Verwerkingsregister AI-notulen: zo leg je het goed vast

Een verwerkingsregister voor AI-notulen klinkt als iets voor de juristen, maar het is vooral een praktisch document. Zodra je een AI-notulist meeschrijft in je vergaderingen, verwerk je persoonsgegevens. En dat moet je vastleggen. Toch staat automatisch notuleren bij veel organisaties nog nergens in het register, terwijl het inmiddels dagelijks draait.

In dit artikel lees je wat er precies in moet, hoe je elk veld invult en welke fouten je beter kunt overslaan. Zonder juridisch jargon, gewoon zoals je het maandagochtend zou aanpakken.

Wat is een verwerkingsregister ook alweer?

Het register van verwerkingsactiviteiten komt uit artikel 30 van de AVG. Het is een overzicht van alles wat jouw organisatie met persoonsgegevens doet: welke gegevens, waarvoor, op welke grondslag, hoe lang je ze bewaart en wie ze te zien krijgt.

De meeste organisaties met 250 of meer medewerkers zijn verplicht zo'n register bij te houden. Maar de uitzondering voor kleinere organisaties is smal: zodra je structureel gegevens verwerkt, en dat doe je bij vergaderopnames, geldt de plicht alsnog. In de praktijk kun je er dus vanuit gaan dat het ook voor jouw kantoor van vijftien mensen geldt.

Belangrijk om te snappen: het register is geen formaliteit die je één keer invult. Het is het overzicht waarmee je zelf grip houdt en waarmee je bij een vraag van een medewerker of de Autoriteit Persoonsgegevens binnen een dag kunt laten zien hoe het zit.

Waarom automatisch notuleren in je register hoort

Bij een AI-notulist gebeurt er meer dan je op het eerste gezicht denkt. Je legt stemgeluid vast, je maakt een transcript, je koppelt uitspraken aan namen en je bewaart dat allemaal ergens. Stuk voor stuk verwerkingen van persoonsgegevens.

Bovendien gaat het vaak om gegevens die verder reiken dan alleen de deelnemers. In een vergadering vallen namen van klanten, dossiers, leveranciers en soms zelfs medische of financiële details. Die belanden allemaal in het transcript, ook als niemand daar bij stilstond.

Dat maakt notuleren met AI een verwerking met een eigen profiel. Het valt niet netjes onder de regel "personeelsadministratie" die je al in je register hebt staan. Het verdient een eigen rij.

Welke gegevens verwerk je precies?

Voordat je gaat invullen, breng je in kaart wat er daadwerkelijk langskomt. Meestal is dat:

• Audio- of video-opname van de vergadering, soms alleen tijdelijk tijdens de verwerking
• Transcript met de letterlijke tekst en tijdstempels
• Sprekerlabels en dus namen of e-mailadressen van deelnemers
• Samenvatting, besluiten en actiepunten, inclusief wie waarvoor verantwoordelijk is
• Metadata zoals agendatitel, datum, duur en deelnemerslijst
• Stemkenmerken als je tool sprekers herkent op basis van stemprofielen

Dat laatste punt wordt vaak vergeten. Sommige tools bouwen een stemprofiel op om sprekers te onderscheiden. Of dat biometrische gegevens oplevert hangt af van de techniek, maar het is hoe dan ook iets om te beschrijven en na te vragen bij je leverancier.

Zo vul je het register in, veld voor veld

Doel van de verwerking

Schrijf concreet op waarom je het doet. Bijvoorbeeld: "het automatisch vastleggen van besluiten en actiepunten uit interne overleggen, zodat deelnemers de uitkomsten kunnen nalezen en opvolgen". Vermijd rekbare formuleringen als "efficiëntie verhogen". Hoe vager het doel, hoe moeilijker je later kunt uitleggen waarom je iets nog bewaart.

Grondslag

In de meeste gevallen leun je op gerechtvaardigd belang. Je hebt er een reëel organisatiebelang bij en de impact op deelnemers is beperkt, mits je transparant bent. Leg die afweging kort vast, dan heb je meteen je onderbouwing paraat.

Toestemming lijkt netjes, maar werkt slecht in een werkrelatie: je medewerker kan moeilijk nee zeggen tegen zijn leidinggevende. Gebruik toestemming dus vooral bij externe deelnemers en gevoelige gesprekken, niet als standaardgrondslag voor het hele team.

Categorieën betrokkenen en gegevens

Noem wie het raakt: medewerkers, sollicitanten, klanten, leveranciers, bestuursleden. En noem daarna de gegevenscategorieën uit het lijstje hierboven. Wees hier volledig, want dit veld bepaalt hoe goed je later verzoeken om inzage kunt afhandelen.

Ontvangers en doorgifte

Hier vul je je leverancier in als verwerker, plus eventuele subverwerkers zoals de cloudprovider of het transcriptiemodel. Vraag die lijst gewoon op, een serieuze aanbieder heeft hem klaarliggen. Staat er een partij buiten de EU tussen, dan noteer je ook op basis waarvan die doorgifte plaatsvindt.

