Gids
Notuleren met AI en de AVG: waar het echt om draait
Wij bouwen Fieldnoter op de toestelroute, dus we hebben deze vraag van dichtbij bekeken. De kern: AI-transcriptie is op zichzelf niet het AVG-probleem. Vergaderaudio bevat per definitie persoonsgegevens, denk aan stemmen, namen en meningen, en de echte vraag is wie die audio verwerkt en waar. Dat antwoord verschilt wezenlijk tussen clouddiensten en verwerking op het toestel zelf. In deze gids zetten we de rollen op een rij, laten we zien wat de toestelroute verandert en benoemen we wat je als organisatie in beide gevallen zelf moet regelen. Dit is achtergrond in gewone taal, geen juridisch advies voor jouw specifieke situatie; laat een jurist of FG meekijken bij twijfel.
In dit artikel
Vergaderaudio is altijd een verwerking van persoonsgegevens
Een stem is een persoonsgegeven. De inhoud van een overleg is dat meestal ook: namen, functies, meningen over collega's, klantgegevens. In een HR-gesprek of een gesprek met een cliënt kunnen zelfs bijzondere persoonsgegevens langskomen, zoals informatie over gezondheid. Zodra je op de opnameknop drukt, verwerk je die gegevens en is de AVG van toepassing. Welk gereedschap je daarna gebruikt verandert daar niets aan.
Jouw organisatie is voor die opname de verwerkingsverantwoordelijke: zij bepaalt het doel (een verslag maken) en de middelen (de tool). De interessante vraag zit een laag dieper. Komt er bij het transcriberen een derde partij in beeld die de audio onder ogen krijgt? Daar lopen de twee routes uiteen.
De cloudroute: de aanbieder wordt verwerker
Verwerkt een notuleerdienst de audio op eigen servers, dan wordt die aanbieder een verwerker voor jouw organisatie. Dat betekent minimaal:
- Een verwerkersovereenkomst over wat de aanbieder met de audio mag, hoe lang die bewaard blijft en welke subverwerkers meekijken.
- Grondslag en transparantie: deelnemers horen te weten dat hun woorden door een derde partij worden verwerkt, en afhankelijk van de situatie is toestemming nodig.
- Een doorgifte-toets als de aanbieder of de infrastructuur buiten de EU staat. Bij Amerikaanse partijen is dit het struikelblok: wetgeving zoals de CLOUD Act kan bij hun data, wat het privacybeleid ook belooft. Dit is waarom veel Nederlandse organisaties deze tools simpelweg blokkeren.
Niets van dit alles maakt clouddiensten onbruikbaar, en dat willen we ook niet suggereren. Ze hebben echte voordelen: een bot die automatisch aanschuift in Teams of Zoom, dashboards, gedeelde werkruimtes voor teams, en grotere modellen op serverhardware die lastige audio soms beter aankunnen. Voor sommige organisaties weegt dat op tegen het juridische huiswerk. Het punt is dat dit huiswerk er bij de cloudroute altijd bij hoort, en dat de uitkomst van de doorgifte-toets bij Amerikaanse aanbieders onzeker blijft zolang de CLOUD Act naast de EU-regels bestaat.
De toestelroute: wat er verandert
Draait de transcriptie op de telefoon zelf en verlaat de audio het toestel nooit, dan verandert het plaatje structureel: er is geen verwerker voor de inhoud (dus geen verwerkersovereenkomst daarvoor), geen doorgifte naar het buitenland en geen serverlocatie om te toetsen. Dataminimalisatie zit dan in de architectuur in plaats van in het contract. Dat is precies waarom we Fieldnoter zo hebben gebouwd.
We willen dit wel zuiver formuleren, want overdrijven helpt niemand richting een FG of privacy-officer. Verwerking op het toestel is geen automatische AVG-goedkeuring en geen vrijstelling van de AVG. Het verkleint de verwerking tot iets dat je organisatie zelf overziet: gegevens van deelnemers, verwerkt op één toestel, onder je eigen beleid. De beoordeling of die verwerking mag, met welke grondslag en hoe lang je het verslag bewaart, blijft werk dat je organisatie zelf doet. Laat een jurist of FG meekijken bij twijfel; deze gids vervangt dat niet.
Wat blijft staan, en dat is belangrijk: een gesprek opnemen is zélf een verwerking. De regels van je organisatie over opnemen, informeren van deelnemers en bewaartermijnen gelden onverminderd, welk gereedschap je ook kiest. Verwerking op het toestel lost het derde-partij-probleem op, niet je eigen verantwoordelijkheden.
Cloud versus op het toestel, door een AVG-bril
Zo verschillen de twee routes op de punten waar een FG of privacy-officer als eerste naar kijkt:
| Cloud-notuleertool | Op het toestel | |
|---|---|---|
| Aanbieder wordt verwerker | Ja, voor de vergaderaudio | Nee, de audio blijft lokaal |
| Verwerkersovereenkomst nodig | Ja | Niet voor de transcriptie |
| Datalocatie | Servers van de aanbieder, vaak VS | Het toestel zelf |
| Doorgifte buiten de EU | Toetsen per aanbieder | Niet aan de orde |
| Eigen opnamebeleid nodig | Ja | Ja |
Let op de laatste rij: die is bij beide routes gelijk. Het verschil zit in de schakels tussen jou en de tekst, en in de vragen die daarmee vervallen.
