De EU AI Act is strenger dan de GDPR. Waar privacyboetes oplopen tot 4% van je omzet, gaat de nieuwe AI-wetgeving naar 7%. Toch heeft 78% van de organisaties nog geen enkele concrete stap gezet. De deadline van 2 augustus 2026 klinkt ver weg, maar de CRM-velden en metadata-structuren die je straks nodig hebt, bouw je niet in een weekend.
Waarom call-logging geen keuze meer is vanaf augustus 2026
Artikel 50 van de EU AI Act is glashelder: klanten moeten weten dat ze met AI spreken. Geen kleine lettertjes, geen verborgen disclaimers. Directe, ondubbelzinnige disclosure bij elk AI-gestuurd gesprek.
De datum 2 augustus 2026 is absoluut. Er komt geen overgangsperiode voor bestaande systemen als het gaat om de disclosure-plicht. Wie vandaag AI-telefonie gebruikt zonder transparante logging, opereert straks illegaal. De compliance countdown is begonnen.
De boetes zijn navenant. Tot €35 miljoen of 7% van de wereldwijde jaaromzet, afhankelijk van wat hoger uitvalt. Ter vergelijking: de GDPR-limiet ligt op 4%. De EU meent het serieus.
Toch heeft 78% van alle organisaties nog geen concrete stappen gezet. Meer dan de helft mist zelfs een basis AI-inventaris. Ze weten niet eens welke systemen onder de wetgeving vallen. Contact center AI voor kwaliteitsmonitoring en sentiment-analyse wordt bijvoorbeeld als 'high-risk' geclassificeerd omdat het werkgelegenheid beïnvloedt. Dat vereist data governance, menselijk toezicht en volledige traceerbaarheid.
De bedrijven die nu hun CRM-velden en metadata-structuren inrichten, bouwen aan een solide fundament. De rest kijkt straks tegen een deadline aan met minder dan een jaar op de klok.
De 7 verplichte elementen van een compliant AI-call-log
De transparantieregels van Artikel 50 beschrijven wat er minimaal gelogd moet worden. Voorlopende organisaties werken al met deze zeven elementen:
Stap 1: Timestamp van AI-disclosure Het exacte moment waarop de klant hoorde dat het een AI-gesprek betrof. Denk aan: '14:32:07 - AI-melding afgespeeld'. Zonder dit veld is compliance onmogelijk.
Stap 2: Volledige transcript Zowel input (wat de klant zei) als output (wat de AI antwoordde). Dit vormt de basis voor traceerbaarheid en eventuele audits.
Stap 3: Menselijke overname-momenten Wanneer en waarom het gesprek naar een medewerker werd doorgeschakeld. De reden telt: technische beperking, klantverzoek of escalatie.
Stap 4: Gespreksduur en routing-data Welk nummer belde, naar welke AI-agent, en eventuele doorschakelingen. Essentieel voor het reconstrueren van de klantreis.
Stap 5: Consent-indicatie Of de klant expliciet of impliciet akkoord ging met AI-afhandeling. Een simpel ja/nee-veld volstaat vaak niet, context is belangrijk.
Stap 6: Systeem-metadata Welke AI-versie werd gebruikt en welke prompts actief waren. Bij incidenten wil je exact weten welke configuratie draaide.
Stap 7: Klanttevredenheidsindicator Optioneel, maar waardevol. Voor systemen die onder high-risk vallen, verwacht de wetgever kwaliteitsmonitoring. Een CSAT-score per gesprek biedt dat inzicht.
De bedrijven die deze structuur nu in hun CRM inbouwen, hoeven straks geen data te migreren onder tijdsdruk.
CRM-velden die je vandaag al moet aanmaken
De meeste CRM-systemen zijn niet ingericht op AI-compliance. Er is geen standaardveld voor 'wanneer hoorde de klant dat dit een AI-gesprek was'. Dat veld bestaat simpelweg niet in Salesforce, HubSpot of Pipedrive. Voorlopende organisaties bouwen daarom nu een dedicated 'AI Compliance' sectie.
De veldstructuur die we bij koplopers terugzien: een disclosure_timestamp voor het exacte moment van de AI-melding, een ai_version veld dat vastlegt welke configuratie actief was, en een human_handover_trigger voor escalatiemomenten. Daarnaast een transcript_url die direct linkt naar de volledige gespreksopname.
Een boolean veld AI_disclosure_confirmed blijkt bijzonder waardevol. Dit veld wordt automatisch gevuld zodra de disclosure-prompt is afgespeeld. Geen handmatige invoer, geen menselijke fouten. Auditors willen precies dit zien.
Voor overname-redenen werken bedrijven met een dropdown: klantverzoek, sentiment-trigger, complexiteit, technisch probleem. Vier opties die 95% van de situaties dekken. De structuur maakt rapportages mogelijk en laat patronen zien.
De echte uitdaging zit in de koppeling tussen telefoonsysteem en CRM. Metadata moet direct worden weggeschreven, zonder tussenkomst. Handmatige invoer is niet schaalbaar en foutgevoelig.
Organisaties die nu starten met een klein aantal testgesprekken, ontdekken snel welke velden niet correct worden gevuld. Dat is waardevolle informatie, ruim vóór de deadline.