Vergeet je interne ontvangers niet. Als notulen automatisch in een gedeeld kanaal of projecttool landen, kan de halve organisatie meelezen. Dat is relevanter voor je risicoafweging dan menigeen denkt.

Bewaartermijn

Splits dit op. Ruwe opnames hoef je vaak maar kort te bewaren, bijvoorbeeld zeven of dertig dagen. Transcripten iets langer. De definitieve samenvatting met besluiten kan meerdere jaren mee, omdat die functie heeft in je dossier. Zet per gegevenssoort een termijn neer en zorg dat je tool die automatisch afdwingt, anders is het papier zonder praktijk.

Beveiligingsmaatregelen

Beschrijf op hoofdlijnen wat er geregeld is: versleuteling tijdens transport en opslag, toegang op basis van rollen, tweefactorauthenticatie, logging en een procedure voor incidenten. Je hoeft geen technisch rapport te schrijven, wel te laten zien dat je erover hebt nagedacht.

Fouten die je vaak ziet

• Alleen de tool noemen en niet de verwerking. Het register beschrijft activiteiten, niet software.
• Eén regel voor alle vergaderingen. Een sollicitatiegesprek en een sprintoverleg zijn niet hetzelfde risico. Splits waar het echt verschilt.
• Bewaartermijn "zo lang als nodig". Dat is geen termijn, dat is uitstel.
• Subverwerkers overslaan. Juist daar zit vaak de doorgifte buiten de EU.
• Nooit meer bijwerken. Leveranciers veranderen hun infrastructuur, en dan klopt je register stilletjes niet meer.

Hoe verhoudt het register zich tot DPIA en verwerkersovereenkomst?

Die drie vullen elkaar aan. Het register is je overzicht: wat doen we allemaal. De verwerkersovereenkomst regelt de afspraken met je leverancier. En een DPIA is de diepere risicoanalyse die je uitvoert als de verwerking waarschijnlijk een hoog risico oplevert, bijvoorbeeld bij systematische opnames van gesprekken met gevoelige inhoud.

Praktisch werkt het zo: je vult eerst je register in, want daarmee zie je scherp wat je doet. Vanuit dat overzicht wordt meestal vanzelf duidelijk of een DPIA nodig is. Vul je het register slordig in, dan mis je precies die signalen.

Kies een tool die je administratie makkelijker maakt

Veel van het invulwerk wordt eenvoudiger als je leverancier open kaart speelt. Aanbieders die hun serverlocaties, subverwerkers en bewaarinstellingen gewoon documenteren, besparen je dagen uitzoekwerk. Een tool als deze AI-meetingassistent publiceert bijvoorbeeld een overzicht van verwerkingen en instelbare bewaartermijnen, waar je in je register direct naar kunt verwijzen.

Let bij de selectie vooral op instelbaarheid. Kun je zelf bepalen hoe lang opnames blijven staan, wie toegang heeft en of transcripten gebruikt worden voor modeltraining? Zo ja, dan kun je je register laten aansluiten op de werkelijkheid in plaats van andersom.

Wil je weten hoe andere organisaties dit aanpakken, dan is de AI-tafel een prettige plek om ervaringen met AI-tools uit te wisselen. Vaak hoor je daar in een half uur wat je anders maanden zelf uitzoekt.

Houd je register levend

Zet een terugkerende afspraak in je agenda, bijvoorbeeld twee keer per jaar, om de regel over automatisch notuleren na te lopen. Check of de leverancier nog dezelfde is, of de subverwerkerslijst is gewijzigd, of de bewaartermijnen daadwerkelijk worden toegepast en of er nieuwe vergadertypes bij zijn gekomen.

Dat kost je een half uur per keer. En het scheelt je enorm veel gedoe op het moment dat iemand een inzageverzoek indient of een auditor langskomt.

Veelgestelde vragen

Moet ik AI-notulen als aparte verwerking opnemen?

Ja, dat is verstandig. Automatisch notuleren heeft een eigen doel, eigen gegevenscategorieën en eigen bewaartermijnen. Het onderbrengen bij een bestaande regel zoals personeelsadministratie maakt je register onnauwkeurig en bemoeilijkt het afhandelen van inzageverzoeken.

Welke grondslag gebruik ik voor automatisch notuleren?

Meestal gerechtvaardigd belang, omdat je een reëel organisatiebelang hebt bij het vastleggen van besluiten en de impact op deelnemers beperkt blijft als je transparant bent. Toestemming werkt slecht binnen een gezagsverhouding, maar is wel passend bij externe deelnemers of gevoelige gesprekken.

Hoe lang mag ik vergaderopnames bewaren?

Er staat geen vaste termijn in de wet, je bepaalt hem zelf op basis van het doel. In de praktijk werkt een korte termijn voor ruwe opnames goed, bijvoorbeeld zeven tot dertig dagen, terwijl de definitieve samenvatting met besluiten langer bewaard kan blijven omdat die een dossierfunctie heeft.