Wil je FG of IT-team de technische details? De factsheet beschrijft datastromen, netwerkgedrag en de AVG-positie.
Lees de IT-factsheet →Wat je als organisatie zelf regelt
Welke route je ook kiest, drie dingen horen intern geregeld te zijn voordat er structureel wordt opgenomen:
- Een opnamebeleid. Leg vast wie mag opnemen, in welke situaties en met welk doel. Een tooling-verbod is geen opnamebeleid; ook zonder AI-tool kan iemand een voicememo starten.
- Informeren van deelnemers. Meld aan het begin van het overleg dat er wordt opgenomen en waarvoor. Of je daarnaast expliciete toestemming vraagt hangt af van de grondslag die je organisatie hanteert; bij externe deelnemers en gevoelige gesprekken is toestemming vragen de veilige gewoonte.
- Bewaartermijnen. Een verslag hoeft de opname meestal te overleven, de audio zelf niet. Spreek af wanneer opnames worden verwijderd en wie daarop toeziet. Een tool waarin je opnames per stuk kunt wissen maakt dat naleven eenvoudig.
Voor grootschalige of gevoelige verwerkingen kan daarnaast een DPIA (gegevensbeschermingseffectbeoordeling) nodig zijn. Of dat bij jullie zo is, beoordeelt je FG; de omvang en de aard van de gesprekken bepalen de uitkomst.
De vliegtuigmodus-test als bewijs
Elke claim over lokale verwerking hoort controleerbaar te zijn. Voor apps op het toestel is die controle er, en hij kost twee minuten:
Verschijnt het transcript terwijl alle verbindingen uit staan, dan is er geen server betrokken bij de verwerking. Valt de app stil met een foutmelding, dan ging de audio dus wel het toestel af. Dit ene experiment beantwoordt de kernvraag van de FG sneller dan welk privacybeleid ook, en het is de controle die we zelf het liefst hebben dat een FG op ons uitvoert. Drie signalen samen geven een compleet beeld:
- Zet vliegtuigmodus aan en probeer te transcriberen. Cloudtools vallen stil; toestel-tools merken er niets van.
- Kijk of de app een account eist. Een serverdienst vraagt daar vrijwel altijd om. Fieldnoter heeft geen account.
- Controleer het App Store-privacylabel. "Geen gegevens verzameld" wordt door Apple getoetst.
Eén eerlijke kanttekening bij elke app op het toestel, ook de onze: bij de eerste installatie wordt het spraakmodel eenmalig gedownload. Daarna werkt alles offline. "Raakt nooit het internet" zou dus een onjuiste claim zijn; "verwerkt alle audio op het toestel" is de juiste. Wil je FG of IT-team alle details? Die staan in de technische factsheet, inclusief controlestappen die ze zelf kunnen uitvoeren.
Veelgestelde vragen
Is notuleren met AI verboden onder de AVG?
Nee. De AVG verbiedt geen technologie. Het draait om de vraag of de verwerking van persoonsgegevens een grondslag heeft, of deelnemers geïnformeerd zijn en of de gegevens zorgvuldig worden verwerkt en bewaard. Bij een clouddienst komt daar de relatie met de aanbieder bij, bij verwerking op het toestel grotendeels niet. Dit is algemene informatie, geen juridisch advies.
Is een app die op het toestel werkt automatisch AVG-proof?
Nee. Verwerking op het toestel neemt een categorie vragen weg, zoals de verwerkersovereenkomst voor de audio en de doorgifte-toets. Je eigen verplichtingen blijven volledig staan: een grondslag voor de opname, geïnformeerde deelnemers en een bewaartermijn die je ook naleeft.
Heb ik toestemming van alle deelnemers nodig om op te nemen?
Informeer deelnemers in elk geval vooraf, dat volgt uit de transparantieplicht van de AVG. Of daarnaast expliciete toestemming nodig is hangt af van de context en de grondslag die je organisatie kiest. Veel organisaties leggen dit vast in een opnamebeleid. Twijfel je, vraag het dan aan je functionaris gegevensbescherming.
Wat is het probleem met Amerikaanse notuleerdiensten?
Amerikaanse aanbieders vallen onder Amerikaanse wetgeving zoals de CLOUD Act, die autoriteiten toegang kan geven tot data die de aanbieder beheert, ook als die data fysiek in de EU staat. Dat maakt de doorgifte-toets lastig en de uitkomst onzeker. Het is een belangrijke reden waarom organisaties deze tools blokkeren.
Hoe toon ik aan de FG aan dat een app geen audio verstuurt?
Met de vliegtuigmodus-test: zet het toestel in vliegtuigmodus en maak een opname met transcriptie. Werkt dat gewoon, dan is er geen server nodig voor de verwerking. Het is de test die we zelf het liefst op onze eigen app zien uitgevoerd. Combineer hem met het App Store-privacylabel Geen gegevens verzameld, een claim die Apple toetst.
We hebben Fieldnoter gebouwd omdat we vinden dat vertrouwelijke gesprekken zo verwerkt horen te worden: transcriptie, sprekerherkenning en samenvatting op je iPhone, zonder dat er audio wordt geüpload. Je eigen AVG-huiswerk blijft staan. Wat de toestelroute wel doet, is de derde partij uit de keten halen, en daarmee een categorie vragen die je anders zelf moet beantwoorden. Welke route je ook kiest, doe de vliegtuigmodus-test voordat je een tool op zijn woord gelooft.
Bekijk Fieldnoter