AI-vergadertools en privacy: wat gebeurt er met je data?

De meeste AI-vergadertools slaan je audio of transcripties op cloudservers op -- en sommige gebruiken die data om hun modellen te verbeteren. Voordat je een AI-notulist toelaat in je volgende salesgesprek, bestuursvergadering of HR-beoordeling, is het de moeite waard om precies te weten wat er met je vergaderinhoud gebeurt zodra het gesprek eindigt.

Ze was niet slordig. Ze had er gewoon niet over nagedacht waar de data terechtkwam. Dit artikel legt de vijf privacyrisico's uit die in de meeste AI-vergadertools zitten, hoe de vier toonaangevende platforms zich tot elkaar verhouden, en waar je op moet letten in een tool die je vergaderinhoud echt beschermt.

Waarom "AVG-conform" Niet Genoeg Is

Elke grote AI-vergadertool draagt een compliance-badge. Otter.ai is SOC 2 Type 2-gecertificeerd en biedt een AVG-verwerkersovereenkomst. Fireflies.ai ook. Zoom heeft ISO 27001. Microsoft heeft dat allemaal en meer.

Een compliance-badge vertelt je dat de leverancier gegevensverwerkingsprocessen heeft geaudit. Het vertelt je niet of je audio server-side wordt opgeslagen, hoe lang je transcripties standaard worden bewaard, of je vergaderinhoud bijdraagt aan modeltraining, of hoe een dagvaarding van de Amerikaanse overheid je data zou beïnvloeden onder de CLOUD Act.

Architectuur is belangrijker dan beleid. Een tool kan AVG-conform zijn en toch je audio onbeperkt op een Amerikaanse server opslaan. "Conform" betekent dat ze de data verantwoord behandelen -- niet dat ze die niet bewaren.

De Vijf Privacyrisico's in AI-vergadertools

1. Cloudopslag van audio

De meeste AI-vergadertools sturen je audio naar hun servers voor verwerking. Die audio kan worden bewaard voor kwaliteitscontrole van transcriptie, geschillenbeslechting of als standaardinstelling. Bewaartermijnen verschillen sterk: sommige tools verwijderen na 30 dagen, andere bewaren audio totdat je handmatig verwijdering aanvraagt. Het praktische risico is een datalek bij de leverancier dat echte opnames blootlegt. Voor HR-gesprekken, M&A-calls of juridisch overleg is dat een aanzienlijk risico.

2. Bewaring van transcripties en samenvattingen

Zelfs wanneer audio niet lang wordt bewaard, blijven transcripties en AI-samenvattingen dat vrijwel altijd wel. Ze staan op de servers van de leverancier totdat je ze verwijdert. Bij de gratis versies van sommige tools worden ze onbeperkt bewaard. Elke vergadersamenvatting wordt zo een blijvend dossier bij een derde partij.

3. Je vergaderingen kunnen hun modellen trainen

Sommige tools gebruiken vergaderdata -- geanonimiseerd of niet -- om hun AI te verbeteren. Dit staat vaak in privacybeleid als "we may use aggregated, de-identified data to improve our services." Of jouw specifieke vergaderinhoud wordt meegenomen, hangt af van je abonnementsniveau, de instellingen die je hebt gekozen en het huidige beleid van de leverancier, en dat verandert. Controleer of er een expliciete opt-out is. Enterprise-abonnementen bieden die doorgaans; gebruikers van de gratis versie doen er goed aan het actuele beleid te lezen voordat ze gevoelige gesprekken opnemen.

4. Het bot-consentprobleem

Tools zoals Otter.ai en Fireflies.ai werken door een bot-deelnemer naar je vergadering te sturen. Die bot is voor iedereen in de ruimte zichtbaar. In de EU, het VK en veel Amerikaanse staten kan het opnemen van een gesprek zonder geïnformeerde toestemming van alle partijen de privacywet schenden. Als een deelnemer de bot niet opmerkte en later bezwaar maakt, draagt de host -- niet de leverancier -- het juridische risico.

