Elke AI-vergaderassistent heeft een privacyprobleem dat de meeste andere AI-tools niet hebben: hij verwerkt de woorden van mensen die nooit voor die tool hebben gekozen. De potentiële klant in een verkoopgesprek, de kandidaat tijdens een sollicitatiegesprek of de externe partner bij een projectbespreking heeft niet ingestemd met de voorwaarden van de aanbieder. Toch komen hun stemmen, uitspraken en vaak ook persoonlijke gegevens terecht in een transcript, een samenvatting en mogelijk een taalmodel van een derde partij.
De inhoud van die gesprekken maakt de risico’s nog groter. Het gaat regelmatig over contractvoorwaarden, salarisbesluiten, aanpassingen vanwege gezondheidsproblemen of strategische plannen. Zulke informatie heeft juridisch en voor de reputatie veel meer gewicht dan een doorsnee chatbotprompt. Nu vergaderassistenten een standaardhulpmiddel zijn geworden voor Europese verkoop-, HR- en projectteams, krijgen functionarissen voor gegevensbescherming hier regelmatig vragen over.
Deze gids legt uit wat “Europees” in deze categorie daadwerkelijk garandeert, welke juridische vragen vóór een vergelijking van aanbieders komen en hoe je kiest tussen Europese en niet-Europese tools. Je vindt hier geen ranglijst van aanbieders: hun verwerkingsketens veranderen te vaak om een vaste lijst betrouwbaar te houden.
Wat doet een AI-vergaderassistent eigenlijk?
Een AI-vergaderassistent combineert meestal vier functies: live transcriptie van gesproken audio, het onderscheiden van sprekers, automatische samenvattingen en het vastleggen van actiepunten of besluiten. Veel tools koppelen ook met agenda’s en projectmanagementsystemen, nemen automatisch via een bot deel aan gesprekken en sturen samenvattingen door naar andere software.
Voor gegevensbescherming is vooral de stap tussen transcriptie en samenvatting belangrijk. Transcriptie zet audio om in tekst en kan volledig draaien op infrastructuur die de aanbieder zelf beheert, met spraakherkenningsmodellen die in een bepaald rechtsgebied worden gehost. Samenvatten werkt anders. De meeste aanbieders sturen het transcript, soms ook de audio, via een API naar een groot taalmodel (LLM) van een ander bedrijf. Op dat moment verlaat de gespreksinhoud de systemen van de assistent en komt die terecht op de infrastructuur van een tweede aanbieder.
Waar die tweede aanbieder is gevestigd en waar zijn servers staan, bepaalt welke juridische vragen spelen. Daarom horen herkomst en hosting bij een zorgvuldige controle en zijn het geen marketingdetails.
Waarom “Europees” juist bij vergaderassistenten belangrijk is
Vergaderingen bevatten bijna altijd persoonsgegevens van mensen die zelf geen klant van de software zijn. Een verkoopgesprek bevat uitspraken van een potentiële klant, een sollicitatiegesprek antwoorden van een kandidaat en een ondernemingsraadvergadering standpunten van medewerkers over gevoelige onderwerpen. Volgens de AVG is de organisatie die de vergadering houdt de verwerkingsverantwoordelijke. Die verantwoordelijkheid blijft bij de organisatie, ongeacht welke tool het gesprek vastlegt.
De hostinglocatie is belangrijk vanwege de regels voor gegevensdoorgifte. Als audio of transcripten buiten de EU/EER worden verwerkt, is voor de doorgifte een grondslag nodig onder hoofdstuk V van de AVG. Voor de Verenigde Staten zijn twee routes gebruikelijk. Sinds juli 2023 kunnen doorgiften aan Amerikaanse bedrijven die zijn gecertificeerd onder het EU–US Data Privacy Framework (DPF) steunen op het adequaatheidsbesluit van de Europese Commissie. Je kunt de certificering controleren in de officiële DPF-lijst. Voor Amerikaanse ontvangers zonder certificering blijven standaardcontractbepalingen (SCC’s), gecombineerd met een beoordeling van de gevolgen van de doorgifte, de gebruikelijke route. Veel aanbieders gebruiken beide en houden de SCC’s achter de hand: de voorganger van het DPF, het Privacy Shield, werd in 2020 ongeldig verklaard door het Hof van Justitie van de EU.
Geen van beide mechanismen verandert de toegangsmogelijkheden van de Amerikaanse overheid. Onder de CLOUD Act kan een Amerikaanse aanbieder worden verplicht gegevens af te staan die hij bezit, bewaart of beheert, ook als die in Frankfurt of Dublin zijn opgeslagen. Dat geldt voor de aanbieder zelf en elke Amerikaanse subverwerker in de keten, inclusief de LLM-aanbieder die de samenvatting schrijft.
