AVG-proof AI voor het MKB: waar je data staat.
Als ik AI voor je bouw, wil je weten waar je gegevens terechtkomen. Hier staat elke leverancier met de regio van zijn servers, en wat er wel en niet naar het AI-model gaat. Je IT-er kan het regel voor regel nakijken.
Gecontroleerd op 28 september 2026✦Verandert de opzet, dan pas ik deze pagina aan voordat de verandering ingaat
Veilig en Europees in het kort
Diginesso is de eenmanszaak van Wesley Beerendonk, die AI-agents en automatisering bouwt voor MKB-bedrijven in Nederland, Duitsland en Italië. In een standaardproject komen je database en de applicatie in Frankfurt te staan, en mails die het systeem verstuurt gaan vanuit Ierland de deur uit. Het AI-model kies je zelf. Met een Europees model blijven je gegevens binnen Europa. De verwerkersovereenkomst teken je voordat ik een gegeven aanraak. Ik ben geen advocaat: wat hier staat, is hoe ik het technisch inricht.
Welke gegevens gaan naar het AI-model?
Alleen het stukje tekst dat het model voor één taak moet lezen. Bij een factuur is dat die factuur, bij een mail die ene mail. Je database, je bestanden en de rest van je administratie blijven staan waar ze staan.
Blijft waar het staat
- Je database en je bestanden. Die komen in Frankfurt te staan en worden niet naar een AI-dienst gekopieerd.
- Je wachtwoorden en sleutels. Die zitten in een afgeschermde kluis. Ze staan nergens in de code en nergens in een chat.
- De rest van je administratie. Een agent die facturen doet, krijgt facturen te zien. Voor al het andere blijft je systeem dicht.
- Wat je mensen intypen in een scherm dat ik bouw. Dat blijft in jouw omgeving.
Gaat naar het model
- Alleen wat die ene taak nodig heeft. Je klantenbestand gaat er niet achteraan.
- Naar een aanbieder die we vooraf afspreken. Die noem ik in je verwerkersovereenkomst.
- Via een zakelijk account. Daarin staat dat je tekst niet wordt gebruikt om het model te trainen. Een aanbieder die daar niet in meegaat, gebruik ik niet.
- Of er gaat helemaal niets heen. Dan draait het model op je eigen server. Dat kan, al is het trager en duurder.
Per proces schrijf ik op welke tekst er naar het model gaat, hoe lang die daar blijft en wie hem kan opvragen.
Welke leveranciers zien je data, en waar staan hun servers?
Dit is de complete lijst voor een standaardproject. Voordat ik bij jou een extra partij aanzet, hoor je dat van mij, en die partij komt in je verwerkersovereenkomst. De regiocodes staan erbij, zodat je ze zelf kunt opzoeken.
eu-central-1fra1eu-west-1De naam van de modelaanbieder en het land van verwerking komen in je contract. Moet het model later wisselen, bijvoorbeeld omdat een aanbieder een versie uit de lucht haalt, dan hoor je dat minstens 30 dagen vooraf, met wat het betekent voor de kwaliteit en de kosten. Bij een storing, of als een aanbieder er van de ene op de andere dag mee stopt, schakel ik eerst over en licht ik je daarna zo snel mogelijk in.
Supabase, Vercel en Resend zijn Amerikaanse bedrijven met servers in Europa. Hoe het zonder Amerikaanse partijen kan, lees je hieronder. Wat deze website zelf van bezoekers verwerkt, staat in de privacyverklaring.
Hoe streng wil je het
Kan het ook helemaal Europees, of op je eigen server?
Ja. Strenger is meestal duurder of trager, en daarom kies jij. Alle drie de manieren kunnen, en je kunt later nog overstappen.
Europese servers
- Waar het draait
- Bij de leveranciers uit de lijst, in Frankfurt en Ierland.
- Het AI-model
- Een Europees model, of een groot Amerikaans model via een zakelijk account, waar het kan met verwerking in Europa. Dat laatste alleen als jij ermee instemt.
- De keerzijde
- Drie leveranciers hebben een Amerikaans moederbedrijf.
Ook de bedrijven zelf
- Waar het draait
- Voor elk onderdeel zoek ik een Europees bedrijf, zonder Amerikaans moederbedrijf in de keten.
- Het AI-model
- Een aanbieder uit bijvoorbeeld Frankrijk of Duitsland, met verwerking binnen de EU. Voor lezen, samenvatten en sorteren is dat ruim goed genoeg.
- De keerzijde
- Meer opzetwerk, en een paar handige diensten vallen af. Voor het zwaarste redeneerwerk loopt zo'n model nog iets achter op de top.
Op een server die jij kiest
- Waar het draait
- In je eigen serverruimte, of bij een hoster die jij aanwijst. Een systeem op je eigen server bouw ik als software op maat.
- Het AI-model
- Draait op diezelfde machine, dus ook de tekst voor het model blijft op die server.
- De keerzijde
- Je betaalt de machine en het onderhoud, en zo'n model is langzamer dan de beste online modellen.
