In februari 2026 kreeg een multinationale onderneming een GDPR-boete van €2,4 miljoen, nadat een HR-onderzoek had uitgewezen dat door AI getranscribeerde vergaderopnamen waren opgeslagen op servers van derden zonder expliciete toestemming van de werknemers. Het incident, voor het eerst gemeld door Reuters, heeft schokgolven veroorzaakt in juridische afdelingen van bedrijven wereldwijd.

AI-transcriptietools zijn standaard geworden op afgelegen en hybride werkplekken. Maar veel bedrijven realiseren zich niet dat ze enorme compliancerisico’s creëren telkens wanneer ze op “opnemen” drukken. Werknemerstoestemming, bewaarbeleidsregels voor gegevens, grensoverschrijdende gegevensoverdrachten en verwerkingsovereenkomsten met derden zijn allemaal potentiële juridische valkuilen.

We analyseerden de vereisten van GDPR Artikel 6 en Artikel 9, beoordeelden 12 AI-transcriptietools op privacyfuncties en raadpleegden arbeidsjuristen in de EU en de VS. Dit is wat bedrijven moeten weten om AI-transcriptie legaal te gebruiken in 2026.

Gerelateerd: Beste AI-transcriptietools, AI-vergaderassistenten voor teams, AI-tools voor vergadernotities

===SECTION 3===

De privacycrisis in AI-transcriptie

Volgens Gartner heeft 67% van de bedrijven die AI-vergaderassistenten gebruiken geen formeel bewaarbeleid voor gegevens van transcripten. Dat is een compliancedisaster dat staat te gebeuren.

Dit is wat er gebeurt: Een werknemer neemt deel aan een Zoom-gesprek. Een AI-bot sluit automatisch aan. Het gesprek wordt getranscribeerd, geanalyseerd op sentiment en onbeperkt opgeslagen op een server van derden. Niemand vroeg om toestemming. Niemand legde uit waar de gegevens heen gaan. Niemand stelde een verwijderingstermijn in.

Onder GDPR Artikel 6 is dat onrechtmatige verwerking. Onder de CPRA van Californië is het een schending van de privacyrechten van werknemers. Onder het arbeidsrecht in Duitsland, Oostenrijk en Frankrijk kunnen het gronden zijn voor tussenkomst van de ondernemingsraad of zelfs strafrechtelijke aanklachten.

De specifieke risico’s:

• Geen toestemmingsmechanisme: Veel AI-tools sluiten automatisch aan bij vergaderingen zonder individuele opt-in
• Onbeperkte retentie: Transcripten die voor altijd worden opgeslagen, creëren “data hoarding”-schendingen
• Verwerking door derden: Het verzenden van stemgegevens van werknemers naar in de VS gevestigde servers schendt Schrems II
• Blootstelling aan gevoelige gegevens: Gezondheidsdiscussies, functioneringsgesprekken en HR-zaken in transcripten = Artikel 9 speciale categorie gegevens
• Geen toegang van betrokkene: Werknemers kunnen hun transcriptiegegevens niet opvragen of verwijderen

AI-transcriptie is niet illegaal. Maar het zorgeloos gebruiken ervan absoluut wel.

===SECTION 4===

GDPR-vereisten voor transcriptie op de werkplek

De Algemene Verordening Gegevensbescherming (GDPR) van de EU stelt strenge regels voor de verwerking van werknemersgegevens. Dit is wat compliance daadwerkelijk vereist:

===SECTION 5===

1. Rechtsgrondslag (Artikel 6)

U heeft een van de zes rechtsgrondslagen nodig om stemopnamen en transcripten van werknemers te verwerken. In de praktijk werken er voor de meeste bedrijven slechts twee:

Gerechtvaardigd belang (Artikel 6(1)(f)): U mag vergaderingen transcriberen als dit noodzakelijk is voor de bedrijfsvoering EN de privacyrechten van werknemers uw belang niet zwaarder wegen. Dit vereist een gedocumenteerde Legitimate Interest Assessment (LIA).

Toestemming (Artikel 6(1)(a)): Vrijelijk gegeven, specifiek, geïnformeerd en ondubbelzinnig. “Door deel te nemen aan dit gesprek geeft u toestemming” is GEEN geldige toestemming onder de GDPR. Werknemers moeten kunnen weigeren zonder gevolgen.

