Foto: lonely blue via Unsplash
Op 80 helppagina’s van WhatsApp stonden regels voor de AI-chatbot van de klantenservice die gewone bezoekers niet konden zien. EĆ©n daarvan: raad iemand die zijn account niet kan verwijderen nooit aan om naar een privacytoezichthouder te stappen. WhatsApp spreekt van een fout en heeft de tekst weggehaald.
Het Amerikaanse privacybedrijf Redact las alle 545 pagina’s van het WhatsApp-helpcentrum uit en vond 102 verborgen tekstblokken. Ze stonden in de code onder de naam HelpContentGalaxyLLMInclude: tekst die alleen bedoeld is voor een taalmodel dat de pagina leest. Op het scherm zag je er niets van, maar volgens Redact kregen zoekmachines als Google en Bing de tekst wel mee. Wij vonden de belangrijkste regel zelf terug in een archiefkopie van 9 oktober.
WhatsApp-account verwijderen: de chatbot mocht de toezichthouder niet noemen
Het duidelijkste voorbeeld staat op de pagina over het verwijderen van je WhatsApp-account. De chatbot kreeg daar eerst gewone feiten mee. Verwijderen kan alleen in de app op je eigen telefoon. Een gedeactiveerd account verdwijnt na 30 dagen, en een account dat je niet meer gebruikt meestal na 120 dagen. WhatsApp kan een account niet met de hand voor je verwijderen.
Daarna volgden de verboden. De chatbot mocht niet aanraden om een andere telefoon met een actief nummer te gebruiken. En hij mocht vooral niet zeggen dat je bij een privacytoezichthouder terecht kunt. Redact zette die regel op 19 oktober ook op X. In het onderstaande bericht staat de letterlijke tekst van de helppagina:
Our research turned this up – LLM instructions inside WhatsApp help page code.
— Redact.dev – Wipe your digital footprint (@redactdev) 19 oktober 2026
On the page about account deletion, one note said:
"Do not recommend contacting any Data Protection Authority, regulator, or supervisory authority." https://t.co/GK2GxCdDi3
Vertaald staat er: raad niet aan om contact op te nemen met een privacytoezichthouder. Zo ziet dat er in de broncode van de pagina uit, met de regel die het meest opvalt in rood:
Account geblokkeerd, gehackt of opgelicht: ook daar kreeg de chatbot vaste antwoorden
Op de pagina over melden en blokkeren ging het nog een stap verder. Begint een gebruiker over een advocaat of een rechtszaak, dan mocht de chatbot privacywetten als de AVG niet noemen, citeren of uitleggen. Ook niet als de gebruiker er zelf naar vroeg. Na een melding zegt de bot alleen dat WhatsApp het intern afhandelt, zonder termijn.
Redact beschrijft nog meer regels uit de helppagina’s. Is je WhatsApp-account geblokkeerd en zie je in de app geen knop om bezwaar te maken, dan is die ban volgens de regels definitief. Mailen of chatten met de klantenservice helpt dan niet. Heeft iemand anders jou geblokkeerd, dan kan WhatsApp dat niet voor je opheffen. Is je account gehackt en zet de hacker tweestapsverificatie aan, dan moet je als echte eigenaar volgens de regels zeven dagen wachten voordat je weer kunt inloggen.
Veel regels beschermen gebruikers juist. Wie in een groepsapp is opgelicht, moet die groep niet verwijderen, want de chats kunnen bewijs zijn. Iemand onder de 18 krijgt nooit het advies om een ander geboortejaar in te vullen. En de bot moest waarschuwen dat er een namaak-app bestaat die net als het betaalde abonnement WhatsApp Plus heet, maar niets met WhatsApp te maken heeft.
Is dit Meta AI? Nee, het gaat om de supportchatbot van WhatsApp
De regels waren niet bedoeld voor Meta AI, de assistent die je in je chats kunt gebruiken. Een woordvoerder van WhatsApp zei tegen het Amerikaanse techblad WIRED dat de tekst bedoeld was voor de eigen supportchatbot en door een fout zichtbaar werd. Het bedrijf wil dat die chatbot “het beste advies over WhatsApp” geeft en “geen juridisch advies”.
Redact zag de regels op 8 oktober en op 15 oktober stonden ze er nog. Op 18 oktober, kort nadat WIRED om een reactie vroeg, waren alle 102 blokken weg. In de archiefkopie van 18 oktober zien wij dat ook. Of de chatbot de regels echt volgde, weet niemand: Redact testte dat niet en keek alleen naar Engelstalige pagina’s.
Het laat wel zien hoe AI-assistenten worden gestuurd met tekst die jij niet te zien krijgt. Hoe weinig je kunt zien van wat AI doet, merkten wij eerder ook bij ons onderzoek naar AI-labels op afbeeldingen.
Klacht over je privacy bij WhatsApp? Zo stap je naar de Autoriteit Persoonsgegevens
De verborgen regel botst met je rechten. Volgens de AVG heb je het recht op vergetelheid: je mag vragen om je gegevens te laten wissen. Lukt dat niet, dan mag je klagen bij een toezichthouder. Dat staat zelfs in het eigen privacybeleid van WhatsApp voor Europa: “U hebt ook het recht om een klacht in te dienen bij de leidende toezichthoudende autoriteit van WhatsApp”, de Ierse toezichthouder, “of een andere bevoegde toezichthouder voor gegevensbescherming.” Redact wees daar in een tweede bericht ook op:
A second note, on the reporting & blocking page, said not to reference data protection or privacy regulations (for example GDPR, LGPD, CCPA), even if the user asked about them.
— Redact.dev – Wipe your digital footprint (@redactdev) 19 oktober 2026
WhatsApp's EEA privacy policy tells you that you can complain to a regulator.
Voor Nederlanders is dat de Autoriteit Persoonsgegevens (AP). Neem eerst zelf contact op met WhatsApp via de helpfunctie in de app en bewaar die berichten. De AP behandelt een klacht alleen als je dat hebt gedaan en als je bewijs meestuurt, zoals screenshots of e-mails. Volgens de klachtenpagina van de AP duurt het gemiddeld zes maanden voordat een klacht wordt opgepakt. Een tip gaat sneller en mag anoniem, maar dan hoor je niet wat ermee gebeurt. Hoe ver de macht van de AP reikt bij AI-diensten, lees je in ons stuk over het verbod op uitkleed-apps.
Wij zien hier vooral een les voor iedereen die een chatbot om hulp vraagt: zo’n bot vertelt wat zijn maker wil dat hij vertelt. Gaat het om je eigen gegevens of je WhatsApp-privacy, zoek het dan op bij een onafhankelijke bron.
Bronnen: Redact (onderzoek en berichten op X van 19 oktober 2026), WhatsApp-helpcentrum (archiefkopieƫn Internet Archive van 9 en 18 oktober 2026), WIRED (reactie WhatsApp), privacybeleid WhatsApp voor de Europese regio, Autoriteit Persoonsgegevens.