GDPR og AI i telefonen. Det, I skal have styr på.

En AI, der tager telefonen, hører navne, telefonnumre og hvad kunden har på hjerte – fra første sætning. Det er persondata, og det betyder, at de samme regler gælder, som når et menneske tager imod opkaldet og skriver det ned. Dertil kommer et nyt krav fra EU's AI-forordning: folk skal vide, at de taler med en AI. Her er det, I skal have styr på.

Guiden er praktisk vejledning, ikke juridisk rådgivning. Er I i tvivl om en konkret sag, så spørg en jurist eller læs Datatilsynets vejledninger.

01Sig, at det er en AI

EU's AI-forordning (artikel 50) kræver, at AI-systemer, der taler med mennesker, gør det klart, at man taler med en AI – medmindre det er åbenlyst. I telefonen er det sjældent åbenlyst. Den enkleste løsning er at sige det i den allerførste sætning.

02Sig, hvad der sker med samtalen

GDPR artikel 13 kræver, at I oplyser folk om behandlingen, når I indsamler deres oplysninger. I telefonen betyder det i praksis: en kort sætning i hilsenen om, at samtalen noteres (eller optages), og en fuld forklaring i jeres privatlivspolitik – formål, opbevaringstid og rettigheder.

03Optagelse af lyd er noget andet end at notere

At skrive en samtale ned og at gemme selve lyden er to forskellige behandlinger. Lyd er mere indgribende, og I skal kunne forklare, hvorfor I har brug for den, og hvor længe I gemmer den. Har I ikke en klar grund, så lad være med at optage. Datatilsynet har vejledning om optagelse af telefonsamtaler – læs den, før I slår det til.

04Databehandlere og hvor data ligger

Leverandøren af AI-telefonen er jeres databehandler, og I skal have en databehandleraftale. En stemme-AI bruger næsten altid flere underleverandører: én til telefonien, én til at forstå tale, én til at tale og én til selve sprogmodellen. Bed om listen, og tjek, hvor de ligger, og hvilket overførselsgrundlag der bruges, hvis det er uden for EU.

05Opbevaring og sletning

Udskrifter og beskeder fra telefonen er henvendelser som alle andre og skal have en slettefrist. Det gælder også det, der ligger i jeres mail eller sms, hvis beskederne sendes videre dertil. Samme principper som i guiden om kontaktformularer: fast frist og et system, der kan håndhæve den.

06Følsomme oplysninger

• Bed ikke AI'en om at spørge ind til helbred, økonomi eller andet følsomt, medmindre det er nødvendigt for at hjælpe kunden.
• Fortæller kunden det alligevel, så sørg for, at kun de rette kolleger kan læse udskriften.
• Lad AI'en stille om til et menneske, når samtalen bliver personlig.

Tjeklisten

• AI'en siger, at den er en AI, i første sætning
• Hilsenen siger, at samtalen noteres – eller optages
• Privatlivspolitikken nævner telefonen
• Lyd optages kun med en klar grund og en fast slettefrist
• Databehandleraftale og en liste over underleverandører
• Overførselsgrundlag for underleverandører uden for EU
• Slettefrist for udskrifter og beskeder
• Kun de rette kolleger kan læse opkaldene