Belangrijk: U KUNT GEEN gebruik maken van “noodzakelijkheid voor de uitvoering van een overeenkomst” (Artikel 6(1)(b)) of “wettelijke verplichting” (Artikel 6(1)(c)) voor routinevergaderingstranscriptie. Het Europees Comité voor gegevensbescherming is hier duidelijk over geweest.

2. Transparantie (Artikelen 13-14)

Voordat u opneemt, moeten werknemers weten:

• Wie de gegevens verwerkt (bedrijfsnaam + eventuele externe leveranciers)
• Waarom u transcribeert (zakelijk doel)
• Waar transcripten worden opgeslagen (gegevenslocatie, servers, cloudproviders)
• Hoe lang transcripten worden bewaard (specifieke termijn, niet “zolang als nodig”)
• Wie toegang heeft tot transcripten (rollen, afdelingen, derden)
• Hoe verwijdering aan te vragen (DSAR-proces)

Dit moet schriftelijk, in duidelijke taal, vóór de eerste opname gebeuren.

3. Dataminimalisatie (Artikel 5(1)(c))

U mag alleen transcriberen wat u nodig heeft. Als u transcribeert voor het bijhouden van actiepunten, heeft u geen volledige woordelijke transcripten nodig. Als u samenvattingen van vergaderingen nodig heeft, hoeft u geen ruwe audio op te slaan.

Veel AI-tools transcriberen alles standaard. Dat is een AVG-schending als u geen geldige reden heeft.

4. Opslagbeperking (Artikel 5(1)(e))

Transcripten kunnen niet onbeperkt bewaard worden. U heeft een gedocumenteerd bewaarschema nodig:

• Actiepunten / besluiten: 30-90 dagen
• Projectdocumentatie: Duur van het project + 6 maanden
• HR-/juridische zaken: Zoals vereist door het arbeidsrecht (doorgaans 3-7 jaar)
• Al het overige: Maximaal 30 dagen

Beleid voor automatische verwijdering is essentieel. Handmatige controle schaalt niet.

5. Bijzondere Categorieën van Persoonsgegevens (Artikel 9)

Gezondheidsinformatie, lidmaatschap van een vakbond, politieke opvattingen en andere gevoelige gegevens vereisen expliciete toestemming of een andere uitzondering van Artikel 9. Als uw transcripten dit kunnen vastleggen (HR-vergaderingen, functioneringsgesprekken), heeft u extra waarborgen nodig.

Toestemming van werknemers: Wat werkt echt

“Impliciete toestemming” bestaat niet onder de AVG. Dit is wat wel werkt:

Toestemming Moet Specifiek Zijn

Slecht: “We kunnen vergaderingen opnemen voor kwaliteits- en trainingsdoeleinden.”

Goed: “We zullen deze vergadering transcriberen met behulp van Otter.ai, dat audio in de VS verwerkt. Transcripten worden 30 dagen bewaard en zijn toegankelijk voor [specifieke rollen]. U kunt zich zonder boete afmelden door [contactpersoon] op de hoogte te stellen voordat de vergadering begint.”

Toestemming Moet Vrijelijk Gegeven Worden

Werknemers moeten kunnen weigeren zonder negatieve gevolgen. Als weigeren betekent dat ze de vergadering niet kunnen bijwonen of niet kunnen deelnemen aan hun werk, is het geen geldige toestemming.

Oplossing: Bied alternatieve participatiemethoden aan (alleen-telefonische optie, handmatige aantekeningen, toegang tot een samenvatting na de vergadering).

Toestemming Moet Gedocumenteerd Zijn

Houd bij wie toestemming heeft gegeven, wanneer en waarvoor. Dit is cruciaal voor DSAR-antwoorden en audits.

Best practice: Gebruik een platform voor toestemmingsbeheer of integreer het bijhouden van aan- en afmeldingen in uw vergaderworkflow.

Toestemming Kan Worden Ingetrokken

Werknemers kunnen hun toestemming op elk moment intrekken. U moet hun gegevens binnen 30 dagen verwijderen, tenzij u een andere wettelijke basis heeft.

