De enige AI customer agent, vanaf dag één voor de EU.

Of je het nu een chatbot noemt of de Customer Agent, de GDPR-positie is dezelfde: Unless is de verwerker en jij blijft verwerkingsverantwoordelijke. Persoonsgegevens blijven in de EU, worden op PII gescreend zodra ze het platform binnenkomen, en gevoelige identificatoren worden omgezet in tokens vóór elke modelaanroep. Je eindgebruikers regelen inzage, rectificatie en verwijdering via je eigen dashboard, waarbij een mens elk verzoek bevestigt voordat er iets verandert.

Ja, of het nu een eenvoudige chatbot is of een volledig agentische. Onder de EU AI Act is Unless de aanbieder van het AI-systeem en ben jij de gebruiksverantwoordelijke. De meeste agentische uitrollen, zoals de Customer Agent, vallen onder beperkt risico. Dat vraagt dat je meldt dat de klant met een AI praat, dat je een audittrail per beslissing bijhoudt, en dat een mens elke uitkomst kan beoordelen of overrulen. Dat geeft het platform je standaard. Ligt een specifieke use case dichter bij hoog risico, dan werken we vooraf met je uit welke aanvullende verplichtingen gelden.

Meestal gelden er drie regimes tegelijk, of je nu een simpele chatbot draait of een agentisch systeem als de Customer Agent. De GDPR gaat over de persoonsgegevens die het systeem verwerkt, met jou als verwerkingsverantwoordelijke en Unless als verwerker. De EU AI Act gaat over het AI-systeem zelf: melden, audittrail, menselijk toezicht. En ben je een financiële instelling, dan komt DORA daar bovenop met ICT-risicobeheer, incidentmelding en toezicht op derden. Unless is gebouwd om de technische kant van alle drie te dragen, niet per uitrol erop geplakt.

De bekende risico's gelden voor elke chatbot, agentisch of niet: persoonsgegevens verwerken zonder goede filtering, antwoorden geven zonder vastlegging van het waarom, of een actie uitvoeren die niemand heeft goedgekeurd. De Customer Agent pakt elk daarvan direct aan: PII wordt gefilterd en omgezet in tokens vóór elke modelaanroep, elk antwoord draagt een audittrail per beslissing die je DPO kan lezen, en de agent zet nooit een onomkeerbare stap zonder dat een mens de grens vooraf heeft goedgekeurd. De OWASP Top 10-risico's voor LLM's, van prompt injection tot onveilige verwerking van output en data poisoning, worden op platformniveau beperkt.

Functioneel wel. De GDPR kijkt niet naar het etiket; wat telt is wie verwerkingsverantwoordelijke is, wie verwerker, en hoe persoonsgegevens bewegen. De Unless Customer Agent heeft dezelfde GDPR-positie of je team het nu een agent, een assistent of een chatbot noemt: EU-dataresidentie, PII-filtering en tokenization bij de gateway, en rechten van betrokkenen afgehandeld via je dashboard.

Standaard niet. De meeste agentische uitrollen, de onze inbegrepen, over acquisitie, retentie, upsells en support, vallen onder beperkt risico. Dat vraagt om transparantie naar de klant, menselijk toezicht en een audittrail per beslissing, en niet om de zwaardere verplichtingen voor systemen met hoog risico. Kwalificeert jouw specifieke use case wél als hoog risico onder Bijlage III, dan werken we vooraf met je uit welke aanvullende maatregelen gelden.

Dit geldt of je nu een simpele chatbot of de volledige Customer Agent draait: het model dat het uiteindelijke antwoord formuleert ziet nooit persoonsgegevens, het krijgt alleen tokens en gefilterde tekst, nooit een herleidbare naam, e-mailadres of identificator. Het enige onderdeel dat persoonsgegevens wél leesbaar ziet is de PII-detectie zelf, en daarom staat die als subverwerker in je verwerkersovereenkomst, naast de in de EU gehoste cloudaanbieders waarop het platform draait. We beweren niet dat geen enkel onderdeel ooit persoonsgegevens in handen krijgt; we kunnen precies zeggen welk onderdeel dat doet, en dat dat niet het model is.

Niet als eigen rechtspersoon. De cloudinfrastructuur waarop Unless draait, wel: AWS heeft ISO/IEC 27001-, 27017- en 27018-certificering, onafhankelijk geaudit. Het eigen managementsysteem voor informatiebeveiliging van Unless is gemodelleerd naar ISO 27001 en 27002:2022, en we werken toe naar ISO/IEC 42001, specifiek voor managementsystemen voor AI.

Op infrastructuurniveau nog niet, en we beweren dat ook niet. Unless draait vandaag op EU-regio's van AWS, en we willen overstappen naar de European Sovereign Cloud van AWS zodra die ondersteunt wat het platform nodig heeft. Waar we vandaag wél voor kunnen instaan, is de datastroom: ruwe persoonsgegevens worden bij de gateway omgezet in tokens en gefilterd, dus ze bereiken een model nooit in een vorm die een aanbieder zou kunnen lezen, welke cloudregio er ook onder ligt.

Ja, en Unless is gebouwd om je verplichtingen te ondersteunen in plaats van er iets aan toe te voegen. Ons ICT-risicobeheer sluit aan op ISO 27001 en de richtlijnen van ENISA, incidenten worden binnen afgesproken termijnen gemeld, het platform ondergaat jaarlijks een penetratietest, en onderaannemers worden bekendgemaakt, met rechten op audit en beëindiging die bij jou blijven.