Hoelang mag uw AI-chatbot klantgegevens bewaren? De GDPR-valkuil die Belgische webshops over het hoofd zien
Een schoonheidswebshop uit de Kempen ontdekte in 2026 tijdens een interne opruimbeurt dat haar chatbot al drie jaar lang elk gesprek bewaarde — inclusief namen, huidtypes en soms gezondheidsgerelateerde vragen over allergieën. Niemand had ooit een bewaartermijn ingesteld, want de tool deed dat 'automatisch'. Dat is geen uitzondering: het is de standaardinstelling van bijna elke generieke chatbot-tool die niet specifiek voor de Belgische markt gebouwd is.
Belangrijkste inzichten
| Punt | Details |
|---|---|
| Opslagbeperking is geen suggestie, maar een AVG-plicht | Artikel 5.1.e AVG verplicht een concrete, gedocumenteerde bewaartermijn per doel — 'voor altijd bewaren' is per definitie een inbreuk, ongeacht de tool die u gebruikt. |
| De KMO blijft aansprakelijk, niet de softwareleverancier | Als verwerkingsverantwoordelijke draagt uw bedrijf de GDPR-verantwoordelijkheid, ook als een buitenlandse SaaS-chatbot de data technisch host. |
| Boetes lopen op tot 20 miljoen euro of 4% van de wereldwijde jaaromzet | Volgens de Gegevensbeschermingsautoriteit (GBA) geldt dit maximum voor ernstige AVG-inbreuken, ook bij KMO's. |
Een chatgesprek uit 2023 dat in 2026 nog ergens op een server staat
Chatbots voelen aan als iets vluchtigs: een klant typt een vraag, krijgt een antwoord, en de conversatie verdwijnt uit het scherm. Maar achter de schermen gebeurt het tegenovergestelde. Elk gesprek wordt gelogd, vaak inclusief IP-adres, e-mailadres, bestelnummer en soms gevoelige details — een maatadvies bij kledij, een vraag over een medische hulpmiddel, een klacht met naam en adres.
Het probleem is niet dat chatbots data verzamelen. Dat is net hun functie: hoe meer context een AI chatbot heeft over een eerdere bestelling of vraag, hoe beter het antwoord. Het probleem is dat bijna niemand een houdbaarheidsdatum op die data plakt. Bij generieke, buitenlandse chatbot-tools staat de bewaartermijn vaak standaard op 'onbeperkt' of op een termijn die in de kleine lettertjes van de tool zelf ligt vastgelegd — niet in een keuze die de Belgische KMO zelf gemaakt heeft.
Dat is een AVG-inbreuk die niemand doelbewust pleegt, maar waar het bedrijf wel voor verantwoordelijk is. De Gegevensbeschermingsautoriteit (GBA) is daar duidelijk over: wie persoonsgegevens verwerkt via een chatbot, blijft verwerkingsverantwoordelijke, ook als de technische infrastructuur bij een externe partij in de VS of elders draait. 'De tool deed dat automatisch' is geen verweer — het is net het probleem.
Wat de AVG letterlijk vraagt — en wat generieke tools ermee doen
Artikel 5.1.e van de AVG noemt het principe van 'opslagbeperking': persoonsgegevens mogen niet langer bewaard worden dan noodzakelijk voor het doel waarvoor ze verzameld zijn. Dat klinkt abstract, maar wordt heel concreet zodra u het per databron bekijkt. Een vraag over openingsuren heeft geen enkele reden om na de sessie bewaard te blijven. Een klacht die kan leiden tot een geschil, moet net wél lang genoeg bewaard blijven om als bewijs te dienen — vaak tot de wettelijke verjaringstermijn van vijf jaar.
Het punt is: dit is per databron verschillend, en dat is precies wat de meeste generieke chatbot-abonnementen niet toelaten. Ze bewaren alles onder één globale instelling, meestal 12, 24 of 36 maanden, ongeacht of het om een simpele leveringsvraag of een medisch gerelateerde klacht gaat. Wie zo'n tool koopt zonder de instellingen actief te herzien, importeert automatisch een bewaarbeleid dat niet voor de Belgische wetgeving geschreven is.
| Type gegeven | Voorbeeld uit een chatgesprek | Realistische bewaartermijn |
|---|---|---|
| Algemene vraag zonder identificatie | "Wat zijn jullie openingsuren?" | Verwijderen na sessie of max. 30 dagen |
| Bestel- of leveringsvraag | "Waar blijft pakket #4521?" | Bewaren tot afhandeling + korte buffer (bv. 6 maanden) |
| Klacht met geschilpotentieel | "Dit product heeft mijn huid beschadigd" | Tot einde wettelijke verjaringstermijn (max. 5 jaar) |
| Gevoelige/gezondheidsgerelateerde info | Allergie, medisch hulpmiddel, huidtype | Enkel bewaren met expliciete grondslag, kortst mogelijke termijn |
De mythe: "onze chatbot-tool regelt dat wel automatisch"
Dit is de meest voorkomende misvatting bij Belgische KMO's die een chatbot invoeren: de aanname dat compliance een softwarefunctie is in plaats van een beleidskeuze. Populaire, kant-en-klare chatbot-plugins zijn gebouwd om overal ter wereld te werken, niet specifiek om te voldoen aan de AVG zoals de GBA die interpreteert. Ze bieden doorgaans wél een instelling voor bewaartermijn — maar die staat standaard op een waarde die de leverancier commercieel comfortabel vindt (vaak zo lang mogelijk, voor 'analyse' en 'productverbetering'), niet op wat juridisch noodzakelijk is voor uw bedrijf.