Bewaartermijnen en opslagvereisten voor AI-gesprekken
De EU AI Act noemt geen concrete bewaartermijn. Wat de wetgever wel eist: traceerbaarheid gedurende de volledige levenscyclus van het systeem. Dat klinkt vaag, maar de implicatie is helder. Zolang je AI-telefonie draait, moet je kunnen aantonen hoe gesprekken zijn verlopen.
Tegelijkertijd blijft de GDPR van kracht. Persoonsgegevens in transcripts mogen niet langer bewaard worden dan strikt noodzakelijk. Twee wetten, twee logica's, één oplossing nodig.
De praktijk bij voorlopende organisaties laat een duidelijk patroon zien. Compliance-metadata zoals timestamps, systeemversies en disclosure-confirmaties blijven minimaal drie jaar bewaard. Volledige transcripts gaan na twaalf maanden weg of worden geanonimiseerd. Die scheiding is bewust: metadata bewijst compliance, transcripts bevatten persoonsgegevens.
Een tweede scheiding blijkt net zo belangrijk. Geanonimiseerde trainingsdata en identificeerbare klantgesprekken horen niet in dezelfde opslag. Auditors willen zien dat deze stromen gescheiden zijn, zowel technisch als organisatorisch.
De slimste bedrijven documenteren hun bewaarkeuzes nu al in een intern beleidsdocument. Waarom drie jaar voor metadata? Waarom twaalf maanden voor transcripts? Bij een audit is de vraag niet óf je kunt uitleggen wat je doet, maar hoe snel. Een gedocumenteerd beleid met heldere onderbouwing maakt dat gesprek een stuk korter.
High-risk classificatie: extra eisen voor kwaliteitsmonitoring
Contact center AI voor kwaliteitsmonitoring, sentiment-analyse en prestatie-evaluatie valt onder de high-risk categorie. De reden: het kan werkgelegenheid beïnvloeden. Een analyse van de impact op contact centres laat zien wat dit concreet betekent voor organisaties.
-
Data governance en transparantie richting medewerkers zijn verplicht. Werknemers moeten weten wanneer AI hun gesprekken analyseert en op welke criteria wordt gelet. Geen verborgen scoring, geen onduidelijke beoordelingsmethodes.
-
Menselijk toezicht bij beslissingen is niet optioneel. Automatische conclusies over prestaties of geschiktheid vereisen altijd een menselijke tussenstap. De AI adviseert, een mens beslist.
-
Volledige traceerbaarheid van toegangsrechten wordt de norm. Leg vast wie gesprekslogs mag inzien en wie beslissingen mag nemen op basis van AI-analyses. Auditors verwachten een helder overzicht.
-
Extraterritoriale werking betekent dat ook leveranciers buiten de EU compliant moeten zijn. Draait hun AI binnen Europa? Dan gelden de regels. Vergelijkbaar met hoe de GDPR werkt.
-
Certificeringskosten lopen op tot $50.000+ per AI-systeem. Voor organisaties met meerdere high-risk toepassingen telt dit snel op. Budgettering vooraf voorkomt verrassingen.
De bedrijven die nu hun toegangsstructuren en besluitvormingsprocessen documenteren, bouwen aan een audit-proof fundament. De rest betaalt straks de prijs van haastwerk.
Stappenplan: van nul naar compliant in 6 maanden
De bedrijven die nu beginnen, hebben ruim de tijd. Zes maanden is voldoende om van nul naar compliant te gaan. De organisaties die dit traject al hebben doorlopen, volgen een vergelijkbaar patroon.
In maand één en twee ligt de focus op inventarisatie. Welke AI-touchpoints bestaan er in het klantcontact? Telefoon, WhatsApp, chat, allemaal tellen ze mee. De vraag is simpel: welke data wordt nu al gelogd en waar zitten de gaten? Meer dan de helft van alle organisaties mist zelfs een basis AI-inventaris. Die eerste stap blijkt vaak een eye-opener.
Maand drie draait om de CRM-inrichting. De velden voor timestamps, systeemversies en disclosure-confirmaties worden aangemaakt. Een pilotgroep test de automatische logging. Kleine aantallen gesprekken, maar genoeg om te zien welke koppelingen niet correct werken.
In maand vier gaat de AI-disclosure prompt live. Aan het begin van elk gesprek, zonder uitzondering. De timestamp wordt automatisch weggeschreven. Geen handmatige invoer, geen ruimte voor fouten.
Maand vijf is trainingstijd. Teams leren werken met het nieuwe logsysteem. Daarnaast wijzen voorlopende organisaties een interne auditor aan. Iemand die periodiek controleert of de logging daadwerkelijk compleet is.
De zesde maand eindigt met een proef-audit. Eén vraag staat centraal: kun je voor elk gesprek bewijzen dat disclosure heeft plaatsgevonden? Documenteer alles. Bij een echte audit in 2026 moet je je logboek kunnen openen en zeggen: hier staat het.
Wil je zeker weten dat jouw AI-telefonie klaar is voor de EU AI Act? Plan een compliance-check met Voicelabs en ontvang een rapport met precies welke logging je nog mist.