De AVG en AI-samenvattingen van meetings: welk endpoint kies je?

Transcriberen gebeurt in Autorec op je eigen computer. De AI-samenvatting is de enige stap die de deur uit kan. Zet je die aan, dan gaat het transcript naar een LLM-provider die jij kiest, en vanaf dat moment is die provider verwerker van alle persoonsgegevens die in de meeting voorbijkwamen.

Dit artikel gaat over het kiezen van die provider. Het is geen juridisch advies: je functionaris gegevensbescherming of jurist bepaalt wat je grondslag en je risicobereidheid toelaten. De feiten over providers hieronder komen uit hun eigen documentatie, gecontroleerd in oktober 2026. Beleid verandert, dus kijk op de gelinkte pagina’s voordat je op een regel uit de tabel vertrouwt.

Wat Autorec precies verstuurt

De AI-samenvatting van Autorec staat uit tot je een provider toevoegt onder Instellingen → AI-samenvatting. Draait hij, dan gaat er één HTTPS-verzoek rechtstreeks van je computer naar de API-basis-URL die je hebt ingesteld. Er zit geen server van Autorec tussen.

In het verzoek staan:

je samenvattingsprompt, als systeembericht
de tekst van het transcript, als gebruikersbericht
de modelnaam en de maximale lengte van de samenvatting

Daarnaast gaan de extra velden mee die je zelf toevoegt onder Extra request fields (JSON), zoals routeringsopties van een provider. Dat zijn instellingen, geen gegevens over de meeting. Verder gaat er niets weg: geen audio, geen video, geen screenshots, geen bestandsnamen en geen deelnemerslijst. Het hele transcript wordt meegestuurd, dus een lange meeting betekent veel tekst.

De titel en samenvatting die terugkomen, worden naast de opname op je schijf bewaard. Je API-sleutel staat in de lokale configuratie van Autorec, en voor lokale servers heb je er geen nodig.

De audio en video, met stemmen en gezichten, verlaten je computer nooit. Tekst wel, en tekst blijft een persoonsgegeven zodra iemand namen, gezondheidsinformatie of salarissen hardop noemt. Een transcript is niet anoniem alleen omdat het tekst is.

Ons artikel over de AVG en HIPAA behandelt de opnamekant: grondslag, toestemming, bewaartermijnen. Alles daaruit blijft gelden. Dit artikel voegt de stap van de leverancier toe.

De AI-samenvattingsinstellingen van Autorec met de providerlijst open: voorinstellingen gegroepeerd in aggregators, eigen API's van modelmakers, snelle inferentie, lokale servers en Custom

Wat je controleert voordat je een provider kiest

Vier vragen beslissen het meeste.

Waar worden de gegevens verwerkt? “EU” is geen toverwoord, maar het haalt de doorgiftevraag grotendeels van tafel. Verwerking in de VS vraagt om een doorgiftemechanisme en een doorgiftetoets.

Is er een verwerkersovereenkomst? Verwerkt de provider persoonsgegevens namens jou, dan schrijft artikel 28 een overeenkomst voor. Controleer of je die kunt afsluiten zonder eerst een salesgesprek.

Hoe lang wordt de inhoud bewaard? Veel API-providers bewaren prompts een korte tijd om misbruik op te sporen, ook als ze er niet op trainen. “Zero retention” is meestal iets wat je aanvraagt, niet de standaard.

Wordt de inhoud gebruikt om te trainen? Bij API-verkeer is dat bij de grote namen tegenwoordig zelden de standaard, maar het is niet overal hetzelfde en het kan verschillen tussen een gratis en een betaald abonnement.

Providers met hosting in de EU

Mistral

Mistral is de eerste EU-optie in de providerlijst van Autorec (Provider → Mistral, basis-URL https://api.mistral.ai/v1, standaardmodel mistral-small-latest).

