Techniek
Drie routes naar een AI-chatbot voor je bedrijf: wat je krijgt, wat het vraagt aan beheer en onderhoud, en welke privacyvragen je per route stelt.
Voor de meeste organisaties is een bestaande assistent met een zakelijk abonnement de eerste stap. Moet de chatbot antwoorden uit je eigen kennis, dan kies je tussen een kant-en-klare oplossing van een leverancier en zelf bouwen. Wil je een assistent in je eigen documenten laten zoeken zonder ze te uploaden, dan is een koppeling de derde route.
Het woord AI-chatbot dekt veel. De een bedoelt het venster waarin je een vraag typt, de ander de helper op een website, een derde een zoekhulp in het eigen archief. Dit artikel zet de routes naast elkaar: wat je krijgt, wat het van je organisatie vraagt, en welke privacyvragen erbij horen.
Het gaat hier om de keuze. De techniek staat in de artikelen waar we naar verwijzen. Prijzen noemen we niet. Dit is uitleg en geen juridisch advies. De hoofdlijn over chatbots en persoonsgegevens staat op ChatGPT, Claude, Mistral Vibe en de AVG.
Onder elke AI-chatbot zit een taalmodel: software die tekst voorspelt. Daaromheen zit een product. ChatGPT, Claude en Mistral Vibe (voorheen Le Chat) zijn assistenten: een model met een venster, een geheugen voor het gesprek, instellingen en koppelingen. Wat een taalmodel is en wat het wel en niet onthoudt, staat in Wat is een LLM? Large language models uitgelegd zonder jargon.
Een toepassing is wat een organisatie daar zelf mee maakt: een chatbot op de website of een assistent die contracten naslaat. Daar komen je eigen kennis bij, en regels over wie wat mag vragen.
Beantwoord deze vraag eerst. Ze bepaalt meer dan de keuze van de techniek.
Een chatbot op je website praat met mensen die jij niet kent en niet kunt opleiden. Ze typen wat ze willen, ook hun klacht of hun medische situatie. En de chatbot spreekt namens jou. En de klant moet weten dat er geen mens aan de andere kant zit.
Een assistent voor intern gebruik werkt met mensen die je wel kunt instrueren. Het risico zit hier aan de andere kant: in wat medewerkers erin stoppen. Een collega die een dossier uploadt om één vraag te stellen, stuurt het hele dossier naar de aanbieder. Welke gegevens dat wel en niet mogen zijn, staat in Mag je klantgegevens in ChatGPT, Claude of Mistral Vibe zetten?.
| Onderwerp | Chatbot voor klanten | Assistent voor medewerkers |
|---|---|---|
| Wie typt | Onbekenden, zonder instructie | Collega's, met afspraken en training |
| Welke gegevens | Wat de klant zelf invoert; soms gegevens uit je klantsysteem | Wat de medewerker invoert of uploadt |
| Grootste risico | Een fout antwoord namens je organisatie; ongevraagd gevoelige invoer | Te veel gegevens bij de aanbieder; gebruik op privé-accounts |
| Melden dat het AI is | Ja, tenzij het duidelijk is | Medewerkers weten het; leg het vast in je beleid |
| Wat je vooraf regelt | Melding, een weg naar een mens, een tekst over wat je met de invoer doet | Abonnement, overeenkomst, instellingen, AI-beleid |
Een assistent die morgen werkt: schrijven, samenvatten, vertalen, bestanden analyseren. Op een zakelijk abonnement krijgt de organisatie een werkruimte met beheerders, en gelden zakelijke voorwaarden in plaats van consumentenvoorwaarden.
Weinig techniek, wel organisatie. Iemand kiest het abonnement, sluit de overeenkomst, zet de instellingen en houdt de accounts bij. De AI Act vraagt daarnaast dat je maatregelen neemt om de AI-geletterdheid van je personeel te ondersteunen. Zo staat het sinds de zomer van 2026 in artikel 4, dat uitdrukkelijk geen vast niveau per medewerker eist. Meer daarover in ons artikel over AI-geletterdheid.
De antwoorden per aanbieder staan in ChatGPT-alternatieven voor zakelijk gebruik: de opties vergeleken op privacy en, voor de abonnementen van ChatGPT, in welk abonnement je zakelijk mag gebruiken.
