AVG by design: onze stack in 5 beslissingen

"Wij zijn AVG-conform."

Die zin hoort u in 100% van de demo's van AI-leveranciers. Het echte onderwerp is niet de zin: het is het operationele bewijs achter hosting, subverwerkers, toegang en omkeerbaarheid.

Het probleem is dat "AVG-conform" geen precieze juridische definitie heeft. Het is een verklaring. Geen verbintenis. Geen audit. Geen contract.

Hier zijn de vijf vragen die wij stellen aan elke klant die ons evalueert — en die wij u aanmoedigen te stellen aan elke AI-leverancier. Daarnaast, onze eigen antwoorden.

Vraag 1 — Waar wordt de data opgeslagen?

Het foute antwoord. "Op AWS." (Impliciet: we weten niet echt in welke regio, en dat is een probleem.)

Ons antwoord. De hostingopties worden vastgelegd bij contractsluiting, met een voorkeur voor Europese infrastructuur zoals OVHcloud en Scaleway wanneer de scope van de klant dat toelaat. Subverwerkers, verwerkingslocaties en bewaartermijnen worden gedocumenteerd in de DPA.

Waarom dat telt: het jurisdictiegebied van de leverancier, zijn dochterondernemingen, doorgiftes en subverwerkers kunnen het reële risiconiveau wijzigen. Geografisch Europese hosting volstaat niet: u hebt een contractuele en technische kaart nodig.

Vraag 2 — Welk model verwerkt mijn prompts?

Het foute antwoord. "We gebruiken GPT-4." (Impliciet: uw data gaat naar OpenAI, wordt potentieel 30 dagen gelogd en u hebt er geen controle over.)

Ons antwoord. Hugo, Lea en Maya steunen op een combinatie van self-hosted modellen (Mistral Large 2, Llama 3.3 70B) uitgerold op Scaleway-infrastructuur, en third-party modellen via soevereine API's (Mistral La Plateforme, gehost in Frankrijk) voor taken die dat verantwoorden.

Standaard kiezen we voor modellen en verwerkingen die in lijn liggen met het met de klant overeengekomen kader. Elke routering via een third-party model moet in de DPA worden gedocumenteerd, en elke klant kan een strenger regime vragen als zijn risiconiveau dat vereist.

Vraag 3 — Hoe lang bewaart u mijn data?

Het foute antwoord. "Voor de duur van onze contractuele relatie." (Impliciet: voor onbepaalde tijd, in back-ups, of om onze modellen te trainen.)

Ons antwoord. Drie bewaarniveaus, door de klant configureerbaar:

• Operationele data (cv's, gesprekstranscripts, audits): enkel bewaard zolang strikt noodzakelijk voor de dienst, verwijderd op een configureerbare trigger (30, 90, 180, 365 dagen).
• Technische logs (wie wat deed, wanneer): maximaal 13 maanden, conform de aanbevelingen van de toezichthouder inzake security traceability.
• Trainingsdata: het gebruik van klantdata voor training is standaard uitgesloten en in de DPA omkaderd. Indien er toch een specifieke case zou worden gevraagd, zou die onderworpen worden aan een afzonderlijke, gedocumenteerde en auditeerbare overeenkomst.

Bij contractbeëindiging: volledige purge binnen 30 dagen, vernietigingscertificaat aangeleverd.

Vraag 4 — Wie heeft toegang tot mijn data aan uw kant?

Het foute antwoord. "Ons supportteam." (Impliciet: iedereen, indien nodig, zonder traceability.)

Ons antwoord. Drie gedefinieerde rollen:

• L1-support: ziet enkel metadata (volumes, status, geanonimiseerde fouten). Geen toegang tot business data.
• L2-support: kan business data raadplegen enkel na een privilegeverhoging die door de klant is ondertekend, gelogd en beperkt in de tijd (max. 4 uur, gekoppeld aan een ticket).
• Engineering: geen productietoegang, behalve bij majeure incidenten, met akkoord van de DPO van de klant en de onze.

Alle toegangen worden op een immutable register gelogd (append-only, ondertekend), op elk moment door de klant raadpleegbaar via het dashboard.

Vraag 5 — Bent u transparant over subverwerkers?

Het foute antwoord. "We hebben conforme subverwerkers." (Impliciet: we weten niet echt welke, en de lijst verandert zonder u te verwittigen.)

Ons antwoord. Onze publieke lijst van sub-subverwerkers is permanent beschikbaar op belogic.ai/dpa/subprocessors. Elke wijziging veroorzaakt een e-mailverwittiging van 30 dagen aan alle DPO's van klanten vóór ze ingaat, met recht van bezwaar.

Op vandaag werken we met: OVHcloud (hosting), Scaleway (hosting + GPU), Mistral AI (modellen), Stripe (betalingen, gescheiden data), self-hosted Sentry (monitoring, op onze infra). That's it.

Waarom we deze antwoorden publiceren

Omdat AVG-conformiteit geen verkoopsargument mag zijn. Het zou een industriestandaard moeten zijn. Tot het zover is, blijft transparantie een differentiator.

En omdat onze klanten, in grote meerderheid, industriële bedrijven, consultancies en mid-market firma's zijn die ongelijk zouden hebben te tekenen bij een AI-leverancier wiens infrastructuur onzichtbaar is.

Als uw huidige leverancier de vijf bovenstaande vragen niet helder kan beantwoorden, weet u wat te doen.

En wenst u ze aan BeLogic te stellen — via e-mail, in een videocall of in een RFP — onze DPO antwoordt binnen 48 uur. Dat is dpo@belogic.ai.