FAQ naleving en soevereiniteit

Samenvatting

Deze FAQ beantwoordt exact de vragen die een professionele koper en zijn DPO stellen voor de aanschaf van een AI-notitiehulpmiddel. Er worden drie juridische niveaus onderscheiden: wettelijke vereisten (AVG, AI Act), klantvereisten zonder wettelijke verplichting (ISO 27001, Europese hosting) en sectorale verplichtingen (gezondheid, overheid). Elke antwoord is onderbouwd met bewijs. Technische termen (DPA, gesloten circuit, diarizatie) zijn gedefinieerd in de glossarium van het AI-notitiehulpmiddel.

Noch ISO 27001, noch hosting in Frankrijk zijn universele wettelijke verplichtingen. Klanten eisen het wel, en twee sectoren verplichten het: gezondheid en overheid.

Belangrijkste antwoord: hosting AWS regio Parijs, Scaleway-optie bij groot licentievolume, LLM (OpenAI) uitgevoerd via Azure Frankrijk in gesloten circuit, geen training op klantgegevens, versleuteling in transit en rust, ISO 27001 gecertificeerd, ISO 42001 in voorbereiding, NIS2 in afronding, EU AI Act naleving, DPA en lijst onderaannemers en ISO-certificaat op aanvraag, circa 10.000 Europese bedrijven, Belgisch bedrijf.

1. Locatie en hosting van data

Verlaat mijn data de Europese Unie?

Nee, opslag en verwerking blijven in Frankrijk. De nuance betreft de infrastructuurprovider: opslagregio is Europees, maar AWS is een Amerikaans bedrijf (zie Cloud Act). Voor strikte soevereiniteit (geen extraterritoriale wetgeving) is Scaleway de oplossing.

Wat is precies "soevereine" hosting?

Een veeleisende koper controleert drie zaken: datacenters fysiek in Frankrijk, een juridische entiteit onder Frans of Europees recht zonder extraterritoriale wetten, en Europees kapitaalbeheer. AWS Parijs voldoet aan locatie, niet aan immuniteit. Scaleway voldoet aan alle drie.

Is hosting in Frankrijk wettelijk verplicht?

Nee, niet algemeen. De AVG vereist niet dat data in Frankrijk of Europa blijft voor de meeste verwerkingen. Soevereine hosting is verplicht voor sommige sectoren: gezondheidsdata (via HDS-gecertificeerde host) en publieke sector voor gevoelige data (SecNumCloud traject, SREN-wet). Verder is het een groeiende klantvraag, geen wettelijke eis.

2. AI-training

Trained Leexi zijn AI op mijn vergaderingen?

Nee. Uw gesprekken worden niet gebruikt om modellen te trainen. Dit geldt standaard voor alle accounts. Dit is ook een eerste controlepunt voor technische teams en reden waarom kopers Leexi verkiezen boven Amerikaanse tools.

Is Leexi "gebaseerd op ChatGPT"? Gaan mijn data naar OpenAI?

Het taalmodel is van OpenAI, maar draait via Azure Frankrijk in een gesloten circuit. Uw data worden niet gebruikt voor training en zijn niet toegankelijk voor derden. Gesloten circuit betekent verwerking binnen een gecontroleerde Franse omgeving.

Hoe bewijs ik dit aan mijn DPO?

Leexi documenteert dit in het nalevingsdossier, inclusief DPA en lijst onderaannemers. Niet-training staat zwart-op-wit.

3. Certificeringen en normen

Welke andere certificeringen heeft of bereidt Leexi voor?

ISO 42001 (AI managementsysteem) is in voorbereiding. NIS2 naleving wordt afgerond. Leexi volgt de EU AI Act. Regelmatige audits, ook door klanten.

Is NIS2 of ISO 27001 de wettelijke beveiligingsplicht?

NIS2 is de wettelijke beveiligingsplicht voor "essentiële" en "belangrijke" entiteiten. ISO 27001 is een middel om daaraan te voldoen, geen wettelijke verplichting op zich.

Is Leexi SecNumCloud-gekwalificeerd?

Nog niet. SecNumCloud (ANSSI) garandeert hogere beveiliging en immuniteit tegen extraterritoriale wetten, vooral voor publieke sector gevoelige data (SREN-wet). Niet vereist voor standaard B2B gebruik.

4. DPA, onderaannemers en aankoopbewijzen

Ondertekent Leexi een Data Processing Agreement (DPA)?

Ja. DPA wordt geleverd. Dit is een standaarddocument dat professionele kopers vragen om toezicht op verwerking aan te tonen.

Welke documenten levert Leexi voor aankoop- of aanbestedingsdossiers?

DPA, lijst onderaannemers, ISO 27001 certificaat en hostinglocatie. Dit zijn precies de bewijzen die kopers in 2026 vragen: DPA, auditrechten of derde nalevingsrapporten, locatie, onderaannemerslijst. Zonder deze bewijzen wordt een leverancier uitgesloten.

5. Toestemming en informatie deelnemers

Moeten deelnemers weten dat een vergadering wordt opgenomen?