Regio: volgens het helpcentrum van Mistral worden gegevens standaard in de Europese Unie gehost, en alleen in de Verenigde Staten als je bewust het Amerikaanse API-endpoint gebruikt. Mistral noemt in zijn Trust Center ook subverwerkers, waarvan sommige buiten de EU.
Verwerkersovereenkomst: Mistral publiceert een Data Processing Addendum bij zijn commerciële voorwaarden.
Training: deze regel moet je goed lezen. Volgens het helpcentrum van Mistral mag je je bij pay-as-you-go op elk moment afmelden voor training, en het beschrijft ook de schakelaar: in Mistral Studio onder Privacy → Anonymous improvement data. Bij de gratis modus van Studio staat dat Mistral je gegevens mag gebruiken om zijn modellen te trainen. Het chatproduct voor consumenten en de API hebben elk een eigen schakelaar. Ga er dus niet van uit, maar open de pagina Privacy van het account waarvan je de sleutel in Autorec zet en controleer het.
Bewaartermijn: Mistral biedt bij betaalde abonnementen een Zero Data Retention-optie voor ondersteunde API-aanroepen, waaronder chat completions. Je vraagt die aan via support en Mistral kan hem goedkeuren of weigeren. Op de helppagina’s van Mistral die ik kon bereiken, staat geen standaardbewaartermijn voor API-inhoud, dus ik noem geen getal. Vraag het na of lees de verwerkersovereenkomst.

Scaleway

De Generative APIs van Scaleway worden in Parijs gehost en zijn volgens Scaleway OpenAI-compatibel, met een endpoint voor chat completions. Autorec heeft er geen voorinstelling voor, dus kies Custom… en vul de basis-URL in uit de console van Scaleway.

Volgens de privacypagina van Scaleway verzamelt, leest, hergebruikt of analyseert het geen prompts of uitvoer, en gebruikt het die ook niet om modellen te trainen. De uitzondering is een onderzoek naar misbruik of een storing: dan kunnen gegevens tot twee weken worden bewaard. De pagina noemt Scaleway als verwerker en verwijst voor de contractuele kant naar het privacybeleid en de voorwaarden voor AI-diensten.

IONOS

IONOS AI Model Hub beschrijft OpenAI-compatibele endpoints en zegt dat alle verwerking plaatsvindt in de eigen Duitse datacenters (Berlijn) en dat klantgegevens nooit worden gebruikt om modellen te trainen. Een bewaartermijn heb ik niet gevonden, dus vraag die na voordat je meetinginhoud erdoorheen haalt. Ook hier kies je Custom….

Andere

OVHcloud AI Endpoints en Aleph Alpha zijn ook Europees. Hun actuele voorwaarden en API-compatibiliteit kon ik tijdens het schrijven niet bevestigen op primaire bronnen, dus ze staan niet in de tabel.

Providers uit de VS

OpenAI en Anthropic hebben allebei een voorinstelling in Autorec. Hun API-standaarden zijn beter dan mensen denken. De open vraag is de doorgifte naar de VS, niet de training.

OpenAI: volgens de documentatie worden API-gegevens niet gebruikt om modellen te trainen, tenzij je daarvoor kiest, en worden logs voor misbruikmonitoring standaard tot 30 dagen bewaard. Voor Zero Data Retention heb je vooraf goedkeuring nodig. Gegevensopslag in de EU (het voorvoegsel eu.api.openai.com) is een projectinstelling, met voorwaarden zoals Zero Data Retention of aangepaste misbruikmonitoring, en niet elk model wordt ondersteund.
Anthropic: volgens het privacycentrum worden invoer en uitvoer van API-gebruikers binnen 30 dagen uit de backend verwijderd, en worden invoer en uitvoer van zakelijke producten standaard niet gebruikt voor training. De verwerkersovereenkomst met standaardcontractbepalingen is automatisch onderdeel van de Commercial Terms. Een optie voor verwerking uitsluitend in de EU kon ik niet bevestigen, dus die beweer ik ook niet.

