Wat AI-tools niet voor je regelen: hosting, privacy en AVG

AI-bouwers regelen verrassend veel voor je. Ze regelen alleen bijna niets van wat de Nederlandse en Europese wet van je vraagt, en dat is logisch: het zijn overwegend Amerikaanse producten waarvoor de AVG een randgeval is. Voor jou is het dat niet, want jij bent degene die verantwoordelijk is.

Dit stuk gaat niet over boetes en angst. Het gaat over de vier dingen die je zelf moet regelen, en hoe je die in een middag afvinkt.

1⁠ Je cookiebanner klopt waarschijnlijk niet

De standaardbanner die uit een AI-tool rolt heeft meestal één knop: akkoord. Dat mag niet. Weigeren moet net zo makkelijk zijn als accepteren: één klik, even zichtbaar, op hetzelfde scherm. Een banner met alleen "OK", of waar weigeren drie schermen diep verstopt zit, voldoet niet.

Belangrijker nog: er mag niets laden vóór de toestemming. Analytics, ingesloten video’s, een chatwidget, lettertypen van een externe server: die horen allemaal pas te starten nadat iemand ja heeft gezegd. In de praktijk staat op de meeste AI-sites de analytics gewoon meteen aan.

2⁠ Je weet niet waar je gegevens staan

AI-platforms zetten je database standaard vaak in een Amerikaanse regio, simpelweg omdat dat de standaard is. Voor persoonsgegevens van Europese klanten is dat niet verboden, maar er gelden wel aanvullende eisen. En het is bijna altijd te vermijden: de meeste diensten bieden gewoon een Europese regio aan, je moet hem alleen kiezen.

De vervelende kant: de regio kiezen kan meestal alleen bij het aanmaken. Sta je er al, dan is verhuizen een migratie. Reden te meer om dit te controleren voordat je site groeit.

3⁠ Je hebt geen verwerkersovereenkomst

Zodra een andere partij persoonsgegevens voor jou verwerkt (je hostingpartij, je maildienst, je database-leverancier) moet je daar afspraken mee vastleggen. Dat heet een verwerkersovereenkomst en het is geen formaliteit die je kunt overslaan.

Het goede nieuws is dat het meestal niet moeilijk is. Serieuze aanbieders hebben een standaardovereenkomst die je in je account kunt accepteren of downloaden. Je moet het alleen dóén, en weten met welke partijen. Maak een lijstje van iedereen die iets van je klanten te zien krijgt; dat is vaak langer dan je dacht.

4⁠ Je privacyverklaring beschrijft niet wat je doet

Een gegenereerde privacyverklaring beschrijft een gemiddeld bedrijf, niet het jouwe. Vaak staan er diensten in die je niet gebruikt, en ontbreken de diensten die je wel gebruikt. Soms is hij zichtbaar op Amerikaanse wetgeving gebaseerd.

Loop hem één keer serieus door met je lijstje uit het vorige punt ernaast. Klopt wat er staat? Staat erin welke gegevens je verzamelt, waarom, hoe lang je ze bewaart en bij wie ze terechtkomen? Dat is geen juridisch huzarenstukje, dat is opschrijven wat je feitelijk doet.

En hosting: waar draait dit eigenlijk?

Los van privacy is er een praktische vraag die zelden gesteld wordt: waar staat je site en wie kan erbij? Bij een AI-platform draait je site op hun infrastructuur, onder hun account. Dat werkt prima tot het moment waarop je het zelf wil beheren, of tot het platform zijn voorwaarden of prijzen verandert.

Vier vragen die je in tien minuten beantwoordt, en die je een hoop ellende besparen op het moment dat je wil verhuizen. Kun je er drie niet beantwoorden, dan is dat op zichzelf al het antwoord. Wil je dit liever uit handen geven, kijk dan naar onderhoud en hosting.