FAQ naleving en soevereiniteit

Samenvatting

Deze FAQ beantwoordt precies de vragen die een professionele koper en zijn DPO stellen vóór aankoop van een AI-notitiehulpmiddel. Het onderscheidt drie juridische niveaus: wettelijke vereisten (AVG, AI Act), klantvereisten zonder wettelijke basis (ISO 27001, Europese hosting) en sectorspecifieke verplichtingen (gezondheid, overheid). Elke antwoord is onderbouwd. Technische termen (DPA, gesloten circuit, diarizatie) zijn gedefinieerd in de glossarium van het AI-notitiehulpmiddel.

Noch ISO 27001, noch hosting in Frankrijk zijn universele wettelijke verplichtingen. Klanten eisen het, en twee sectoren verplichten het: gezondheid en overheid.

Belangrijkste in één antwoord: hosting AWS regio Parijs, Scaleway-optie boven bepaald licentievolume, LLM (OpenAI) uitgevoerd via Azure Frankrijk in gesloten circuit, geen training op klantdata, encryptie in transit en rust, ISO 27001 gecertificeerd, ISO 42001 in voorbereiding, NIS2 in afronding, EU AI Act-naleving, HDS via partners, DPA en lijst van onderaannemers en ISO-certificaat op aanvraag, circa 10.000 Europese gebruikersbedrijven, Frans-Belgische entiteit.

1. Locatie en hosting van data

Waar worden mijn gegevens gehost en opgeslagen met Leexi?

In Frankrijk. Uw opnames, transcripties en verslagen worden gehost in de regio Parijs op AWS-infrastructuur. Boven een bepaald licentievolume is hosting via Scaleway (Franse aanbieder) optioneel [exacte drempel TE CONTROLER]. De taalmodelverwerking gebeurt via Azure Frankrijk in gesloten circuit.

Verlaat mijn data de Europese Unie?

Nee, opslag en verwerking blijven in Frankrijk. De nuance betreft de infrastructuurprovider: opslagregio is Europees, maar AWS is een Amerikaans bedrijf (zie Cloud Act-vraag). Voor strikte soevereiniteit (geen extraterritoriale wetten) is Scaleway de oplossing.

Wat is precies "soevereine" hosting?

Een veeleisende koper controleert drie zaken: datacenters fysiek in Frankrijk, een juridische entiteit onder Frans/Europees recht zonder extraterritoriale wetten, en Europees kapitaalbeheer. AWS Parijs voldoet aan fysieke locatie, maar niet aan immuniteit tegen niet-Europese wetten. Scaleway voldoet aan alle drie.

Is hosting in Frankrijk wettelijk verplicht?

Nee, niet algemeen. AVG vereist niet dat data in Frankrijk of Europa blijft voor de meeste verwerkingen. Soevereine hosting is verplicht voor sommige sectoren: gezondheidsdata (via HDS-gecertificeerde host) en publieke sector voor gevoelige data (SecNumCloud-traject, SREN-wet). Voor de rest is het een stijgende klantvraag, geen wettelijke eis.

2. AI-training

Trained Leexi zijn AI op mijn vergaderingen?

Nee. Uw gesprekken worden niet gebruikt om modellen te trainen. Dit geldt standaard voor alle accounts. Dit is ook een eerste controlepunt voor technische teams en reden waarom kopers Leexi kiezen na Amerikaanse tools uit te sluiten.

Is Leexi "gebaseerd op ChatGPT"? Gaan mijn data naar OpenAI?

Het gebruikte taalmodel is van OpenAI, maar draait via Azure Frankrijk in gesloten circuit. Uw data wordt niet gebruikt voor training en is niet toegankelijk voor derden. Gesloten circuit betekent verwerking binnen gecontroleerd Frans domein.

Hoe bewijs ik dit aan mijn DPO?

Leexi documenteert dit in het nalevingsdossier, met DPA en lijst van onderaannemers. Niet-training is zwart-op-wit vermeld.

3. Certificeringen en normen

Is Leexi ISO 27001 gecertificeerd?

Ja. ISO 27001 is behaald. Certificaat op aanvraag [exact nummer en scope TE CONTROLER VOOR PUBLICATIE]. ISO 27001 is geen wettelijke verplichting, maar een vrijwillige norm. Het is een feitelijke vereiste in B2B-aanbestedingen, grote accounts en overheidsopdrachten. Klanten mogen niet straffen bij ontbreken, maar wel weigeren zonder.

Welke andere certificeringen heeft of bereidt Leexi voor?

ISO 42001 (AI-managementsysteem) is in voorbereiding. NIS2-conformiteit is bijna afgerond. Leexi volgt EU AI Act. Regelmatige audits, ook door klanten.

Is NIS2 of ISO 27001 de wettelijke beveiligingsverplichting?

NIS2 is dat, voor "essentiële" en "belangrijke" entiteiten. ISO 27001 is een middel, geen wettelijke verplichting.