5. Jurisdictie en juridische toegang

Otter, Fireflies, Zoom en Microsoft zijn allemaal gevestigd in de VS of slaan data op Amerikaanse infrastructuur op. Onder de Amerikaanse CLOUD Act (2018) kan Amerikaanse wetshandhaving Amerikaanse cloudproviders verplichten data te overhandigen die waar ook ter wereld is opgeslagen -- inclusief EU- of Aziatische datacenters. Voor Europese bedrijven die commercieel gevoelige of persoonsgegevens verwerken, creëert dit een jurisdictiekloof die geen enkele AVG-verwerkersovereenkomst volledig dicht.

Wat Elke Tool Feitelijk Doet met Je Data

Otter.ai

Otter slaat audio op cloudinfrastructuur op (AWS, gevestigd in de VS). Transcripties worden bewaard totdat je ze verwijdert. OtterPilot neemt deel aan vergaderingen als zichtbare bot. SOC 2 Type 2-certificering en een AVG-verwerkersovereenkomst zijn beschikbaar voor enterprise-accounts.

Eerlijke sterkte: transcriptkwaliteit van topniveau in het Engels en een helder enterprise-complianceverhaal voor grote teams. Eerlijke beperking: de bot neemt zichtbaar deel, audio wordt in de cloud opgeslagen en de opt-out voor modeltraining is het duidelijkst op betaalde enterprise-niveaus. Controleer het actuele privacybeleid voor jouw abonnement voordat je Otter gebruikt voor gevoelige gesprekken.

Fireflies.ai

Fireflies slaat audio-opnames en transcripties op Amerikaanse cloudservers op. In het gratis abonnement worden data onbeperkt bewaard, tenzij je ze handmatig verwijdert. Er is geen optie om Fireflies zonder bot-deelnemer te gebruiken -- fred@fireflies.ai is het enige mechanisme. Eerlijke sterkte: het beste CRM-integratieverhaal voor salesteams. Eerlijke beperking: de bot is onvermijdelijk en het meest zichtbaar van alle tools in deze lijst.

Zoom AI Companion

Zoom AI Companion is een native functie -- geen aparte bot-deelnemer. Dat lost het zichtbare-consentprobleem op. Samenvattingen worden gegenereerd binnen de cloudinfrastructuur van Zoom, en Zoom zegt dat audio, video, chat, schermdeling, bijlagen en vergelijkbare communicatie-inhoud van klanten niet worden gebruikt om Zoom- of AI-modellen van derden te trainen. Eerlijke sterkte: frictieloos voor teams die volledig in Zoom werken; geen extra aanmelding nodig. Eerlijke beperking: platform lock-in; beheerders moeten nog steeds bewaarbeleid en opnamebeleid beoordelen voordat ze het inschakelen voor gevoelige gesprekken.

Microsoft Teams Premium

Teams Premium (Intelligent Recap) bewaart recap-onderdelen binnen Microsoft 365, maar de opslag is verdeeld over meerdere diensten: opnames staan in OneDrive of SharePoint, terwijl transcriptkopieën en recap-data ook in Exchange Online kunnen worden opgeslagen. Microsoft zegt dat klantgegevens uit Teams-vergaderingen niet worden gebruikt om zijn foundation models te trainen. Eerlijke sterkte: sterk native beheer voor organisaties die al op Microsoft 365 draaien. Eerlijke beperking: alleen voor Teams; extra licentiekosten; opslag en bewaring lopen over meerdere Microsoft-diensten die beheerders expliciet moeten beheren.

Het Architectuurverschil: Browser versus Cloud

De tools hierboven delen één ontwerpaanname: audio gaat naar een externe server voor verwerking, en daar wordt iets opgeslagen. Dat is niet de enige manier om een vergadertool te bouwen.

MirrorCaption vangt audio op via de browser met behulp van de Web Audio API en streamt die rechtstreeks naar onze eigen real-time speech-to-text-engine. De audio wordt daarna weggegooid -- die raakt de servers van MirrorCaption nooit. Transcripties worden opgeslagen in de IndexedDB van je browser, een lokale opslaglaag die niet synchroniseert naar de cloud tenzij je het bestand expliciet exporteert. De enige data die de servers van MirrorCaption zien, is factureringsgebruik: verbruikte minuten, niet de inhoud.