In één oogopslag

Provider	Verwerkingsregio	Bewaartermijn	Training	Verwerkersovereenkomst
Mistral	Standaard EU; VS-endpoint alleen als je daarvoor kiest	ZDR op aanvraag bij betaalde abonnementen; standaardtermijn niet vermeld op de pagina’s die ik bekeek	Afmeldschakelaar in Studio; gratis versie kan worden gebruikt	Gepubliceerd addendum
Scaleway	Parijs, Frankrijk	Geen opslag van prompts; tot twee weken bij storingsonderzoek	Niet gebruikt	Verwerkersvoorwaarden in privacybeleid en AI-voorwaarden
IONOS	Duitsland (Berlijn)	Niet vermeld	Nooit gebruikt, volgens IONOS	Niet gecontroleerd
OpenAI	VS; opslag in de EU optioneel, met voorwaarden	Tot 30 dagen (misbruiklogs); ZDR na goedkeuring	Niet gebruikt, tenzij je ervoor kiest	Niet gecontroleerd
Anthropic	Niet vermeld als alleen EU	Binnen 30 dagen verwijderd	Standaard niet	Opgenomen in de Commercial Terms

“Niet gecontroleerd” betekent dat ik het niet heb gelezen, niet dat het niet bestaat.

Een gateway voegt een partij toe

Zet je een aggregator zoals OpenRouter voor een model, dan wordt die aggregator ook verwerker, naast het bedrijf dat het model draait. Dat kun je inperken, onder meer met opties per verzoek zoals de zero-data-retention-vlag van OpenRouter, die je kunt instellen in Extra request fields (JSON). Ons artikel over privacy bij OpenRouter loopt de instellingen door. Wil je een overzichtelijk papierspoor, dan is één directe overeenkomst met één EU-provider eenvoudiger te documenteren dan een routeringslaag.

Wanneer lokaal het betere antwoord is

Een EU-endpoint verkleint het risico. Een model op je eigen computer haalt de verwerker helemaal weg: geen leverancier, geen verwerkersovereenkomst, geen doorgifte, geen vraag over bewaartermijnen. Bij meetings met gezondheidsgegevens, informatie onder het verschoningsrecht, personeelszaken of iets onder een strenge geheimhoudingsverklaring van een klant is dat vaak de makkelijkst te verdedigen keuze.

De prijs is hardware en kwaliteit. Een klein model op een laptop schrijft een grovere samenvatting dan een groot gehost model, en lange transcripten gaan traag. Onze handleiding voor een lokale LLM laat zien hoe je Autorec naar Ollama of LM Studio laat wijzen.

Een redelijke verdeling:

gewone interne meetings: een endpoint in de EU met training uit en een getekende verwerkersovereenkomst
gevoelige meetings: een lokaal model, of helemaal geen samenvatting en alleen het transcript

Je kunt in Instellingen altijd van provider wisselen, en samenvattingen worden per opname gemaakt, dus het hoeft niet alles of niets te zijn.

Een korte checklist

Kies de provider en sluit de verwerkersovereenkomst af op het account waarvan je de sleutel gaat gebruiken.
Controleer de traininginstelling op dat account, niet in het algemeen.
Vraag Zero Data Retention aan als de provider dat aanbiedt en je risico erom vraagt.
Vertel deelnemers dat een AI-provider het transcript verwerkt. Je opnamemelding moet de categorie verwerker noemen.
Zet de provider in je verwerkingsregister.
Laat Automatisch samenvatten na transcriptie uit voor meetings die je eerst wilt nakijken.

Autorec houdt de audio op je computer en laat precies zien welke tekst de deur uit gaat. De overeenkomsten en het beleid regel je zelf. Voor de opnamekant lees je de gids over de AVG en HIPAA, en waarom we geen meetingbots gebruiken staat in het artikel over een recorder zonder bot.