De CLOUD Act en dicteren: wat het betekent voor je praktijk

Wat is de CLOUD Act?

De Amerikaanse CLOUD Act (2018) geeft Amerikaanse autoriteiten de bevoegdheid om data op te vragen die in beheer is van Amerikaanse bedrijven — ongeacht of die data fysiek in de VS of in de EU staat. Het gaat dus niet om wáár de server staat, maar om wie de aanbieder is.

Voor een Europese organisatie die met een Amerikaanse cloudleverancier werkt, betekent dat: er bestaat een juridische route waarlangs vertrouwelijke gegevens in handen van een buitenlandse overheid kunnen komen, buiten het zicht van de betrokkene.

Waarom dit dicteren raakt

De meeste cloud-dicteertools sturen je audio en/of de getranscribeerde tekst naar een server om de spraakherkenning te doen. Draait die server bij een Amerikaanse aanbieder, dan valt die data potentieel onder de CLOUD Act.

Voor wie patiëntgegevens, cliëntdossiers of vertrouwelijke bedrijfsinformatie dicteert, is dat geen theoretisch detail. Het schuurt met het medisch beroepsgeheim, het verschoningsrecht van advocaten en de zorgplicht onder de AVG. Zie ook AVG & spraak naar tekst.

Wat je kunt controleren

Vraag een leverancier concreet: waar wordt de spraak verwerkt, verlaten audio én tekst mijn apparaat, en bij welk bedrijf (en onder welk rechtsstelsel) draait de verwerking? "Versleuteld" of "servers in de EU" is geen antwoord op de CLOUD Act-vraag — het gaat om wie de aanbieder is.

Een handige leidraad staat in onze AVG-checklist voor praktijk & IT: tien vragen die je elke dicteertool stelt voordat je 'm gebruikt.

De simpelste oplossing: lokaal dicteren

Het risico verdwijnt als de data het apparaat niet verlaat. Bij 100% on-device spraakherkenning gebeurt alles op je eigen Mac of Windows; er is geen cloud-aanbieder die data in beheer heeft, dus er is ook niets dat onder de CLOUD Act opvraagbaar is.

Dat is precies waarvoor Dictum is gebouwd: lokaal, verbatim, met je eigen vakjargon. Meer over de afweging lees je in lokaal vs cloud dicteren, en hoe wij het waarmaken in privacy by design.

Veelgestelde vragen

Helpt het als de cloudleverancier servers in de EU heeft?

Niet noodzakelijk. De CLOUD Act knoopt aan bij de aanbieder, niet bij de locatie van de server. Een Amerikaans bedrijf met EU-servers kan alsnog onder de wet vallen. Lokaal verwerken haalt die hele vraag weg.

Geldt dit ook als ik de tool alleen voor losse notities gebruik?

Zodra audio of tekst naar een externe server gaat, is de route er. Of het gevoelig is hangt af van wat je dicteert — maar voor beroepsgeheim of persoonsgegevens wil je het simpelweg niet laten gebeuren.

Hoe weet ik zeker dat een tool echt lokaal werkt?

Test of het offline werkt en vraag om inzicht: een privacyrapport of logboek van elke verbinding. Dictum heeft een ingebouwd Privacyrapport en een offline-lock die alle niet-lokale verbindingen blokkeert.