Verwerking op Apparaat vs. Cloud

Waar transcriptie plaatsvindt, is van enorm belang voor de compliance:

Cloudverwerking (Meeste AI-tools)

• Audio verzonden naar servers van derden (AWS, Google Cloud, Azure)
• Gegevens gaan grensoverschrijdend (vaak naar de VS, zelfs voor EU-klanten)
• Vereist een Gegevensverwerkingsovereenkomst (GVO) met de leverancier
• Onderhevig aan beveiligingsincidenten en datalekken bij de leverancier
• Kan Standaard Contractuele Clausules (SCC’s) vereisen voor EU→VS overdrachten

Naleving impact: Hoog risico. Vereist uitgebreid leveranciers due diligence, GVO’s en impactbeoordelingen van gegevensoverdrachten.

Verwerking op het apparaat

• Audio blijft op de computer van de gebruiker of de bedrijfsserver
• Geen toegang door derden
• Geen grensoverschrijdende gegevensoverdrachten
• Volledige controle over bewaring en verwijdering

Naleving impact: Laag risico. Makkelijker te verdedigen onder Artikel 6(1)(f) gerechtvaardigd belang.

Tools met opties voor op het apparaat: ScreenApp (optionele lokale modus), Whisper (zelf-gehost), MacWhisper (macOS lokale transcriptie).

Beste Praktijken voor Gegevensbewaring

Onbeperkte opslag is een AVG-schending. Dit werkt:

Automatische Verwijderingsbeleid

Stel bewaarregels in op basis van het vergadertype:

Vergadertype	Bewaartermijn	Reden
Dagelijkse stand-up	7 dagen	Alleen operationeel
Projectplanning	90 dagen	Projectduur
Klantgesprekken	1 jaar	Contractuele verplichting
Functioneringsgesprekken	3 jaar (sommige jurisdicties 7)	Vereiste arbeidsrecht
HR-onderzoeken	7 jaar	Juridische verdediging

Gebruik automatische verwijderingsfuncties. Handmatige verwijdering gebeurt niet consistent.

Anonimisering versus Verwijdering

Anonimisering (verwijderen van namen, e-mails, identificerende info) kan de bewaarverplichtingen verminderen. Maar het is moeilijk om dit correct te doen. Tenzij je een echt anonimiseringsproces hebt (niet alleen redactie), behandel het dan als bewaring.

Bewaartermijn Backups

Backups tellen als gegevensbewaring. Als u een transcript verwijdert, maar het nog 90 dagen in de backup van gisteravond staat, heeft u het feitelijk niet verwijderd.

Oplossing: Implementeer backup-uitsluitingsregels voor transcriptmappen of gebruik systemen met gedetailleerde bewaarcontroles.

Privacy-Eerste AI Transcriptietools

We hebben 12 AI transcriptietools geëvalueerd op basis van privacyfuncties, toestemmingsworkflows en GDPR-conformiteit. Dit is wat we vonden:

Gedetailleerde Privacyvergelijking

Rev.ai - Best voor HIPAA-compliance

Rev.ai is een van de weinige transcriptie-API’s die HIPAA-compliant verwerking aanbiedt met een Business Associate Agreement (BAA).

Type: API | Prijs: $0,02/min asynchroon / $0,065/min streaming | Verwerking: Cloud (VS)

Privacyfuncties: HIPAA BAA beschikbaar, SOC 2 Type II, aangepaste retentiebeleid via API, on-premises implementatieoptie (enterprise), DPA beschikbaar

Voordelen: Hoge nauwkeurigheid, 36 talen, ontwikkelaarsvriendelijke API, streaming- en asynchrone opties, ondersteuning voor aangepaste woordenschat

Nadelen: Alleen API (vereist ontwikkelaarsintegratie), VS-gebaseerde verwerking, geen ingebouwde toestemmingsworkflow, geen EU-dataresidentie op standaardplannen

Hoe compliant AI-transcriptie te implementeren

Hier is een stapsgewijs compliance-stappenplan:

Stap 1: Voer een gegevensbeschermingseffectbeoordeling (GEB) uit

Als u op grote schaal stemgegevens van werknemers verwerkt, vereist AVG Artikel 35 een GEB. Documenteer:

• Welke gegevens u verzamelt (stemopnamen, transcripten, sprekersnamen)
• Waarom u deze verzamelt (bedrijfsrechtvaardiging)
• Risico’s voor de privacy van werknemers
• Mitigatiemaatregelen (versleuteling, toegangscontroles, bewaartermijnen)
• Noodzakelijkheidsanalyse (kunt u het doel bereiken met minder gegevens?)

Raadpleeg uw functionaris voor gegevensbescherming (FG) of juridisch team.