Is Leexi HDS-gecertificeerd voor gezondheidsdata?

Leexi verwerkt gezondheidsdata via partners [exacte scope TE CONTROLER], geen eigen HDS-certificaat. Voor zorginstellingen is hosting bij HDS-gecertificeerde host wettelijk verplicht; dit moet per geval worden afgestemd.

Is Leexi SecNumCloud-gekwalificeerd?

Nog niet. SecNumCloud (ANSSI) garandeert hogere beveiliging en immuniteit tegen niet-Europese wetten, vooral voor publieke sector gevoelige data (SREN-wet). Niet vereist voor standaard B2B.

4. DPA, onderaannemers en aankoopbewijzen

Ondertekent Leexi een gegevensverwerkingsovereenkomst (DPA)?

Ja. DPA wordt geleverd. Dit is standaard voor professionele kopers om eigen toezicht aan te tonen.

Kan ik de lijst van onderaannemers krijgen?

Ja, lijst wordt verstrekt [nominatieve lijst TE CONTROLER VOOR PUBLICATIE]. Standaard eis van DPO; zonder kan koper de verwerkingsketen niet in kaart brengen.

Welke documenten levert Leexi voor aankoop of aanbesteding?

DPA, lijst onderaannemers, ISO 27001-certificaat en hostinglocatie. Dit zijn precies de bewijzen die een koper in 2026 vraagt: DPA, auditrecht of derdenconformiteitsrapporten, locatie, onderaannemerslijst. Zonder deze bewijzen wordt leverancier uitgesloten.

Heb ik auditrecht op Leexi?

Leexi ondergaat regelmatige klantaudits [contractuele auditmodaliteiten TE CONTROLER]. EU AI Act stimuleert kopers om auditrecht of derdenrapporten te eisen.

5. Bewaring en verwijdering

Hoe lang worden mijn opnames en verslagen bewaard?

Duur is instelbaar [standaardduur Leexi TE CONTROLER]. CNIL adviseert max 6 maanden voor commerciële oproepopnames en ca. 12 maanden voor vergaderverslagen. Beheerde bewaartermijn is een harde AVG-verplichting voor AI-notitiehulpmiddelen.

Kan ik een opname of verslag verwijderen?

Ja [exacte verwijderingsmodaliteiten TE CONTROLER]. Recht op verwijdering is AVG-recht; verslag wordt nooit verzonden vóór uw goedkeuring.

Wie ziet welk verslag binnen mijn organisatie?

Toegangscontrole is dagelijks gebruiks- en aankoopvraagstuk: wie ziet wat, goedkeuring vóór verspreiding, gecontroleerd delen [rol- en permissiedetails TE CONTROLER per product].

6. Toestemming en informatie deelnemers

Moet ik deelnemers informeren dat een vergadering wordt opgenomen?

Ja. AVG en EU AI Act verplichten deelnemers te informeren over opname en AI-notitieassistent. Alleen "deze vergadering wordt opgenomen" is niet genoeg: AI-gebruik moet in uitnodiging, mondeling bij start en zichtbaar tijdens vergadering vermeld worden.

Hoe regelt Leexi toestemming concreet?

Leexi hanteert standaard toestemmingsgedrag dat Amerikaanse tools niet verplichten, en assistent is zichtbaar in vergadering, zoals EU AI Act vereist. Modaliteiten verschillen per land en context: CSE-informatie in Frankrijk, toestemming externe deelnemers bij gesprekken met derden [exacte mechaniek, timestamp toestemming TE CONTROLER].

Wat is de wettelijke basis voor opname?

Afhankelijk van context. Intern kan werkgever beroep doen op gerechtvaardigd belang met belangenafweging en voorafgaande info; werknemerstoestemming wordt zelden als "vrij" gezien door ondergeschiktheid. Bij gesprekken met klanten of externen is expliciete toestemming meestal vereist. Opnemen en transcriberen zonder wettelijke basis, zonder voorafgaande info en zonder beheerde bewaartermijn is illegaal.

7. Overdrachten buiten EU en Cloud Act

Kan de Amerikaanse Cloud Act van toepassing zijn op mijn data bij Leexi?

Goede vraag. Uw data wordt in Frankrijk opgeslagen, maar AWS is Amerikaans bedrijf, dus theoretisch Cloud Act-onderhevig. Voor strikte soevereiniteit en immuniteit tegen extraterritoriale wetten is Scaleway de passende optie. Leexi beweert niet dat AWS Parijs immuun is voor Amerikaanse wetgeving; het biedt alternatief voor wie dat eist.

Wat is het verschil met Amerikaanse tools zoals Otter of Fireflies?

Tools die alles in VS hosten en verwerken vallen onder Schrems II-overdrachtnormen en moeten Data Privacy Framework gebruiken. Toestemmingsmodel van veel Amerikaanse tools, waarbij één deelnemer opname voor allen activeert, is fragiel onder AVG-artikelen 6 en 7. Leexi slaat op in Frankrijk, verwerkt daar en vereist standaard toestemming. Vergelijking is alleen met Amerikaanse tools, bv. AI-notitiehulpmiddelalternatieven voor Teams.