De financiële prikkel om dit ernstig te nemen is niet theoretisch. Onder de AVG kunnen boetes oplopen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, wat ook voor een KMO een existentiële dreiging kan betekenen als het misloopt bij een klacht of een controle. Dat is een ander soort risico dan bijvoorbeeld een gemiste lead: een boetedossier sluit u niet af met een nieuwe klant, maar met een juridische procedure.
De oplossing is niet 'geen chatbot gebruiken' — integendeel, een goed ingerichte chatbot verkort wachttijden en verhoogt conversie. De oplossing is een chatbot die vanaf de bouw rekening houdt met bewaartermijnen per databron, in plaats van een generieke tool die u achteraf moet proberen te temmen via een instellingenmenu dat u waarschijnlijk nooit opent.
Hoe het wél moet: bewaartermijn ingebouwd in de flow, niet als los beleid achteraf
De meeste KMO's benaderen GDPR-compliance als een document dat ergens in een map ligt: een privacyverklaring, een verwerkingsregister, misschien een DPO-contactpersoon. Dat is nodig, maar niet voldoende als de onderliggende techniek — uw chatbot, uw CRM, uw AI receptionist — geen enkele technische garantie biedt dat data ook effectief verwijderd wordt op het moment dat het beleid dat voorschrijft.
De juiste volgorde is omgekeerd: eerst classificeert u welke databronnen u heeft en welk doel elk ervan dient, dan koppelt u daar een bewaartermijn aan, en pas dan bouwt u — of laat u bouwen — een flow die dat automatisch afdwingt. Dat is precies waar maatwerk het verschil maakt met een kant-en-klaar abonnement: bij de bouw van de webshop van Emily Sanders Lifestyle, een lifestyle- en fashionmerk waarvoor IoniqAI de volledige website en webshop ontwikkelde, werd niet enkel de voorkant van de winkel opgebouwd, maar ook hoe klantgegevens door die winkel stromen — iets wat generieke webshop-bouwers zelden als architectuurkeuze meenemen, maar wat net het verschil maakt tussen 'compliance op papier' en 'compliance in de code'.
- Stap 1: inventariseer welke gegevens uw chatbot, formulieren en CRM effectief verzamelen — niet wat u dénkt dat ze verzamelen.
- Stap 2: koppel aan elke categorie een concreet doel en een bijhorende bewaartermijn (zie tabel hierboven als vertrekpunt).
- Stap 3: bouw of vraag een technische flow die verwijdering of anonimisering automatisch uitvoert na de vervaltermijn, zonder handmatige tussenkomst.
- Stap 4: leg dit vast in uw verwerkingsregister, zodat u bij een controle door de GBA meteen kunt aantonen dat het beleid ook technisch werkt.
- Stap 5: herhaal deze oefening jaarlijks — nieuwe functies zoals een [AI website builder](/ai-website-builder)-integratie of een nieuwe [marketplace](/marketplace)-koppeling brengen vaak nieuwe databronnen mee.
En dan komt de AI Act er nog bovenop
Bewaartermijnen zijn een AVG-vraagstuk, maar wie klantgegevens uit chatgesprekken gebruikt om AI-modellen te trainen of te verfijnen, komt ook in het vaarwater van de EU AI Act terecht. Die verordening legt, naast transparantieverplichtingen, ook strenge eisen op aan datagovernance bij AI-systemen — met boetes die kunnen oplopen tot 35 miljoen euro of 7% van de wereldwijde jaaromzet voor de zwaarste inbreuken, zoals te lezen valt via de EU Digital Strategy. Voor de meeste Belgische KMO's die een chatbot of receptionist inzetten voor klantcontact, valt dit nog buiten de hoogste risicocategorie, maar het onderstreept wel dat 'we gebruiken toch maar een chatbot' geen vrijgeleide meer is om nonchalant om te springen met klantendata.
Wie hier grondig over nadenkt vóór de implementatie, bespaart zich achteraf een pijnlijke opruimbeurt — en houdt tegelijk een chatbot over die sneller en relevanter antwoordt, net omdat de data die hij wél bewaart, gestructureerd en doelgericht is in plaats van een ongeorganiseerde berg van jaren aan gesprekken. Dat is meteen ook de reden waarom steeds meer Belgische KMO's, van webshops tot dienstverleners, kiezen voor een op maat gebouwde oplossing in plaats van een generiek abonnement van een buitenlandse speler.
Veelgestelde vragen
Moet elk gesprek met een chatbot apart beoordeeld worden op bewaartermijn?
Niet gesprek per gesprek, maar wel per categorie. U bepaalt vooraf welke soorten vragen (levering, klacht, algemene info) welke bewaartermijn krijgen, en de techniek past dat automatisch toe op elk nieuw gesprek dat in die categorie valt.
Is een chatbot van een grote internationale aanbieder per definitie een risico?
Niet per definitie, maar de standaardinstellingen zijn zelden afgestemd op Belgische AVG-verwachtingen. De KMO moet zelf actief de bewaartermijn per databron controleren en aanpassen — dat gebeurt in de praktijk zelden.
Wat als klantgegevens nodig zijn voor een geschil dat langer duurt dan de normale bewaartermijn?
Dan geldt een uitzondering op basis van gerechtvaardigd belang: u mag de data langer bewaren zolang het geschil loopt, mits u dat kunt motiveren en documenteren in uw verwerkingsregister.
Kan VLAIO subsidies geven voor het GDPR-proof maken van een chatbot of CRM-flow?
Digitaliseringssteun via VLAIO richt zich vaak op de bredere automatisering van klantprocessen; raadpleeg de actuele oproepen op vlaio.be om te zien of een compliance-doorlichting binnen de scope valt van de subsidieregeling.
Plan een gratis demo