uitgeschakeld, tenzij expliciet gewenst.

Met deze vijf punten op orde heb je een solide basis om aan te tonen dat internationale doorgifte van je vergaderdata zorgvuldig is geregeld.

Mag ik AI-notulen laten verwerken door een Amerikaanse leverancier?

Ja, dat mag, mits er een geldig doorgiftemechanisme is zoals certificering onder het EU-VS Data Privacy Framework of standaardcontractbepalingen. Zonder zo'n waarborg is de doorgifte niet AVG-conform.

Wat is het verschil tussen SCC's en het Data Privacy Framework?

Standaardcontractbepalingen zijn contractuele afspraken die je zelf met de leverancier vastlegt. Het Data Privacy Framework is een overkoepelend certificeringskader waarbij Amerikaanse bedrijven zich aansluiten en dat door de Europese Commissie is goedgekeurd, waardoor aparte contractclausules vaak niet meer nodig zijn.

Wat moet ik vastleggen in mijn verwerkersovereenkomst?

Leg in elk geval vast welk doorgiftemechanisme van toepassing is, waar de gegevens worden verwerkt en bewaard, wat de bewaartermijnen zijn en of je vergaderdata wordt gebruikt voor het trainen van AI-modellen.