Deze pagina zet drie lagen op een rij die je uit elkaar moet houden, en tien vragen voor je leverancier. Ze gaan over waar jullie klantgesprekken draaien, waar ze bewaard blijven en wie ze verwerkt. Geschreven voor wie zonder juridische achtergrond een klantenservicetool kiest of moet verantwoorden.
De eerste vraag bij de aankoop van een supporttool is veranderd. Vroeger keek je naar functies: formulieren, een koppeling met jullie webshop, het uitzicht van de inbox. Daar is een vraag bij gekomen die veel moeilijker te beantwoorden valt: waar komen jullie klantgesprekken terecht, en wie krijgt ze te zien.
Het antwoord staat zelden op één plek: een productpagina zegt iets over hosting, een securitypagina iets over versleuteling, en over de verwerking van de gesprekstekst zelf staat vaak niets. Ondertussen moet iemand bij jullie de keuze uitleggen aan een klant of een collega. Hieronder vind je drie lagen die vaak op één hoop belanden, met de vragen die bij elke laag horen.
"Gehost in de EU" klinkt als één feit. Er zitten drie afzonderlijke vragen onder, en een leverancier kan op de eerste volmondig ja antwoorden terwijl de andere twee open blijven.
Op deze laag draait de software zelf: de servers die de schermen tonen en de logica uitvoeren. Hier krijg je het snelst een antwoord op, want het staat meestal in het contract. Het zegt het minst over waar de inhoud van een gesprek belandt.
Hier gaat het over waar gespreksinhoud blijft staan: berichten, bijlagen, back-ups, exports en logbestanden. Bijlagen zitten vaak in een aparte objectopslag, back-ups in een tweede regio, logs bij een monitoringdienst. "Onze databank staat in Frankfurt" dekt maar een deel van deze laag.
Zodra er AI in het spel is, gaat de letterlijke tekst van het gesprek naar een modelprovider. Die is meestal een ander bedrijf dan je leverancier, met een eigen jurisdictie. Kopers vragen hier bijna nooit naar, terwijl net hier de volledige klantvraag passeert.
Denk aan een kantoor in Brussel waarvan de post elke avond over de grens gaat en de dag erna terugkomt. Het adres op de gevel klopt, en zegt niets over de route die je brieven afleggen.
Een leverancier kan volkomen eerlijk zeggen dat zijn software in de EU draait, terwijl elk klantbericht via een modelprovider buiten Europa loopt. Het antwoord klopt en is toch onvolledig, omdat de vraag te grof gesteld is.
Neem deze lijst mee naar een leveranciersgesprek en loop ze vraag per vraag af, ook de punten waarop je geen sluitend antwoord verwacht.
De vinkjes blijven lokaal in deze browser staan, er wordt niets verstuurd.
Alle andere antwoorden steunen op dit ene. Vraag door tot je een land en een naam hoort, en of er een uitwijkregio elders ligt.
AlarmbelWie het bij "Europese infrastructuur" houdt zonder land of partij te noemen, heeft dat antwoord waarschijnlijk zelf nooit opgevraagd.
#1Een factuur of schermafbeelding van een klant volgt vaak een ander pad dan de berichten. Vraag het per soort: berichten, bijlagen, back-ups en logs.
AlarmbelAls het antwoord alleen over de databank gaat, is de rest van de opslag simpelweg nog niet in kaart gebracht.
#2Bij een AI-assistent gaat de letterlijke klantvraag naar een model toe. Vraag welke provider dat is, in welke regio het draait, en of dat kan veranderen zonder dat jullie het horen.
AlarmbelEen leverancier die de naam van zijn modelprovider niet wil of kan geven, kan ook niet uitleggen waar jullie gesprekken heen gaan.
#3Trainen op klantdata is iets anders dan ze verwerken om te antwoorden. Het speelt bij de leverancier en bij zijn modelprovider, dus vraag naar allebei apart.
Alarmbel"Wij trainen niet op klantdata" zonder één woord over de modelprovider dekt hooguit de helft van de keten.
#4Een gesprek, een bijlage, een back-up en een logbestand hebben elk hun eigen bewaarklok. Vraag of jullie die zelf instellen en of verwijderen ook de back-ups raakt.
AlarmbelWie geen concrete termijn kan noemen, bewaart in de praktijk alles voor onbepaalde duur.
#5Achter één tool zitten een hostingpartij, een mailverzender, een monitoringdienst en een modelprovider. Vraag waar die lijst staat en hoelang op voorhand een nieuwe naam gemeld wordt.