Twijfel je? In de Procesdiagnose reken ik het verschil uit in euro's per maand, met erbij welk risico je met de duurdere variant afkoopt.
De EU AI Act
Wanneer gelden de regels van de EU AI Act? Dit zijn de data na de Digital Omnibus.
De AI-verordening is sinds 1 augustus 2024 van kracht en gaat in delen in. De Digital Omnibus, Verordening (EU) 2026/1744, geldt sinds 27 juli 2026 en heeft de zware eisen voor systemen met een hoog risico naar achteren geschoven.
Wat dit voor het MKB betekent
Een agent die facturen verwerkt of klantvragen beantwoordt, valt meestal niet onder hoog risico. Hoog risico gaat over toepassingen als werving en selectie of kredietbeoordeling. Wel moet een klant die met een agent praat, kunnen zien dat het een AI is.
Wat ik altijd doe
Per systeem schrijf ik op wat het doet en wie ervoor verantwoordelijk is, zodat je een dossier hebt voordat iemand erom vraagt. Bij beslissingen die geld of mensen raken tekent een mens af, en elke actie van het systeem komt in een logboek. Praat een klant van je met een agent, dan ziet hij op het scherm dat het een AI is.
Bron: Verordening (EU) 2024/1689 op EUR-Lex en de Digital Omnibus, Verordening (EU) 2026/1744. Gecontroleerd op 28 september 2026.
Ik ben geen advocaat. Laat een jurist beoordelen hoe de wet op jouw systeem uitpakt.
- sinds 2 februari 2025
Verboden toepassingen
Een paar toepassingen mogen niet meer, zoals mensen scoren op hun sociale gedrag. Ook moest je zorgen dat je mensen genoeg van AI snappen. De Omnibus heeft dat verzacht: je neemt maatregelen om die kennis op te bouwen, maar je hoeft geen bepaald niveau te garanderen.
- sinds 2 augustus 2025
Regels voor de makers van modellen
De bedrijven achter de grote AI-modellen moeten beschrijven hoe hun model werkt en waarop het getraind is. Die informatie helpt bij je eigen dossier.
- sinds 2 augustus 2026
Laten zien dat het een AI is
Wie met een AI-systeem praat, moet dat kunnen weten. Voor een agent in je klantenservice is dit de regel die er het meest toe doet.
- vanaf 2 december 2027
Hoog risico, bijlage III
Zware eisen voor systemen in onder meer werving en selectie of kredietbeoordeling. Voor de Omnibus stond deze datum op 2 augustus 2026.
- vanaf 2 augustus 2028
AI in gekeurde producten, bijlage I
AI in producten die al een eigen Europese keuring hebben, zoals medische hulpmiddelen, volgt als laatste.
Hoe regel je de AVG als je AI gebruikt?
Jij bent verwerkingsverantwoordelijke, want het zijn jouw gegevens en jij bepaalt waarvoor ze gebruikt worden. Diginesso is verwerker, en de leveranciers uit de lijst zijn subverwerkers (partijen die ik inschakel). Hieronder staat hoe ik de AVG in een project regel. Je kunt het allemaal nakijken.
De verwerkersovereenkomst gaat vooraf
Je tekent hem voordat ik één gegeven aanraak, met de leveranciers uit de lijst erin. Een eigen verwerkersovereenkomst van je bedrijf teken ik ook, zolang er niets in staat dat ik niet kan waarmaken.
Zo min mogelijk gegevens
Ik haal alleen op wat het proces nodig heeft. Elke agent en elke koppeling krijgt de smalste toegang waarmee het werk nog lukt.
Hoe een AI-agent met één klus werktBewaartermijnen die jij bepaalt
Standaard blijven verwerkte documenten 90 dagen staan, zodat je kunt nakijken wat er gebeurd is. Wil je 7 dagen, of 7 jaar vanwege je bewaarplicht? Ook dat stel ik in.
Wie erbij kan, staat in een logboek
Alleen ik kan bij het live systeem, met tweestapsverificatie, plus de systemen die het werk doen. Er kijkt geen team mee. Elke keer dat iemand of iets erbij komt, wordt dat vastgelegd.
Zo bewaak ik een systeem dat live staatOpvragen en verwijderen
Waar persoonsgegevens in een systeem zitten, bouw ik er meteen een manier bij om ze te vinden en te wissen. Een verzoek van een klant van je handel je daarmee zelf af.
Als het toch misgaat
Bij een datalek hoor je het binnen 24 uur van mij, met wat er gebeurd is en welke gegevens het raakt. Jij meldt het bij de Autoriteit Persoonsgegevens, en ik lever aan wat je daarvoor nodig hebt.
Wat gebeurt er met je data als we stoppen?
Dat ligt vooraf vast in de voorwaarden. Je hoeft mij nergens toestemming voor te vragen, en ook met een openstaande factuur houd ik de export niet tegen. Je gegevens zijn geen onderpand.
De afspraken over het einde in de algemene voorwaarden- De accounts
- Staan al op jouw naamJe haalt mijn beheerdersrechten eraf en alles draait door.