Marketingtaal vervaagt vaak drie verschillende garanties:
- Europese leverancier: het bedrijf heeft zijn juridische hoofdkantoor in de EU/EER, maar kan gegevens nog steeds via subverwerkers buiten de EU of LLM-API’s verwerken.
- EU-gehost: de primaire infrastructuur (servers en opslag) staat in de EU, ongeacht waar het bedrijf is gevestigd.
- Verwerking uitsluitend binnen de EU: persoonsgegevens verlaten op geen enkel moment de EU-infrastructuur, ook niet bij aanvragen aan een LLM van derden voor samenvattingen.
Alleen verwerking die volledig binnen de EU blijft, houdt vergadergegevens van begin tot eind op EU-infrastructuur. De eerste twee kenmerken zijn nuttige signalen, maar zeggen op zichzelf niet waar een transcript terechtkomt wanneer het wordt samengevat.
Toestemming voor opname komt vóór de keuze van de aanbieder
Welke tool je team ook kiest, de opname zelf heeft een juridische grondslag nodig. In Duitsland is het zonder toestemming opnemen van het niet-openbaar gesproken woord strafbaar volgens § 201 van het Strafgesetzbuch (StGB). Een vergaderbot die ongemerkt deelneemt en opneemt, vormt dus een juridisch risico voor degene die hem inzet, geen klein compliance-detail. Andere EU-landen hebben eigen regels voor gespreksopnames. De AVG vereist daarnaast een rechtsgrond en duidelijke informatie voor alle deelnemers.
In de praktijk betekent dit dat je de assistent aan het begin van elke vergadering aankondigt, de bot zichtbaar houdt in de deelnemerslijst, deelnemers eenvoudig bezwaar laat maken en vastlegt hoe toestemming of een andere rechtsgrond wordt geregeld. Let extra op tools die automatisch deelnemen via agendatoegang: die kunnen terechtkomen in vergaderingen die niemand wilde opnemen.
Bij interne vergaderingen in Duitse bedrijven heeft ook de ondernemingsraad inspraak. § 87 lid 1, punt 6 van het Betriebsverfassungsgesetz (BetrVG) geeft medezeggenschapsrechten bij technische systemen die de prestaties of het gedrag van medewerkers kunnen controleren. Een tool die elke uitspraak aan een spreker met naam koppelt, valt in die categorie.
Europese AI-vergaderassistenten versus Amerikaanse alternatieven: vergelijkingscriteria
De tabel hieronder vergelijkt de structurele kenmerken die typisch zijn voor tools van beide herkomsten, met daarnaast de vraag die je per aanbieder moet beantwoorden. De rechterkolom weegt het zwaarst: patronen veranderen als aanbieders een andere LLM kiezen of EU-regio’s toevoegen, terwijl het contract hen bindt.
| Criterium | Typisch patroon: Europese tools | Typisch patroon: Amerikaanse tools met een EU-hostingoptie | Wat moet je controleren? |
|---|---|---|---|
| Rechtspersoon / rechtsgebied | Gevestigd in een EU/EER-lidstaat; doorgaans buiten de directe reikwijdte van de CLOUD Act | Amerikaanse moedermaatschappij, vaak met een EU-dochter als contractpartij; de moeder blijft onderworpen aan Amerikaanse juridische procedures | Welke rechtspersoon de verwerkersovereenkomst ondertekent en welk bedrijf die controleert |
| Primaire locatie voor gegevensverwerking | In de meeste gevallen standaard in de EU | EU-dataregio beschikbaar, soms alleen in duurdere abonnementen | Waar audio, transcripten en back-ups worden opgeslagen, als contractuele toezegging en niet alleen als instelling |
| Onderliggend LLM voor samenvatting | Modellen die in de EU worden gehost of een Amerikaanse LLM-API; beide varianten komen voor | Meestal een API van een grote Amerikaanse aanbieder van basismodellen | Welke LLM-aanbieder transcripten verwerkt, in welke regio en of hij de gegevens voor training mag gebruiken |
| Doorgiftemechanisme | Niet nodig zolang de verwerking binnen de EU/EER blijft | DPF-certificering, SCC’s of beide | Certificeringsstatus in de officiële DPF-lijst; SCC’s opgenomen in de verwerkersovereenkomst |
| Contractuele transparantie (verwerkersovereenkomst en lijst van subverwerkers) | Hangt sterk af van de omvang en volwassenheid van het bedrijf | Grotere aanbieders publiceren meestal uitgebreide lijsten van subverwerkers | Een volledige, actuele lijst van subverwerkers die de LLM-aanbieder noemt |
Een Europese aanbieder die transcripten naar een Amerikaanse LLM-API stuurt, krijgt dezelfde doorgiftevraag als een Amerikaanse aanbieder, maar één stap verder in de keten. Daarom zegt de LLM-rij meestal meer dan de rij over de rechtspersoon. De bindende bronnen zijn de actuele verwerkersovereenkomst en lijst van subverwerkers van de aanbieder, niet de marketingpagina.
