De enige AI customer agent gebouwd voor de EU.

Of je het nu een chatbot noemt of de Customer Agent, de AVG-positie is dezelfde: Unless is de verwerker en jij blijft verwerkingsverantwoordelijke. Persoonsgegevens blijven in de EU, worden op PII gescreend zodra ze het platform binnenkomen, en gevoelige identificatoren worden omgezet in tokens vóór elke modelaanroep. Je eindgebruikers regelen inzage, rectificatie en verwijdering via je eigen dashboard, waarbij een mens elk verzoek bevestigt voordat er iets verandert.

Ja, of het nu een eenvoudige chatbot is of een volledig agentische. Onder de EU AI Act is Unless de aanbieder van het AI-systeem en ben jij de gebruiksverantwoordelijke. De meeste agentische uitrollen, zoals de Customer Agent, vallen onder beperkt risico. Dat vraagt dat je meldt dat de klant met een AI praat, dat je een audittrail per beslissing bijhoudt, en dat een mens elke uitkomst kan beoordelen of overrulen. Dat zit allemaal standaard in het platform. Ligt een specifieke use case dichter bij hoog risico, dan werken we vooraf met je uit welke aanvullende verplichtingen gelden.

Meestal gelden er drie regimes tegelijk, of je nu een simpele chatbot draait of een agentisch systeem als de Customer Agent. De AVG gaat over de persoonsgegevens die het systeem verwerkt, met jou als verwerkingsverantwoordelijke en Unless als verwerker. De EU AI Act gaat over het AI-systeem zelf: melden, audittrail, menselijk toezicht. En ben je een financiële instelling, dan komt DORA daar bovenop met ICT-risicobeheer, incidentmelding en toezicht op derden. Unless neemt de technische kant van alle drie voor zijn rekening. Dat zit in het platform zelf en wordt er niet per uitrol op geplakt.

De bekende risico's gelden voor elke chatbot, agentisch of niet: persoonsgegevens verwerken zonder goede filtering, antwoorden geven zonder vastlegging van het waarom, of een actie uitvoeren die niemand heeft goedgekeurd. De Customer Agent pakt elk daarvan direct aan: PII wordt gefilterd en omgezet in tokens vóór elke modelaanroep, elk antwoord heeft een audittrail per beslissing die je DPO kan lezen, en de agent zet nooit een onomkeerbare stap zonder dat een mens daar vooraf de grenzen voor heeft vastgesteld. De OWASP Top 10-risico's voor LLM's, van prompt injection tot onveilige verwerking van output en data poisoning, worden op platformniveau beperkt.

Functioneel wel. De AVG kijkt niet naar het etiket. Wat telt is wie verwerkingsverantwoordelijke is, wie verwerker, en waar persoonsgegevens naartoe gaan. De Unless Customer Agent heeft dezelfde AVG-positie of je team het nu een agent, een assistent of een chatbot noemt: EU-dataresidentie, PII-filtering en tokenization bij de gateway, en rechten van betrokkenen afgehandeld via je dashboard.

Standaard niet. De meeste agentische uitrollen vallen onder beperkt risico, ook die van ons in acquisitie, retentie, upsells en support. Dat vraagt om transparantie naar de klant, menselijk toezicht en een audittrail per beslissing, en niet om de zwaardere verplichtingen voor systemen met hoog risico. Kwalificeert jouw specifieke use case wél als hoog risico onder Bijlage III, dan werken we vooraf met je uit welke aanvullende maatregelen gelden.

Dit geldt of je nu een simpele chatbot of de volledige Customer Agent draait: het model dat het uiteindelijke antwoord formuleert ziet nooit persoonsgegevens, het krijgt alleen tokens en gefilterde tekst, nooit een herleidbare naam, e-mailadres of identificator. Het enige onderdeel dat persoonsgegevens wél leesbaar ziet is de PII-detectie zelf, en daarom staat die als subverwerker in je verwerkersovereenkomst, naast de in de EU gehoste cloudaanbieders waarop het platform draait. We beweren niet dat geen enkel onderdeel ooit persoonsgegevens in handen krijgt; we kunnen precies zeggen welk onderdeel dat doet, en dat dat niet het model is.

Unless zelf niet. De cloudinfrastructuur waarop Unless draait wel: AWS heeft ISO/IEC 27001-, 27017- en 27018-certificering, onafhankelijk geaudit. Het eigen managementsysteem voor informatiebeveiliging van Unless is ingericht naar het model van ISO 27001 en 27002:2022, en we werken toe naar ISO/IEC 42001, specifiek voor managementsystemen voor AI.

Op infrastructuurniveau nog niet, en we beweren dat ook niet. Unless draait vandaag op EU-regio's van AWS, en we willen overstappen naar de European Sovereign Cloud van AWS zodra die ondersteunt wat het platform nodig heeft. Waar we vandaag wél voor kunnen instaan, is de datastroom: ruwe persoonsgegevens worden bij de gateway omgezet in tokens en gefilterd, dus ze bereiken een model nooit in een vorm die een aanbieder zou kunnen lezen, welke cloudregio er ook onder ligt.

Ja, en Unless is gebouwd om je te helpen aan je verplichtingen te voldoen, niet om ze zwaarder te maken. Ons ICT-risicobeheer sluit aan op ISO 27001 en de richtlijnen van ENISA. Incidenten melden we binnen afgesproken termijnen. Bij ingrijpende wijzigingen en grote releases laten we externe penetratietests uitvoeren. We maken onze onderaannemers bekend. Het auditrecht en het recht om op te zeggen blijven bij jou.