Stap 2: Kies Uw Juridische Grondslag

Besluit of u gebruikmaakt van gerechtvaardigd belang (Artikel 6(1)(f)) of toestemming (Artikel 6(1)(a)).

Gerechtvaardigd belang: Vereist een gedocumenteerde GIB. Eenvoudiger voor operationele vergaderingen waarbij deelname deel uitmaakt van de functie.

Toestemming: Vereist opt-in workflows. Beter voor optionele vergaderingen, trainingssessies of situaties waarin transcriptie niet essentieel is voor de bedrijfsvoering.

Stap 3: Werk Uw Privacybeleid Bij

Voeg een sectie toe over het opnemen en transcriberen van vergaderingen. Inclusief:

• Welke tools u gebruikt (namen van leveranciers)
• Waar gegevens worden verwerkt (land, cloudprovider)
• Bewaartermijnen (specifieke tijdslijnen)
• Toegangscontroles (wie transcripten kan zien)
• Werknemersrechten (hoe toegang te krijgen, te verwijderen of bezwaar te maken)

Maak het toegankelijk voor alle werknemers voordat u begint met opnemen.

Stap 4: Implementeer Toestemmingsworkflows

Als u toestemming als juridische grondslag gebruikt:

• Stuur meldingen voorafgaand aan de vergadering waarin wordt uitgelegd wat er zal worden opgenomen
• Zorg voor een opt-out mechanisme
• Documenteer toestemming (tijdstempel, werknemers-ID, vergaderings-ID)
• Bied alternatieve deelnamemethoden aan voor werknemers die weigeren

Stap 5: Configureer Automatische Verwijderingsbeleid

Stel bewaarregels in uw transcriptietool in:

• 7 dagen voor dagelijkse standups
• 30 dagen voor de meeste operationele vergaderingen
• 90 dagen voor projectgerelateerde inhoud
• Aangepaste retentie voor HR/juridische zaken (met rechtvaardiging)

Test automatisch verwijderen om er zeker van te zijn dat het daadwerkelijk werkt. Veel tools beweren automatisch te verwijderen, maar vereisen handmatige triggers.

Stap 6: Onderteken Gegevensverwerkingsovereenkomsten (GVO’s)

Als u een cloudgebaseerde tool gebruikt, bent u een gegevensbeheerder en is de leverancier een gegevensverwerker. AVG Artikel 28 vereist een schriftelijke GVO.

Vraag GVO’s aan bij:

• Otter.ai, Fireflies.ai, Grain, tldv (allemaal bieden ze die aan)
• Uw videoconferentieprovider (Zoom, Teams, Meet)
• Elke cloudopslag waar transcripten worden opgeslagen (Google Drive, OneDrive, Dropbox)

Stap 7: Train Managers en Werknemers

De meeste nalevingsfouten treden op omdat gebruikers de regels niet kennen. Bied training over:

• Wanneer opnemen wel en niet is toegestaan
• Hoe toestemming te verkrijgen
• Wat wel en niet gedeeld mag worden vanuit transcripten
• Hoe om te gaan met verzoeken van betrokkenen om inzage
• Bewaarbeleid

Maak er een terugkerende training van (minimaal jaarlijks).

Wat te doen met ScreenApp

We hebben ScreenApp specifiek gebouwd om deze nalevingsproblemen op te lossen. Zo gebruikt u het op een privacy-conforme manier:

1. Schakel on-device transcriptie in voor gevoelige vergaderingen (HR, juridisch, functioneringsgesprekken)
2. Gebruik EU-gegevensresidency als uw bedrijf onder de AVG valt
3. Stel automatisch verwijderen in op 30 dagen voor de meeste vergaderingen (of korter als u geen langdurige bewaring nodig heeft)
4. Schakel de nul-gegevensbewaarmodus in voor maximale privacy (transcripten verlaten uw browser nooit)
5. Gebruik op rollen gebaseerde toegangscontroles om te beperken wie transcripten kan zien

Optioneel: Schakel API-toegang in ($19/maand) om aangepaste bewaarworkflows te bouwen en te integreren met uw nalevingssystemen.

Nadat u heeft geïmplementeerd

Zodra uw conforme transcriptiesysteem is geïmplementeerd:

• AI Vergadernotulist: Genereer gestructureerde notities uit conforme transcripten
• Videosamenvatter: Verander vergaderingen van een uur in samenvattingen van 2 minuten
• Video naar Document: Exporteer transcripten met tijdstempels voor archivering

Veelgestelde vragen

Mag ik vergaderingen transcriberen zonder toestemming van werknemers?

