Vanaf 2 augustus 2026 gelden nieuwe verplichtingen voor bedrijven die een AI-chatbot AVG-compliant willen inzetten op hun website. Twee wetten spelen daarin samen: de AVG, die al langer van kracht is, en de EU AI Act, die gefaseerd wordt ingevoerd. Voor de meeste MKB'ers valt het mee wat er concreet moet veranderen, maar niets doen is geen optie. Dit artikel legt rustig uit wat er speelt, welke categorie voor jouw chatbot geldt en welke stappen je zet om je chatbot privacy op je website goed te regelen.
Wat de EU AI Act voor chatbots op je website betekent
De EU AI Act werkt met een risicogebaseerde aanpak. De Autoriteit Persoonsgegevens legt uit dat chatbots doorgaans vallen onder de categorie "beperkt risico": systemen die zijn bedoeld om met mensen te communiceren. Voor die categorie gelden transparantieverplichtingen, die vanaf augustus 2026 van kracht worden.
De zware verplichtingen, zoals audits en technische dossiers, zijn voorbehouden aan hoog-risico toepassingen zoals AI in werving of kredietverlening. Voor de meeste commerciële chatbots gelden die niet. De EU AI Act MKB-uitleg is daarin helder: ook wie de technologie niet zelf bouwt, valt eronder zodra AI in klantcontact wordt ingezet.
Een AI-chatbot GDPR compliant instellen: vier concrete stappen
Dit zijn de acties die voor vrijwel elk MKB-bedrijf met een AI-chatbot op de website relevant zijn:
- Transparantiemelding: Zorg dat bezoekers direct weten dat ze met een AI communiceren, niet met een medewerker. Een korte zin boven het chatvenster of in de openingsboodschap volstaat. Dit is de eenvoudigste, maar ook de meest zichtbare verplichting van de AI-wet chatbot website-regels.
- Doorverwijzing naar een mens: Organisaties moeten altijd de optie bieden om met een medewerker te spreken. Een chatbot die bij complexe vragen doorverwijst, is niet alleen klantvriendelijk, het is straks ook een wettelijke eis.
- Verwerkersovereenkomst: Controleer of je chatbot-leverancier een data processing agreement (DPA) aanbiedt en teken die. Verwerk je persoonsgegevens via de chatbot, dan is dit een bestaande AVG-verplichting die nu ook door de AI-wet wordt bevestigd.
- Datalocatie: Verwerk chatgesprekken bij voorkeur binnen de EU. Data die naar servers buiten Europa gaat, brengt risico's mee onder zowel de AVG als de AI-wet. Kies een leverancier die transparant is over waar data wordt opgeslagen en verwerkt.
AVG en AI Act: twee wetten, één aanpak
Wie zijn AVG-huiswerk al heeft gedaan, heeft een goede basis. Het extra werk voor augustus 2026 beperkt zich voor de meeste MKB-bedrijven tot drie dingen: de transparantiemelding toevoegen, de menselijke fallback inrichten en de leverancier controleren op compliance.
Toch zijn er twee valkuilen. De eerste: ervan uitgaan dat jouw chatbot-platform dit automatisch goed heeft geregeld. Controleer het zelf. De tweede: denken dat dit alleen voor grote bedrijven geldt. Een chatbot bouwen met compliance als uitgangspunt is daarmee geen luxe, maar een praktisch vertrekpunt.
Wat je chatbot-leverancier moet kunnen aantonen
Niet elke leverancier is klaar voor augustus 2026. Stel je aanbieder de volgende vragen:
- Datalocatie: Worden gespreksdata en persoonsgegevens binnen de EU verwerkt en opgeslagen?
- DPA beschikbaar: Biedt de leverancier een verwerkersovereenkomst aan die AVG-conform is?
- Modelinformatie: Is duidelijk welk AI-model de chatbot aandrijft en hoe dat model is getraind?
