Privacy-audit AI-notulist: zo controleer je jaarlijks of alles klopt

Je hebt je AI-notulist netjes ingericht: verwerkersovereenkomst getekend, bewaartermijnen ingesteld, team geïnformeerd. Daarna gaat het leven door. Er komen nieuwe collega's, nieuwe functies en nieuwe subverwerkers. Een privacy-audit van je AI-notulist zorgt dat de situatie in de praktijk nog klopt met wat je op papier hebt vastgelegd.

Waarom een jaarlijkse privacy-audit nodig is

De AVG vraagt niet alleen dat je het goed regelt, maar ook dat je kunt aantonen dat het goed geregeld blijft. Dat noemen we de verantwoordingsplicht. Een korte, vaste controle per jaar is de eenvoudigste manier om daaraan te voldoen.

Bovendien verandert er veel bij tools met AI. Leveranciers voegen functies toe, wisselen van taalmodel of passen hun voorwaarden aan. Wat vorig jaar veilig was, kan nu net anders werken.

Stap 1: bekijk de instellingen van je account

Begin bij de basis. Loop alle beheerinstellingen na en vergelijk ze met je beleid.

• Opnames en transcripties: staat opslag nog zoals afgesproken?
• Bewaartermijn: worden oude opnames echt automatisch verwijderd?
• Standaard delen: worden notulen alleen met deelnemers gedeeld, of ook breder?
• Training: is hergebruik van je data voor modeltraining nog uitgeschakeld?
• Nieuwe functies: zijn er opties bijgekomen die standaard aanstaan?

Stap 2: controleer wie toegang heeft

Toegangsrechten verwateren sneller dan je denkt. Medewerkers wisselen van team, externen houden een gastaccount en oud-collega's staan nog in de lijst.

Exporteer de gebruikerslijst en leg die naast de actuele personeelslijst. Verwijder wat niet meer nodig is en controleer wie beheerrechten heeft. Dat zouden er maar een paar moeten zijn.

Stap 3: kijk naar de leverancier

Vraag je leverancier om een update en lees zelf mee in de documentatie. Let op deze punten:

• Is de verwerkersovereenkomst gewijzigd sinds je tekende?
• Zijn er nieuwe subverwerkers of nieuwe serverlocaties bijgekomen?
• Zijn certificeringen zoals ISO 27001 of SOC 2 nog geldig?
• Zijn er datalekken of incidenten gemeld?

Een goede aanbieder publiceert dit soort informatie op een trust- of beveiligingspagina. Zoals bij elke AI-notulist, bijvoorbeeld de notulist van Fireflies, is het handig om die pagina als vast onderdeel van je controle te bookmarken.

Stap 4: steekproef op echte notulen

Instellingen zeggen niet alles. Pak daarom tien willekeurige vergaderingen uit het afgelopen jaar en kijk wat er is vastgelegd.

• Staan er persoonsgegevens in die er niet in horen, zoals gezondheidsinformatie?
• Is er bij externe deelnemers vooraf gemeld dat er genotuleerd werd?
• Zijn gevoelige vergaderingen terecht niet opgenomen of juist afgeschermd?
• Zijn de samenvattingen correct en niet te uitgebreid?

Zie je structurele problemen, pas dan je werkafspraken aan en niet alleen die ene vergadering.

Stap 5: werk je documentatie bij

Zet de uitkomsten in je verwerkingsregister en pas zo nodig je privacyverklaring en gebruikersrichtlijn aan. Is er iets wezenlijk veranderd, zoals een nieuwe functie met meer risico, beoordeel dan opnieuw of een DPIA nodig is.

Leg ook vast wie de audit heeft gedaan, wanneer en wat de conclusies waren. Dat dossier is je bewijs als de toezichthouder of een klant ernaar vraagt.

Stap 6: communiceer de uitkomst

Deel een korte samenvatting met het team: wat is gecontroleerd, wat is aangepast en wat verandert er in de dagelijkse praktijk. Houd het bij een halve pagina. Dan blijft het onderwerp levend en weten collega's waar ze terechtkunnen met vragen.

Handige planning

• Plan de audit op een vast moment in het jaar, bijvoorbeeld in het laatste kwartaal.
• Wijs één eigenaar aan, meestal de privacyfunctionaris of IT-beheerder.
• Reserveer een halve dag, meer is voor een gemiddeld team niet nodig.
• Doe een extra check bij elke grote wijziging van de leverancier.

Veelgestelde vragen

Hoe vaak moet je een privacy-audit van je AI-notulist doen?

Minimaal een keer per jaar, plus een extra controle als de leverancier grote wijzigingen doorvoert, zoals nieuwe subverwerkers of aangepaste voorwaarden.

Wie moet de audit uitvoeren?

Meestal de functionaris gegevensbescherming of een privacy-verantwoordelijke, samen met de IT-beheerder. In een klein bedrijf kan de eigenaar het zelf doen met deze checklist.

Wat als ik tijdens de audit iets vind dat niet klopt?

Herstel de instelling of toegang direct, noteer wat er gebeurd is en beoordeel of er sprake is van een datalek. Is dat zo, volg dan je meldprocedure.