Är AI-röstagenter förenliga med GDPR? Vad reglerna kräver, och hur ett noggrant upplägg ser ut

Därför beror "GDPR-förenlig" på upplägget, inte på mjukvaran

GDPR reglerar inte produkter. Den reglerar behandling av personuppgifter: varje konkret insamling, lagring och användning av information om en person. En röstagent är alltså aldrig förenlig eller oförenlig i sig. Det är driftsättningen som är det. Samma teknik kan drivas omsorgsfullt eller slarvigt.

Därför säger "GDPR-förenlig" på en produktsida lite i sig själv. De verkliga frågorna är konkreta: vilka uppgifter samlar agenten in, på vilken rättslig grund, var behandlas de, vem kan se dem och hur länge sparas de? En leverantör som sköter sina agenter väl kan svara på var och en med enkla ord. Den här artikeln beskriver hur vi gör, och vad ni bör fråga alla andra.

Vad GDPR kräver av den som hanterar uppgifter från samtal

När någon pratar med en AI-agent lämnar personen oftast personuppgifter efter sig: ett namn, ett telefonnummer, innehållet i samtalet. Fyra skyldigheter i GDPR gör det mesta av jobbet här.

• Rättslig grund. Ni behöver ett giltigt skäl att behandla uppgifterna. Oftast är det samtycke, de steg som krävs för att hantera personens eget ärende, eller ett berättigat intresse ni kan försvara.
• Öppenhet. Människor ska kunna ta reda på vem som hanterar deras uppgifter, i vilket syfte och vilka rättigheter de har. Att gömma undan det räknas inte.
• Dataminimering. Samla bara in det jobbet kräver. En agent som bokar tider behöver ett namn och en kontaktuppgift, inte en profil.
• Lagringsminimering. Spara uppgifter bara så länge syftet kräver, och radera dem sedan.

Vid sidan av detta finns säkerheten, alltså att skydda det ni sparar, och individens egna rättigheter: att se sina uppgifter, rätta dem eller få dem raderade. Det här är en enkel sammanfattning av reglerna, inte juridisk rådgivning; stäm av ert eget fall med er jurist.

Måste man berätta att det är en AI som svarar?

Ärlig öppenhet är det trygga och anständiga svaret. GDPR:s öppenhetsprincip pekar åt det hållet, och EU:s nyare AI-regler lägger till en uttrycklig skyldighet att tala om när någon interagerar med ett AI-system.

För oss är det inte förhandlingsbart. Våra agenter presenterar sig som AI från början, och frågar någon rakt ut bekräftar agenten det utan omsvep. Samma ärlighet gäller uppgifterna: frågar någon vad som händer med samtalet, svarar agenten rakt. En bot som döljer vad den är inleder relationen med en liten lögn. Det är en märklig grund för kundförtroende, och en onödig risk för företaget.

Så hanterar ett noggrant upplägg uppgifterna

Vi är ett EU-företag och bygger främst för den svenska marknaden. Vårt standardupplägg:

• Uppgifter från samtal hanteras under ett personuppgiftsbiträdesavtal med EU-skydd.
• Samtalsljud lagras inte. Det som blir kvar är transkriptet och de strukturerade uppgifter personen själv valt att lämna.
• Lagringen hålls minimal, med kort lagringstid. Samtalen blir underlag för granskning och förbättring, inte ett arkiv.
• Data krypteras under överföring och i vila som standard.
• Agenten svarar bara utifrån kunskap som företaget godkänt. Den improviserar inte, och den fiskar inte efter extra personuppgifter.
• När agenten är osäker säger den det och lämnar över samtalet till en människa.
• Agenten informerar, hänvisar och bokar. Den ger ingen professionell rådgivning, och den hittar aldrig på ett pris eller ett löfte.

För striktare behov ställs integritetsskydden in per agent: lagringstider, radering av transkript, datalagring enbart inom EU och ett nolllagringsläge som inte sparar någon kunddata. Det tas med i bygget när ett fall kräver det. I botten körs agenten på en infrastruktur byggd för SOC 2, HIPAA och GDPR.

Frågor att ställa till varje leverantör av röst-AI

Vem ni än köper av, oss inräknade, skiljer de här frågorna praktik från etiketter. En bra leverantör svarar på alla utan att slingra sig.

• Tecknar vi ett personuppgiftsbiträdesavtal, och vilka underbiträden ligger bakom tjänsten?
• Var behandlas och lagras uppgifterna? Kan de stanna inom EU om vi behöver det?
• Exakt vad sparas efter ett samtal: ljud, transkript, strukturerade fält? Hur länge?
• Hur får den som ringer veta att det är en AI, och vad som händer med uppgifterna?
• Hur hanteras en begäran om radering?
• Vad hindrar agenten från att samla in mer än jobbet kräver, eller svara utanför sitt uppdrag?
• Vem kan se transkripten, och vad används de till?

Om ett svar är vagt är praktiken bakom det oftast också vag.

Gäller något annat i Sverige?

Nej. GDPR är en EU-förordning och gäller direkt i Sverige, med samma text som i resten av EU. Tillsynsmyndighet är IMY, Integritetsskyddsmyndigheten, och den som ringer har alltid rätt att klaga dit.

Det som är lokalt är förväntningarna. Svenska köpare frågar ofta tidigt om datalagring inom EU och om rak, ärlig hantering. Det är rimliga krav, och precis de som frågelistan ovan lyfter fram. Vårt standardupplägg körs redan under ett personuppgiftsbiträdesavtal med EU-skydd, och lagring enbart inom EU finns som tillval när ett projekt kräver det.