Een chatbot op eigen kennis werkt met RAG. Anthropic omschrijft RAG in zijn begrippenlijst als een techniek die zoeken en genereren combineert: bij een vraag worden eerst relevante stukken uit een kennisbank opgehaald, en die gaan met de vraag mee naar het model. Het model hoeft het antwoord dan niet uit zijn training te halen. De uitleg in stappen staat in RAG uitgelegd: zo laat je AI antwoorden uit je eigen documenten.
De derde route gebruikt een assistent die je al hebt en geeft hem een gereedschap. De standaard daarvoor is het Model Context Protocol. De documentatie van MCP noemt het een open standaard om AI-toepassingen te verbinden met systemen van buiten, zoals gegevensbronnen en gereedschappen. De bron blijft waar ze is. De assistent stelt een zoekvraag en krijgt een antwoord terug, in plaats van een bestand. De uitleg staat in Wat is een MCP-server?.
Je krijgt het venster dat medewerkers al kennen, met toegang tot een bron die jij beheert. Het vraagt iemand die de koppeling beheert: welke assistenten mogen verbinden, namens welke gebruiker, en met welke rechten. En het vraagt een bron die op orde is.
| Route | Wat je krijgt | Wat het vraagt | Privacy: waar je op let |
|---|---|---|---|
| Bestaande assistent met zakelijk abonnement | Een algemene assistent, direct bruikbaar, met beheer voor de organisatie | Abonnement kiezen, overeenkomst sluiten, instellingen zetten, afspraken en training voor medewerkers | Training op invoer, overeenkomst, datalocatie, en vooral wat medewerkers invoeren |
| Chatbot op eigen kennis, gekocht | Antwoorden uit je eigen teksten, in weken, met een beheerscherm | Inhoud die klopt en wordt bijgehouden, testen, een contactpersoon voor de leverancier | Een keten van verwerkers, wat er in de kennisbank staat, bewaren van vragen |
| Chatbot op eigen kennis, zelf gebouwd | Volledige regie over bron, zoekstap, rechten en logboeken | Ontwikkelaars, hosting, beveiliging en blijvend onderhoud | Rechten per gebruiker, waar het model draait, wat de index bevat |
| Assistent gekoppeld aan je documenten | Het vertrouwde venster, met toegang tot een bron die jij beheert | Beheer van de koppeling en een bron die op orde is | Wat de bron teruggeeft, namens wie, en dat het antwoord bij de aanbieder van de assistent belandt |
Artikel 50 van de AI Act gaat over systemen die rechtstreeks met mensen communiceren. Het eerste lid legt de aanbieder van zo'n systeem op het zo te ontwerpen dat mensen worden geïnformeerd dat ze met een AI-systeem te maken hebben. Dat hoeft niet als het voor een redelijk geïnformeerd en oplettend persoon duidelijk is. De informatie moet duidelijk zijn en uiterlijk bij het eerste contact worden gegeven, zegt het vijfde lid.
Volgens de tijdlijn van de Europese Commissie zijn de transparantieregels van artikel 50 op 2 augustus 2026 gaan gelden. Alleen de plicht om gemaakte inhoud machineleesbaar te markeren heeft voor bestaande systemen een overgangstermijn tot 2 december 2026. De hele tijdlijn staat in De AI Act in het najaar van 2026.
De wet legt de plicht bij de aanbieder: wie een AI-systeem ontwikkelt of laat ontwikkelen en het onder eigen naam in gebruik stelt. Koop je een chatbot van een leverancier, dan is die leverancier in beginsel de aanbieder en gebruik jij het systeem. Bouw je zelf en zet je de chatbot onder je eigen naam in, dan kan die rol bij jou liggen. Waar de grens in jouw geval loopt, is een vraag voor een jurist.
Praktisch maakt het weinig uit: zet de melding aan, bovenaan het venster. Voor de uitleg van artikel 50 werkt de Commissie aan richtsnoeren; op haar pagina over transparantie bij AI-inhoud staat een ontwerp van 8 mei 2026. Een definitieve versie hebben we daar op 13 oktober 2026 niet gezien.
De AVG geldt zodra de chatbot persoonsgegevens verwerkt, en dat doet hij bijna altijd.
PrivaSearch hoort bij de derde route en is bedoeld voor medewerkers, niet voor een chatbot op je website. Het is de bron waarin een assistent mag zoeken, met één verschil ten opzichte van een gewone koppeling: de persoonsgegevens zijn er al uit voordat de assistent iets ziet.
