Opptak av samtaler og GDPR: hva bedriften må gjøre når AI tar telefonen

Kort svar

En bedrift kan ta opp samtaler med kunder og la en AI svare i telefonen, men GDPR krever et rettslig grunnlag, tydelig informasjon til den som ringer, og en fastsatt lagringstid. Dere trenger også en databehandleravtale med leverandøren og begrenset tilgang til samtalene. Start samtalen med en kort opplysning om at den håndteres av AI og tas opp.

Kan en bedrift ta opp kundesamtaler?

Ja. En bedrift som selv deltar i samtalen, kan ta den opp, men opptaket er en behandling av personopplysninger og omfattes av GDPR. Det betyr at dere trenger et rettslig grunnlag, må informere den som ringer, og bare kan lagre opptaket så lenge det er nødvendig for formålet. De samme reglene gjelder når en AI-resepsjonist svarer og lagrer samtalen som tekst.

Denne artikkelen er en praktisk oversikt, ikke juridisk rådgivning. Den svenske tilsynsmyndigheten Integritetsskyddsmyndigheten (IMY) har veiledning om personvern, og ved usikkerhet bør dere rådføre dere med en jurist som er spesialisert på personvern.

Hvilket rettslig grunnlag kan bedriften bruke?

Det vanligste grunnlaget for å ta opp kundesamtaler er berettiget interesse – for eksempel for å kunne dokumentere hva som er sagt, forbedre servicen og følge opp saker. Dere må da gjøre en interesseavveining: veier bedriftens interesse tyngre enn kundens interesse i ikke å bli tatt opp? For enkelte samtaler kan avtale være grunnlaget, for eksempel når samtalen gjelder en bestilling.

Hva må den som ringer, få vite?

Informasjonen skal gis i starten av samtalen, kort og tydelig. Et eksempel: «Hei og velkommen til Nordviks Bil. Du snakker med vår digitale assistent, og samtalen tas opp slik at vi kan hjelpe deg. Mer informasjon finner du på nettsiden vår.»

• At samtalen håndteres av en AI eller digital assistent
• At samtalen tas opp eller lagres som tekst
• Hvorfor den lagres, og hvor det finnes mer informasjon
• Hvordan kunden når et menneske hvis hen ønsker det

Suppler med en tydelig tekst i personvernerklæringen deres om samtaler, formål, lagringstid og kundens rettigheter.

Sjekkliste: ta opp samtaler i tråd med GDPR

Seks steg før AI-resepsjonisten svarer

1. 1Bestem formåletHvorfor skal samtalene lagres – dokumentasjon, oppfølging, kvalitet?
2. 2Velg rettslig grunnlagOftest berettiget interesse, med en dokumentert avveining.
3. 3Informer i samtalenÉn setning i hilsenen og en tekst i personvernerklæringen.
4. 4Inngå databehandleravtaleMed leverandøren av AI-resepsjonisten og telefonien.
5. 5Begrens tilgangenBare de som trenger det, skal se samtalene.
6. 6Bestem lagringstidFor eksempel 90 dager for opptaket og 12 måneder for sammendraget – velg det som passer formålet deres.

Hvordan håndteres sensitive opplysninger?

Kunder sier av og til mer enn de trenger: personnummer, kortnummer, helseopplysninger. Minimer risikoen:

1. La resepsjonisten bare spørre etter det som trengs for saken.
2. Masker sensitive opplysninger før tekst sendes videre.
3. Gi klinikker og andre med sensitive samtaler ekstra strenge roller.
4. Slett i tråd med lagringstiden, automatisk om mulig.

I Blixtflow maskeres personnummer, kortnummer og IBAN før tekst sendes til AI, og samtalene lagres som saker med roller og tilganger. Les mer om sikkerhet og GDPR i Blixtflow og om AI-resepsjonisten.

Hva gjelder når kunden vil se eller slette samtalen sin?

Kunden har rett til å få vite hvilke opplysninger dere har om hen og, i mange tilfeller, til å få dem slettet. Sørg for at dere kan finne en kundes samtaler via telefonnummer eller navn og slette dem ved behov. Når samtalene er saker koblet til kundens profil i et kundeservicesystem, blir det betydelig enklere enn når opptak ligger i en separat telefoniapp. Se også hvordan kundehistorikken samler saker per kunde.

Det beste personvernet er å ikke lagre mer enn dere trenger – og å slette det dere har lagret, når det ikke lenger trengs.

Hva gjelder for de ansattes stemmer?

Opptak inneholder også de ansattes stemmer og hva de sier, og også det er personopplysninger. Informer de ansatte om at samtaler tas opp, hvorfor, hvor lenge opptakene lagres og hvem som får lytte. Ikke bruk opptakene til å vurdere enkeltansatte uten at det er tydelig besluttet og kommunisert. En god rutine er å lytte til 2–3 tilfeldig valgte samtaler i måneden for å forbedre manus og kunnskapsbase, ikke for å kontrollere personer.

Hvor lange lagringstider er rimelige?

GDPR har ingen fast tid – den skal styres av formålet. Mange bedrifter velger kortere tid for selve lyden og lengre tid for sammendraget, fordi lydfilen inneholder mer enn saken krever.

Skriv ned valgene deres og begrunnelsen for dem. Det er den dokumentasjonen IMY spør etter hvis noen klager.

Hva er det viktigste å huske?

Ta bare opp når dere har et rettslig grunnlag, si det i starten av samtalen, og slett opptakene når de ikke lenger trengs.

• Informer før opptaket starter.
• Bestem lagringstid og hvem som får lytte.
• Følg IMYs veiledning ved usikkerhet.

Åpenhet om opptak bygger tillit – hemmelighold bygger mistillit.

Blixtflow

Ofte stilte spørsmål

Må kunden godkjenne at samtalen tas opp?

Ikke alltid. Ofte brukes berettiget interesse som rettslig grunnlag, og da kreves det ikke samtykke – men kunden skal informeres tydelig i starten av samtalen om opptaket og hvorfor det gjøres.

Må vi si at det er en AI som svarer?

Ja, dere bør være åpne om det. Si i hilsenen at kunden snakker med en digital assistent, og hvordan hen når et menneske. Det skaper tillit og forebygger misforståelser.

Hvor lenge kan samtaleopptak lagres?

Så lenge det er nødvendig for formålet, og ikke lenger. Bestem en lagringstid på forhånd, for eksempel 90 dager for opptak, og slett automatisk når tiden er ute.

Trengs det en databehandleravtale?

Ja. Leverandøren av AI-resepsjonisten behandler personopplysninger på vegne av dere og skal ha en databehandleravtale med dere, med informasjon om underdatabehandlere.

Kilder

1. Integritetsskyddsmyndigheten (IMY) – personvernforordningen
2. GDPR – forordningens tekst (EUR-Lex)

EmnerGDPRSamtaleopptakPersonvernAI-resepsjonist