- De export
- Binnen tien werkdagenDe tabellen als CSV (te openen in Excel) en de database als SQL-dump (voor een ontwikkelaar). De code, de workflows en de prompts in een git-repository of in het exportformaat van het systeem. De documentatie als PDF en als platte tekst.
- Wissen
- Binnen 30 dagen aan mijn kantDe automatische back-ups lopen daarna vanzelf af, uiterlijk na 90 dagen.
- De bevestiging
- Op papier, met de datum erbijDe export en het wissen kosten je niets.
Ook tussendoor kun je vragen welke gegevens ik van je heb en waar ze staan. Die lijst krijg je binnen vijf werkdagen.
Wie het bouwt
Ik kan je niet naar een securityafdeling doorverwijzen.
Je hebt deze pagina en mijn mailadres. Ik bouw het systeem en beheer het ook, dus als er iets misgaat, pak ik het zelf op.
Staat hier iets dat volgens jou niet klopt? Mail het naar info@diginesso.com. Dan pas ik het aan of leg ik uit waarom het er zo staat.
Meer over Wesley en DiginessoWat ik niet heb
Een paar dingen heb ik nu nog niet. Die zet ik liever hier dan dat je er later achter komt.
- ISO 27001 of SOC 2Die certificaten kosten een eenmanszaak veel geld en tijd. Heeft een klant een certificaat echt nodig, dan hoor je vooraf hoe lang dat duurt en wat het kost.
- Juridisch adviesIk ben geen advocaat. Ik weet hoe je dit technisch inricht en welke eisen de wet aan zo'n systeem stelt. Of jouw situatie klopt, laat je beoordelen door iemand die daar juridisch advies over mag geven.
- Een garantie op volledige veiligheidVolledig veilig kan ik niet beloven. Wel schrijf ik op waar je data staat en wie erbij kan, zodat jij het risico zelf kunt wegen.
Vragen
Veelgestelde vragen over AI en de AVG
Kan AI AVG-proof zijn?
Ja, als vastligt welke gegevens naar het AI-model gaan en waar ze staan. Bij mij leest het model alleen wat het voor één taak nodig heeft, en per leverancier staat vast in welke regio hij werkt. Of je hele verwerking klopt, hangt ook af van wat je zelf met de gegevens doet.
Blijft mijn data in de EU?
Ja, als je voor een Europees AI-model kiest. In de standaardopzet komen je database, je bestanden en de applicatie in Frankfurt te staan, en mails van het systeem gaan vanuit Ierland de deur uit. Kies je een model van buiten Europa, dan kan alleen de tekst die naar dat model gaat de EU verlaten. Supabase, Vercel en Resend zijn wel Amerikaanse bedrijven met servers in Europa.
Wordt mijn data gebruikt om AI-modellen te trainen?
Nee. Ik gebruik alleen zakelijke accounts waarin staat dat invoer niet voor training wordt gebruikt, en een aanbieder die dat niet zwart op wit zet, komt er bij mij niet in.
Krijg ik een verwerkersovereenkomst?
Ja, en je tekent hem voordat ik één gegeven aanraak. Ik werk met een standaardtekst waarin alle subverwerkers (partijen die ik inschakel) bij naam staan. Gebruikt je bedrijf een eigen verwerkersovereenkomst, stuur die gerust: die teken ik ook. Alleen als er iets in staat dat ik in de praktijk niet kan waarmaken, zeg ik dat vooraf.
Wat als er toch iets buiten de EU verwerkt moet worden?
Dan vraag ik het je eerst en leg ik uit waarom het nodig is. Zeg je nee, dan zoek ik een andere weg of laat ik die functie weg.
Hoe zit het met de Amerikaanse Cloud Act?
Er is een omstreden risico: drie van mijn leveranciers zijn Amerikaanse bedrijven met servers in Europa, en juristen zijn het niet eens of een Amerikaanse autoriteit daar gegevens kan opvragen. Wie dat risico niet wil, kiest de variant met alleen Europese partijen of een eigen server.
Valt mijn AI-systeem onder hoog risico in de EU AI Act?
Meestal niet. Hoog risico gaat over de toepassingen die in bijlage III van de AI Act staan, zoals werving en selectie of kredietbeoordeling. Een agent die facturen verwerkt of klantvragen beantwoordt, valt daar doorgaans buiten, al moet een klant wel kunnen zien dat hij met een AI praat. Door de Digital Omnibus gelden de zware eisen pas vanaf 2 december 2027.
Mag ik zelf een pentest of audit laten doen?
Ja. Je laat een eigen partij testen, en ik lever de toegang en de documentatie en zet een testomgeving klaar. De rapporten gaan rechtstreeks naar jou. Wat eruit komt, repareer ik. Onder onderhoud zit dat in het maandbedrag, en in het logboek zie je wanneer het gebeurd is.
Wil je dit door je eigen IT-er laten nakijken?
Stuur deze pagina gerust door. Heb je zelf een vraag over de opzet, of wil je weten welk werk in je bedrijf te automatiseren valt? Binnen 1 werkdag een persoonlijk antwoord van mij.