API-sleutels voor onze STT-engine worden uitgegeven met een geldigheidsduur van 2 seconden en AES-GCM-encryptie, zodat zelfs de STT-credential niet in rust wordt blootgesteld. Het praktische resultaat: een datalek bij MirrorCaption zou factureringsgegevens blootleggen, niet vergadertranscripties of audiobestanden.

Beperking om eerlijk te benoemen: MirrorCaption heeft nog geen SOC 2-certificering. Als jouw organisatie voor inkoop een SOC 2-rapport van de leverancier vereist, is dat een reëel gat. Het privacyverhaal is architectonisch, niet gebaseerd op een compliance-badge. Voor gereguleerde sectoren met formele leveranciersbeoordelingsprocessen is Teams Premium momenteel het sterkere compliance-antwoord.

Wat de AVG en CCPA Feitelijk Vereisen voor Vergaderopnames

Heb je toestemming nodig van alle deelnemers?

Onder de AVG en de meeste EU-lidstaatwetten heb je doorgaans geïnformeerde toestemming van alle partijen nodig voordat je een gesprek opneemt. "Geïnformeerd" is hier het sleutelwoord. Een bot die in de deelnemerslijst verschijnt kan als kennisgeving gelden -- maar alleen als deelnemers hem zien en zijn doel begrijpen. Voor internationale gesprekken waarbij deelnemers de deelnemerslijst mogelijk niet in hun tweede taal lezen, is dat een aanname die het waard is om te onderzoeken voordat je op opnemen drukt.

Grensoverschrijdende gesprekken: welke jurisdictie geldt?

Voor een gesprek tussen een Duitse werknemer en een Japanse klant, opgenomen via een tool uit de VS, kunnen drie jurisdicties van toepassing zijn: de AVG (EU-betrokkene), de Japanse APPI (Japanse privacywet) en het Amerikaanse gegevensrecht (waar de tool data opslaat). De veiligste aanpak: vraag expliciete mondelinge of schriftelijke toestemming van alle deelnemers, leg die vast en kies een tool die niet nog een vierde partij toevoegt aan het risico op datatoegang.

Een Privacychecklist voor Elke AI-vergadertool

Voordat je een AI-vergadertool inschakelt voor gevoelige gesprekken, stel deze zes vragen:

1. 1Waar wordt de audio opgeslagen, en hoe lang? Vraag om een specifieke bewaartermijn, niet alleen om "we volgen best practices".
2. 2Wie is eigenaar van de transcriptdata, en kun je alle records exporteren en volledig verwijderen?
3. 3Neemt de tool deel als zichtbare bot? Zo ja, stemmen alle deelnemers in met zijn aanwezigheid?
4. 4Kun je je afmelden voor modeltraining? Zoek dit in de privacy-instellingen, niet alleen in het beleidsdocument.
5. 5Welke juridische jurisdictie is van toepassing op je data? Als de tool in de VS is gevestigd, begrijp dan je CLOUD Act-risico.
6. 6Hoe verwijder je alles als je het platform verlaat? Test dit voordat de tool gevoelige gesprekken afhandelt.

Veelgestelde Vragen

De Kern

De les is niet dat AI-vergadertools gevaarlijk zijn. Het is dat standaardinstellingen, data-architectuur en de jurisdictie van de leverancier belangrijker zijn dan de compliance-badge op de prijspagina.

Hier is de korte beslisgids:

• Microsoft 365-native governance voor organisaties die zwaar op Teams leunen: Microsoft Teams Premium
• CRM-integraties + je team kan bot-consent beheren: Fireflies.ai
• Verzorgde Engelse transcripties + SOC 2-certificering: Otter.ai
• Realtime vertaling + geen serveropslag + geen bot: MirrorCaption

Architectuur bepaalt wat nog te herstellen is als er iets misgaat. Kies een vergadertool op dezelfde manier als je elke gegevensverwerker zou kiezen: op basis van wat die met je data doet, niet op basis van wat die erover zegt.