- Geen modeltraining op jouw data: Worden jouw klantgesprekken gebruikt om het model te verbeteren? Dat mag niet zonder expliciete toestemming.
Als je leverancier op een of meer van deze punten geen helder antwoord geeft, is dat een signaal. Bij Tikt draaien AI-systemen op maat volledig EU-gehost, waardoor data in Nederland blijft en AVG-compliance standaard is ingebakken, niet achteraf toegevoegd.
Wat je vandaag al kunt doen
Een AI-chatbot AVG-compliant maken hoeft niet ingewikkeld te zijn. Begin met een eenvoudig overzicht: welke chatbot gebruik je, welke data verwerkt die, waar gaat die data naartoe en staat er een transparantiemelding bij het chatvenster? Dat overzicht geeft je grip en is ook het begin van het AI-register dat de wet vraagt.
Wie wil weten hoe een succesvolle AI-implementatie eruitziet voordat je de stap naar een chatbot zet, vindt daar een helder startpunt.
Een chatbot die open is over wat hij is, die doorverwijst als het nodig is en waarvan de data in Europa blijft: dat is geen compliance-exercise, dat is gewoon goed klantcontact.
Conclusie
Vóór 2 augustus 2026 zijn er voor de meeste MKB-chatbots vier dingen nodig: een transparantiemelding, een menselijke fallback, een getekende verwerkersovereenkomst en een leverancier die data in de EU houdt. Niet alles hoeft tegelijk, maar starten loont. Wil je weten hoe jouw chatbot of ander AI-systeem er op dit moment voor staat? Neem contact op voor een korte verkenning zonder verplichtingen.
Veelgestelde vragen
Geldt de EU AI Act ook voor mijn kleine bedrijf met een eenvoudige chatbot?
Ja. De EU AI Act geldt voor iedereen die AI inzet in klantcontact, ook als je de technologie niet zelf hebt gebouwd. Een gewone klantenservice-chatbot valt onder de categorie beperkt risico. De verplichtingen zijn beheersbaar: een transparantiemelding en een correcte verwerkersovereenkomst zijn de belangrijkste stappen.
Wat is het verschil tussen de AVG en de EU AI Act voor mijn chatbot?
De AVG regelt hoe je omgaat met persoonsgegevens: welke data je verzamelt, hoe lang je die bewaart en welke rechten bezoekers hebben. De EU AI Act voegt transparantie-eisen toe: bezoekers moeten weten dat ze met een AI-systeem communiceren. Beide wetten overlappen gedeeltelijk, wat betekent dat wie zijn AVG-huiswerk heeft gedaan al een goede basis heeft.
Moet ik iets aanpassen aan de chatbot zelf, of alleen aan de tekst eromheen?
Beide, afhankelijk van je huidige situatie. De transparantiemelding is tekstueel en snel geregeld. De menselijke fallback, de mogelijkheid om door te verbinden naar een medewerker, vraagt mogelijk een aanpassing in de instellingen van je chatbot. Controleer ook de leverancier op datalocatie en verwerkersovereenkomst.
Wat zijn de risico's als ik niets doe voor augustus 2026?
De Autoriteit Persoonsgegevens heeft aangegeven actief te handhaven op de AI Act. Bij overtredingen in de categorie beperkt risico gaat het doorgaans eerst om een onderzoek en verplichte maatregelen, niet direct om hoge boetes. Toch is tijdig handelen slim: steeds vaker vragen ook zakelijke opdrachtgevers bewijs van AI-compliance.
Kan ik mijn bestaande chatbot aanpassen of moet ik opnieuw beginnen?
In de meeste gevallen kun je je bestaande chatbot aanpassen. Voeg een transparantiemelding toe, richt een doorverwijzing naar een medewerker in en controleer de instellingen bij je leverancier. Pas als je leverancier geen DPA biedt of data buiten de EU verwerkt zonder geldige grondslag, is overstappen de logische stap.