Wanneer is een Europese AI-vergaderassistent de betere keuze?
Een Europese aanbieder met verwerking die volledig binnen de EU blijft, is in deze situaties de sterkere keuze:
- Advocatenkantoren, waar de geheimhoudingsplicht tegenover cliënten ook geldt voor tools die met zaakbesprekingen in aanraking komen.
- Organisaties met een link met de gezondheidszorg, waar vergaderingen ook buiten officiële medische dossiers informatie over patiënten of gezondheid kunnen bevatten.
- HR-afdelingen en ondernemingsraden, waar privacyrechten van medewerkers en medezeggenschapsafspraken direct van toepassing zijn.
- Overheidsinstanties, waarvoor in veel EU-lidstaten inkoopregels gelden die verwerking in de EU verkiezen of vereisen.
- Organisaties die alleen EU-aanbieders toestaan, waar die keuze al op bestuursniveau is gemaakt.
Buiten deze situaties is het LLM dat de samenvatting maakt belangrijker dan de nationaliteit van de aanbieder. Een Europees bedrijf dat transcripten zonder contractuele waarborgen via een LLM-API buiten de EU verwerkt, biedt minder bescherming dan een DPF-gecertificeerde Amerikaanse aanbieder met een ingestelde EU-dataregio en een solide verwerkersovereenkomst volgens artikel 28 van de AVG.
Voordat een tool wordt gekozen, moet een gedocumenteerde evaluatie het volgende bevestigen:
- waar audio wordt verwerkt, opgeslagen en geback-upt;
- of het LLM voor samenvattingen in de EU wordt gehost of via een externe API draait, en in welke regio;
- of een volledige, actuele lijst van subverwerkers is gepubliceerd of op aanvraag beschikbaar is;
- of bewaartermijnen en verwijderingstermijnen kunnen worden aangepast aan het beleid van de organisatie;
- of de tool emoties, stemming of betrokkenheid beoordeelt op basis van de stemmen van deelnemers en of je dat kunt uitschakelen, aangezien zulke functies op de werkplek verboden zijn onder de EU AI-verordening;
- hoe de tool zich bij deelnemers aankondigt en of automatisch deelnemen kan worden beperkt;
- of een ondertekende, aan artikel 28 van de AVG conforme gegevensverwerkingsovereenkomst beschikbaar is vóór de onboarding, en niet pas erna.
Wanneer een niet-Europese tool toch zinvol is
Een DPF-gecertificeerde Amerikaanse tool met een EU-dataregio kan een passende keuze zijn voor interne vergaderingen met weinig gevoelige inhoud, zoals teamstand-ups of brainstormsessies zonder gegevens van derden of bijzondere categorieën persoonsgegevens. Dat geldt ook voor organisaties die al sterk op Microsoft of Google leunen, of teams die taalondersteuning en volwassen functies nodig hebben die kleinere Europese aanbieders nog niet bieden. Je weegt de werkelijke gespreksinhoud af tegen de waarborgen van de aanbieder. De blootstelling aan de CLOUD Act blijft bestaan. Bij weinig gevoelige inhoud kunnen organisaties dit redelijkerwijs als gedocumenteerd restrisico aanvaarden.
De vergelijking met andere Europese AI-tools
Bij het beoordelen van vergaderassistenten kom je vragen tegen die ook spelen bij andere keuzes voor Europese software die B2B-teams vaak tegelijk maken. Europese AI-schrijftools roepen dezelfde kernvraag op: waar draait het LLM en wat gebeurt er met de ingevoerde tekst? Ze verwerken wel minder persoonsgegevens van derden, omdat ze vooral teksten van de gebruikers zelf verwerken en geen uitspraken van externe deelnemers.
Controleer eerst het videoconferentieplatform: sommige assistenten zijn rechtstreeks gekoppeld via de API van het platform, terwijl andere als externe bot deelnemen. Die keuze beïnvloedt de betrouwbaarheid, hoe zichtbaar de opname voor deelnemers is en welke gegevens het platform zelf met de assistent deelt.