Volgens de AVG heeft u ofwel een wettelijke basis (Artikel 6) OF toestemming nodig. Legitiem belang (Artikel 6(1)(f)) kan voldoende zijn voor operationele vergaderingen waarbij transcriptie een gedocumenteerde zakelijke behoefte dient. Maar u moet werknemers nog steeds informeren en hen de mogelijkheid geven bezwaar te maken. In Duitsland, Frankrijk en Oostenrijk vereisen ondernemingsraden vaak expliciete toestemming, ongeacht de wettelijke basis.

Wat is het verschil tussen transcriptie op het apparaat en transcriptie in de cloud voor privacy?

Transcriptie op het apparaat verwerkt audio lokaal op uw computer. Audio verlaat uw machine nooit, dus er is geen toegang door derden, geen grensoverschrijdende gegevensoverdracht en geen beveiligingsrisico van de leverancier. Cloudtranscriptie stuurt audio naar servers van derden (meestal AWS of Google Cloud), wat verwerkersovereenkomsten vereist, GDPR-overdrachtsverplichtingen creëert en afhankelijk is van de beveiligingspraktijken van de leverancier.

Hoe lang mag ik vergadertranscripties bewaren onder de GDPR?

GDPR Artikel 5(1)(e) vereist opslagbeperking: u mag gegevens alleen bewaren zolang als nodig is voor het doel waarvoor u ze hebt verzameld. Voor het bijhouden van actiepunten is 30 dagen redelijk. Voor projectdocumentatie 90 dagen. Voor HR- of juridische zaken kan het arbeidsrecht 3-7 jaar vereisen. U moet uw bewaartermijn rechtvaardigen en beleid voor automatische verwijdering implementeren.

Heb ik een verwerkersovereenkomst nodig met mijn transcriptieleverancier?

Ja, als de leverancier namens u werknemersgegevens verwerkt (GDPR Artikel 28). Cloudgebaseerde tools zoals Otter.ai, Fireflies.ai, Rev.ai en Grain vereisen allemaal verwerkersovereenkomsten. De leverancier moet een standaard DPA-sjabloon aanbieden. Controleer dit om er zeker van te zijn dat het de gegevenslocatie, subverwerkers, beveiligingsmaatregelen, melding van datalekken en verplichtingen inzake gegevensverwijdering dekt.

Wat gebeurt er als een werknemer om verwijdering van zijn transcriptiegegevens vraagt?

Volgens GDPR Artikel 17 hebben werknemers recht op verwijdering. U moet hun gegevens binnen 30 dagen verwijderen, tenzij u een wettelijke verplichting heeft om deze te bewaren (bijv. arbeidsrecht, lopende juridische procedure). Dit omvat het verwijderen van transcripties, audiobestanden en eventuele back-ups. Documenteer het verwijderingsverzoek en bevestig de voltooiing schriftelijk aan de werknemer.

Is het opnemen van een Zoom-gesprek zonder toestemming illegaal?

Het hangt af van de jurisdictie. In de EU heeft u onder de GDPR een wettelijke basis (toestemming of legitiem belang) nodig en moet u deelnemers op de hoogte stellen. In de VS staat de federale wet opname toe als één partij instemt (de opnemer), maar 11 staten vereisen de toestemming van alle partijen (Californië, Connecticut, Florida, Illinois, Maryland, Massachusetts, Michigan, Montana, New Hampshire, Pennsylvania, Washington). Controleer de lokale wetgeving voordat u opneemt.

Kan ik ChatGPT of Claude gebruiken om vergaderingsafschriften te analyseren?

Mogelijk, maar wees voorzichtig. Het versturen van afschriften naar OpenAI of Anthropic betekent dat stemgegevens van werknemers worden verwerkt door een in de VS gevestigde derde partij. Onder de AVG is dit een grensoverschrijdende gegevensoverdracht die Standard Contractual Clauses en een impactbeoordeling van de overdracht vereist. Beide leveranciers bieden verwerkersovereenkomsten aan, maar u blijft verantwoordelijk voor naleving. Overweeg het gebruik van AI-modellen op het apparaat of in de EU gehoste alternatieven voor gevoelige gegevens.