AlarmbelEen lijst die je alleen op aanvraag krijgt, verandert ook zonder dat je het merkt.
#6Een verwerkersovereenkomst hoort standaard klaar te liggen, zonder dat je erover moet onderhandelen. Gaat er data buiten de EU, vraag dan welke waarborgen daarvoor gelden.
AlarmbelAls de overeenkomst pas na het tekenen van het contract opduikt, is ze niet gemaakt voor vragen als de jouwe.
#7Voor support en foutopsporing heeft er meestal iemand toegang tot echte gesprekken, en dat is normaal. Vraag welke rollen dat zijn en wie het logboek kan opvragen.
AlarmbelAls niemand kan zeggen of die toegang gelogd wordt, bestaat het logboek niet.
#8Dit is deels wat je klant verwacht en deels iets wat je sowieso moet uitleggen. Vraag waar het in het chatvenster staat en of je het kunt aanpassen.
AlarmbelAls de vermelding alleen in de documentatie staat en niet in het venster van de klant, heeft je klant ze nooit gezien.
#9Een export zonder bijlagen, statussen en kennisbank laat je met een halve geschiedenis achter. Vraag wat erin zit en wat er na opzeg met de data gebeurt.
AlarmbelEen export die alleen via een supportticket kan lopen, hangt af van de goodwill van je leverancier op het moment dat je vertrekt.
#10De AI Act veroorzaakt bij kleine teams vaak meer onrust dan het onderwerp verdient. Een supportassistent die klantvragen beantwoordt en bij twijfel naar een medewerker escaleert, valt doorgaans buiten de categorie hoog-risicosystemen waarvoor de strengste regels gelden. Die categorie lijkt vooral te mikken op toepassingen met directe impact op iemands rechten of kansen. Zoek dus eerst uit hoe jullie de assistent echt gebruiken, voor je dat regime op jullie toepast.
Wat wel voor zowat iedereen geldt, is dat je duidelijk moet zijn tegenover de persoon aan de andere kant. Wie met een AI-systeem chat, hoort dat te weten zonder dat hij het moet raden. Dat kun je vandaag al nagaan: staat de vermelding er, op het juiste moment, en blijft ze staan als je de widget aanpast. Vraag je leverancier hoe dat getoond wordt.
De timing verschilt per verplichting en de praktische uitwerking is nog bezig. Toezichthouders publiceren richtsnoeren die makkelijker lezen dan de wettekst, dus begin daar en leg jullie situatie voor aan een jurist die jullie zaak kent. Houd er ook rekening mee dat de GDPR blijft gelden, en dat de meeste vragen hierboven daar al uit voortkomen.
Deze pagina is algemene informatie en geen juridisch advies.
Op een dag stelt een klant de vraag rechtstreeks aan je supportmedewerker, en die heeft geen half uur om het antwoord uit te zoeken. Het helpt als iedereen dezelfde drie dingen in gewone woorden kan benoemen: waar de software draait, waar de gesprekken bewaard blijven, en welk AI-systeem de tekst leest.
Wat zo'n gesprek redt, is toegeven waar je kennis ophoudt. Een medewerker mag zeggen dat hij de eerste twee punten kent en het derde gaat navragen. Zeg er dan bij wie het uitzoekt en tegen wanneer. Een klant die een datum krijgt, wacht af. Wie een vaag geruststellend antwoord krijgt, stelt dezelfde vraag later aan iemand anders.
"Geen zorgen, dat is volledig GDPR-compliant." Het klinkt als een antwoord, het benoemt geen plaats en geen partij, en valt bij de eerste doorvraag uit elkaar.
"Onze helpdesk draait bij een Europese hostingpartij en de gesprekken blijven daar bewaard. Welk AI-model de berichten verwerkt, weet ik niet uit het hoofd. Ik vraag het na en kom er morgen op terug."
De eerlijke versie kost je één navraag en een dag geduld. De zelfverzekerde versie kost je het vertrouwen van wie later ontdekt dat het antwoord niet klopte.
Datalocatie is zelden één feit. Het gesprek wordt pas bruikbaar zodra je de drie lagen apart benoemt en per laag om een naam en een land vraagt. De tien vragen hierboven werken bij elke leverancier, ook bij eentje die al jaren bij jullie draait.
Sarrai is een Europese helpdeskassistent. Dezelfde tien vragen gelden ook voor Sarrai, en je hoort dat antwoord te krijgen zonder dat je erop moet aandringen.
https://sarrai.be/bronnen/eu-datalocatie-checklist