Na de vergadering komen samenvattingen en actiepunten meestal terecht in een CRM- of projectmanagementsysteem. Opnames belanden vaak in cloudopslag. CRM-alternatieven uit Europa zijn een nuttig vertrekpunt voor teams die bepalen waar samenvattingen van verkoopgesprekken terechtkomen. De EU-checklist voor cloudopslag behandelt dezelfde vragen over datalocaties voor gearchiveerde opnames en transcripten. Voor projectmanagementtools geldt een vergelijkbare aanpak. Teams die hun verplichtingen onder de EU AI-verordening voor deze AI-ondersteunde processen beoordelen, kunnen gebruikmaken van een beoordelingskader voor naleving van de EU AI-verordening.
Veelgestelde vragen over AI-vergaderassistenten in Europa
Is een Europese AI-vergaderassistent automatisch AVG-conform?
Nee. Naleving van de AVG hangt af van hoe gegevens worden verwerkt, opgeslagen en beveiligd, en van hoe de organisatie deelnemers informeert. Ook een Europese aanbieder kan tekortschieten als een goede verwerkersovereenkomst ontbreekt, subverwerkers niet bekend worden gemaakt of gegevens langer dan nodig worden bewaard.
Lost een DPF-gecertificeerde Amerikaanse aanbieder de doorgiftevraag op?
De certificering biedt een geldige rechtsgrond voor doorgifte aan die aanbieder zolang ze actief is. Ze neemt de blootstelling aan de CLOUD Act niet weg en dekt alleen subverwerkers die zelf gecertificeerd zijn of aan SCC’s gebonden zijn. SCC’s als vangnet in de verwerkersovereenkomst beschermen tegen een toekomstige uitspraak die het framework ongeldig verklaart.
Moeten vergaderassistenten voldoen aan de EU AI-verordening?
Dat hangt af van de functies. Emoties van medewerkers afleiden uit hun stem, soms verkocht als stemmings- of betrokkenheidsanalyse, valt onder het verbod op emotieherkenning op de werkplek in artikel 5. Dit geldt sinds februari 2025, met beperkte uitzonderingen voor medische en veiligheidsdoeleinden. Gewone transcriptie en samenvatting zijn niet verboden. Organisaties moeten wel vastleggen welke functies actief zijn. Raadpleeg de richtlijnen voor softwarecompliance met de EU AI-verordening voor een uitgebreid beoordelingskader.
Kunnen vergaderingsopnames worden verwerkt zonder de audio naar een externe LLM-provider te sturen?
Ja, als de aanbieder eigen modellen voor spraakherkenning en samenvatting draait op infrastructuur die hij zelf beheert. Vraag om een schriftelijke bevestiging, want veel aanbieders, ook Europese, gebruiken API’s van derden voor de samenvatting.
Wat moet er gecontroleerd worden voordat een vergaderassistent toegang krijgt tot een agenda?
Controleer welke rechten worden gevraagd, alleen lezen of volledige toegang, of de tool automatisch aan elke vergadering deelneemt of alleen op uitnodiging, en wat er met agenda-metadata gebeurt. Namen van deelnemers en vergaderonderwerpen zijn op zichzelf al persoonsgegevens, ook zonder opname.
Worden opnames na verwerking automatisch verwijderd?
Dat hangt af van de aanbieder en het abonnement. Sommige bieden instelbare bewaartermijnen of automatische verwijdering na een bepaalde tijd. Andere bewaren opnames standaard onbeperkt. Stel de bewaartermijn tijdens de onboarding expliciet in en vertrouw niet op de standaardinstelling.
Belangrijkste conclusies
De doorslaggevende vraag bij AI-vergaderassistenten is waar audio en transcripten worden verwerkt, vooral welk LLM de samenvatting schrijft en waar het draait. De nationaliteit van de aanbieder is een vertrekpunt. De verwerkersovereenkomst, de lijst van subverwerkers en het doorgiftemechanisme laten zien wat daadwerkelijk wordt gegarandeerd.
Twee vragen komen vóór elke vergelijking van aanbieders: hoe deelnemers over de opname worden geïnformeerd en of de ondernemingsraad moet worden betrokken. Teams die dat eerst regelen en daarna rechtstreeks bij aanbieders verwerkersovereenkomsten, lijsten van subverwerkers en informatie over verwerkingslocaties opvragen, nemen een verdedigbare beslissing, los van marketingclaims zoals “AVG-conform” of “Europees”.