8. Technische beveiliging

Zijn mijn gegevens versleuteld?

Ja, in transit en in rust.

Wie heeft toegang tot mijn data bij Leexi?

Toegang wordt geregeld door beveiligingsbeleid onder ISO 27001 [interne toegang en logging TE CONTROLER]. Onderwerp wordt regelmatig gecontroleerd bij klantaudits.

9. EU AI Act

Wat verandert de EU AI Act voor de keuze van een AI-notitiehulpmiddel in 2026?

AI-toolkeuze wordt primair een juridische beslissing. Bedrijven moeten AI-tools in kaart brengen, impactanalyses doen voor gevoelige toepassingen en leveranciers op naleving controleren. Leverancier moet naleving kunnen aantonen en auditrecht of derdenrapporten bieden. Dubbele borging met AVG.

Is Leexi conform EU AI Act?

Leexi volgt EU AI Act, vooral transparantie (zichtbare assistent, deelnemersinfo) en bereidt ISO 42001 voor AI-management. Amerikaanse tools hebben deze verplichtingen niet, wat een echte differentiatie is.

10. Soevereiniteit: vraag en discours

Waarom is datasovereiniteit een aankoopcriterium geworden?

Omdat afhankelijkheid groot is en beslissers zich dat realiseren. Circa 70% van Europese cloudmarkt is bij AWS, Azure en Google, bijna 80% van Europese clouduitgaven gaat naar Amerikaanse leveranciers, en ca. 70% van Franse data wordt buiten EU gehost. Deze afhankelijkheid voedt vraag naar Europees alternatief, en overheidsopdrachten stimuleren gecertificeerde Europese oplossingen.

Is Leexi een geloofwaardig soeverein alternatief voor Amerikaanse tools?

Leexi is een Frans-Belgische entiteit, slaat op en verwerkt in Frankrijk, vereist standaard toestemming, heeft ISO 27001 en biedt soevereine hostingoptie via Scaleway. Voor kopers die Amerikaanse tools uitsluiten vanwege dataoverdracht is dit vaak de ingang.

11. Per sector

Werk ik in de gezondheidszorg, kan ik Leexi gebruiken?

Persoonsgebonden gezondheidsdata vereist HDS-gecertificeerde hosting, wettelijke verplichting, geen comfort. Leexi bedient dit via partners [exacte scope TE CONTROLER]. Dit moet per geval worden afgestemd vóór engagement; dit is de strengste sector.

Werk ik in of met de publieke sector, wat moet ik controleren?

Publieke sector volgt SecNumCloud-traject voor gevoelige data, gereguleerd door SREN-wet, met opslagterritorialiteit en versterkte contractclausules. Leexi is nog niet SecNumCloud-gekwalificeerd; voor gevoelige publieke data is dit cruciaal. Voor reguliere administratieve data zonder gevoeligheid voldoen Franse hosting en ISO 27001 aan de meeste eisen.

Ben ik advocaat, consultant, HR of accountantskantoor? Ben ik betrokken?

Ja, vanwege vertrouwelijkheid van data die u verwerkt: klantdossiers, kandidaatdata, financiële info. AVG-verplichting (wettelijke basis, info, bewaring) geldt volledig, en uw klanten kunnen garanties eisen over locatie en geen AI-training. Hosting in Frankrijk, geen training en Leexi's DPA voldoen direct aan uw behoeften.

12. Documenten voor uw DPO

Wat geef ik concreet aan mijn DPO om Leexi te valideren?

Zes documenten die Leexi levert: hostinglocatie (Frankrijk, AWS Parijs, Scaleway-optie), attest geen training, ISO 27001-certificaat, DPA, lijst onderaannemers en bewaarbeleid. Dit dossier geeft u aan uw DPO. Terwijl interne validatie loopt, kunt u Leexi testen in een echte vergadering.

Voorbehouden en blokkades

Deze punten zijn gebaseerd op onze data maar wachten op Leexi-bevestiging vóór publieke publicatie. Geen onjuiste of onnauwkeurige info over naleving publiceren, om juridische geloofwaardigheid te bewaren.

• Exact nummer en scope ISO 27001-certificaat.
• Nominatieve lijst onderaannemers.
• Standaard bewaartermijnen en exacte verwijderingsmodaliteiten.
• Licentiedrempel voor Scaleway-optie.
• Scope en modaliteiten HDS via partners.
• Exacte toestemmingsmechaniek (timestamp, multi-landbeheer).
• Contractuele modaliteiten auditrecht en interne toegang.

Het juridische deel van deze FAQ is een samenvatting van bronnen en door Leexi verstrekte feiten, geen juridisch advies. Voor een publieke pagina die Leexi bindt, laat valideren door een jurist.