Documenten worden binnen PrivaSearch geanalyseerd, zonder AI-aanbieder van buiten. Herkende namen, adressen, BSN's en andere gegevens worden vervangen door pseudoniemen die binnen een project steeds hetzelfde blijven. Een collega controleert het resultaat naast het origineel en keurt het goed. Tot die goedkeuring is een document niet doorzoekbaar. Zie Hoe PrivaSearch werkt.
De koppeling gebruikt de open MCP-standaard en werkt met Claude, ChatGPT Business en Mistral Vibe. De assistent krijgt per zoekvraag een beperkt aantal vrijgegeven, gepseudonimiseerde passages met een korte bronverwijzing, en geen bestanden. Elke aanroep wordt gecontroleerd op de rechten van de gebruiker en gelogd. Wat de assistent terugkrijgt, wordt onderdeel van het gesprek bij de aanbieder, en wat je zelf typt gaat er rechtstreeks heen. Een zakelijk account met een verwerkersovereenkomst blijft dus nodig, en namen typ je niet in de vraag.
Wil je geen assistent van buiten, dan zoek je in PrivaSearch zelf. Pseudonimiseren is geen anonimiseren: voor je eigen organisatie blijven het persoonsgegevens, dus het register en de DPIA blijven jouw werk. De achtergrond staat op De risico's van AI op je dossiers.
Wil je zien hoe een assistent een vraag over een dossier beantwoordt zonder dat het dossier meegaat, vraag dan een demo aan.
Een AI-chatbot is een programma waarmee je in gewone taal kunt praten en dat zijn antwoorden laat maken door een taalmodel. Bekende voorbeelden zijn ChatGPT, Claude en Mistral Vibe. Een organisatie kan zo'n assistent gebruiken, of er een eigen toepassing omheen maken die antwoordt uit eigen teksten. Het model voorspelt tekst en kan fouten maken; controleer antwoorden waar iets van afhangt.
Ja. Met de programmeerkoppeling van een modelmaker en een zoekstap over je eigen teksten staat er snel een proefversie. Het werk zit in wat daarna komt: rechten per gebruiker, beveiliging, het bijhouden van de bron en het meten van de kwaliteit. Heb je geen ontwikkelaars die dat blijven doen, dan is kopen of koppelen meestal verstandiger.
Sinds 2 augustus 2026 gelden de transparantieregels van artikel 50 van de AI Act. Een systeem dat rechtstreeks met mensen communiceert, moet zo zijn gemaakt dat zij weten dat ze met AI te maken hebben, tenzij dat voor een redelijk oplettend persoon duidelijk is. De informatie hoort er uiterlijk bij het eerste contact te zijn. Zet de melding dus bovenaan het venster.
In het dagelijks gebruik lopen de woorden door elkaar. Met een chatbot wordt vaak het venster op een website bedoeld dat klanten te woord staat, binnen een afgebakend onderwerp. Een assistent is breder: een hulp voor medewerkers die schrijft, samenvat en zoekt, en via koppelingen ook gereedschap kan gebruiken. Voor de privacyvragen telt vooral wie ermee praat en welke gegevens erin komen.
Dat kan, als je het hebt geregeld. Je hebt een grondslag nodig, een verwerkersovereenkomst met de leverancier, een tekst die klanten vertelt wat je met hun invoer doet, en een regel in je register. Verwerk niet meer dan nodig is voor de vraag. Laat een chatbot geen besluit nemen dat iemand in aanmerkelijke mate treft zonder dat een mens meekijkt.
Zorg dat de assistent niet de bestanden krijgt, maar alleen het stuk dat nodig is voor de vraag, en dat de koppeling werkt met de rechten van de gebruiker. Haal persoonsgegevens er waar mogelijk vooraf uit en laat dat controleren. Gebruik een zakelijk account met een verwerkersovereenkomst, beperk wat de assistent mag doen tot lezen, en log elke aanroep.
Hoe retrieval-augmented generation werkt, wat het verschil is met uploaden en fine-tuning, waarom het fouten vermindert en welke privacyvragen je stelt.
Wat het Model Context Protocol is, hoe een koppeling verschilt van een bestand uploaden, wat een assistent dan krijgt en op welke risico's je let.
Wat een taalmodel doet, wat tokens en een contextvenster zijn, waarom een model dingen verzint en wat het wel en niet onthoudt van je invoer.
We laten het zien met fictieve dossiers uit jouw branche: upload, herkenning, review, zoeken en de koppeling met je AI-assistent. Daarna weet je precies wat je team veilig kan gebruiken.
Plan een demo →