Ja. AVG en EU AI Act verplichten deelnemers te informeren dat een vergadering wordt opgenomen en dat een AI-assistent notities maakt. "Deze vergadering wordt opgenomen" is niet genoeg: AI-gebruik moet in de uitnodiging, mondeling aan het begin en zichtbaar tijdens de vergadering worden vermeld.

Wat is de wettelijke basis voor opname?

Afhankelijk van context. Intern kan werkgever beroep doen op gerechtvaardigd belang, mits belangenafweging en voorafgaande informatie; werknemerstoestemming wordt zelden als vrij beschouwd vanwege gezagsverhouding. Bij gesprekken met klanten of externen is expliciete toestemming meestal vereist. Opname en transcriptie zonder wettelijke basis, voorafgaande info en bewaartermijn is illegaal.

6. Overdrachten buiten EU en Cloud Act

Kan de Amerikaanse Cloud Act van toepassing zijn op mijn data bij Leexi?

Goede vraag. Data worden in Frankrijk opgeslagen, maar AWS is Amerikaans bedrijf, dus theoretisch Cloud Act van toepassing. Voor strikte soevereiniteit en immuniteit is Scaleway (Franse speler) de juiste keuze. Leexi beweert niet dat AWS Parijs immuun is, maar biedt een alternatief.

Wat is het verschil met Amerikaanse tools zoals Otter of Fireflies?

Tools die alles in VS hosten en verwerken vallen onder Schrems II regels en Data Privacy Framework. Het toestemmingsmodel van sommige Amerikaanse tools, waarbij één deelnemer opname start voor allen, is kwetsbaar volgens AVG-artikelen 6 en 7. Leexi slaat op in Frankrijk, verwerkt daar en vereist standaard toestemming. Vergelijking is alleen met Amerikaanse tools, bv. AI-notitiehulpmiddel alternatieven voor Teams.

7. Technische beveiliging

Zijn mijn data versleuteld?

Ja, tijdens overdracht en in rust.

8. EU AI Act

Wat verandert de EU AI Act voor de keuze van een AI-notitiehulpmiddel in 2026?

De keuze wordt eerst een juridische beslissing. Bedrijven moeten hun AI-tools in kaart brengen, impactanalyses doen voor gevoelige toepassingen en leveranciers op naleving controleren. Leverancier moet naleving kunnen bewijzen en auditrechten of derde nalevingsrapporten geven. Dit is een dubbele beveiliging naast AVG.

Is Leexi conform de EU AI Act?

Leexi volgt de EU AI Act, vooral transparantie (zichtbare assistent, deelnemersinformatie) en bereidt ISO 42001 voor voor AI-management. Amerikaanse tools hebben deze verplichtingen niet, wat een echte differentiatie is.

9. Soevereiniteit: vraag en discours

Waarom is datasoevereiniteit een aankoopcriterium geworden?

Omdat de afhankelijkheid groot is en beslissers zich daarvan bewust zijn. Circa 70% van de Europese cloudmarkt is geconcentreerd bij AWS, Azure en Google, bijna 80% van Europese clouduitgaven gaat naar Amerikaanse leveranciers, en circa 70% van Franse data wordt buiten EU gehost. Deze afhankelijkheid creëert vraag naar Europese alternatieven, en publieke markten stimuleren gecertificeerde Europese oplossingen.

Is Leexi een geloofwaardig soeverein alternatief voor Amerikaanse tools?

Leexi is een Belgisch bedrijf, slaat op in Frankrijk, vereist standaard toestemming, heeft ISO 27001 en biedt soevereine hosting met Scaleway. Voor kopers die Amerikaanse tools vanwege datatransfer uitsluiten, is het vaak de toegangspoort.

10. Per sector

Ik werk in of met de publieke sector. Wat moet ik controleren?

De publieke sector volgt SecNumCloud traject voor gevoelige data, gereguleerd door SREN-wet, met opslagterritorialiteit en versterkte contractclausules. Leexi is nog niet SecNumCloud-gekwalificeerd: voor gevoelige publieke data is dit cruciaal. Voor regulier administratief gebruik zonder gevoelige data voldoen Franse hosting en ISO 27001 aan de meeste eisen.

Ik ben advocaat, consultant, HR of accountant. Ben ik betrokken?

Ja, vanwege vertrouwelijkheid van data: klantdossiers, kandidaatdata, financiële info. AVG-verplichtingen (rechtmatige grondslag, informatie, bewaartermijn) gelden volledig, en klanten kunnen garanties eisen over locatie en geen AI-training. Franse hosting, geen training en DPA van Leexi voldoen direct aan deze behoefte.

11. Documenten voor uw DPO

Wat geef ik concreet aan mijn DPO om Leexi te valideren?

Zes documenten die Leexi levert: hostinglocatie (Frankrijk, AWS Parijs, Scaleway-optie), attest geen training, ISO 27001 certificaat, DPA, lijst onderaannemers en bewaarbeleid. Dit dossier geeft u aan uw DPO. Terwijl interne validatie loopt, kunt u Leexi testen in een echte vergadering.