GDPR gäller även när företag använder AI-telefoni. Om AI:n behandlar personuppgifter i telefonsamtal, transkriberingar, bokningar, CRM-system eller kundärenden behöver företaget säkerställa att behandlingen har rättslig grund, är transparent och begränsas till det som behövs.
Vad innebär GDPR för AI-telefoni?
GDPR är teknikneutral och gäller även när personuppgifter behandlas genom AI-baserade telefonsystem. Det innebär att företag behöver följa dataskyddskraven när AI-telefonin exempelvis identifierar kunder, hanterar samtal, registrerar ärenden eller behandlar kontaktuppgifter.
Vilka krav som gäller beror på hur AI-telefonin används, vilka personuppgifter som behandlas och vilka system som är kopplade till lösningen.
Vilka personuppgifter kan AI-telefoni behandla?
Ett AI-telefonsystem kan behandla flera typer av personuppgifter under ett samtal. Det kan exempelvis vara namn, telefonnummer, e-postadress, kundnummer, bokningsinformation eller information som kunden själv lämnar under samtalet.
Om samtalet spelas in eller transkriberas kan även själva samtalsinnehållet bli en del av den personuppgiftsbehandling som företaget behöver ha kontroll över.
Samtalsinspelningar och transkribering
Om telefonsamtal spelas in eller om tal omvandlas till text behöver företaget bestämma varför informationen behandlas, hur länge den ska sparas och vilka personer eller system som får tillgång till den.
CRM och kundinformation
När AI-telefonin skickar information till ett CRM-system behöver även denna behandling omfattas av företagets dataskyddsrutiner. AI:n bör bara få tillgång till den information som behövs för den aktuella uppgiften.
Behöver AI-telefoni en rättslig grund?
Ja. Företaget behöver identifiera en rättslig grund för behandlingen av personuppgifter. GDPR innehåller flera möjliga rättsliga grunder, exempelvis samtycke, avtal, rättslig förpliktelse och berättigat intresse.
Vilken grund som är lämplig beror på situationen och syftet med behandlingen. Företaget bör därför bedöma varje behandling utifrån hur AI-telefonin faktiskt används.
Vad betyder dataminimering för AI-telefoni?
AI-telefonin bör inte samla in mer information än vad som behövs för att utföra den aktuella uppgiften. Om AI:n exempelvis bara behöver kundens namn och bokningsinformation för att boka en tid finns det normalt ingen anledning att samla in ytterligare uppgifter.
Genom att begränsa mängden information minskar företaget också mängden data som behöver skyddas.
Hur informerar man kunder om AI-telefoni?
Företaget bör vara transparent med att AI används och informera kunderna om hur deras personuppgifter behandlas. Informationen behöver vara tydlig och anpassad till situationen.
För AI-system som interagerar direkt med människor finns dessutom transparenskrav enligt AI-regelverket som innebär att personen i vissa situationer ska informeras om att han eller hon interagerar med ett AI-system.
Hur länge får samtalsdata sparas?
Personuppgifter ska inte sparas längre än vad som är nödvändigt för det ändamål som uppgifterna samlades in för.
Företaget bör därför ha en tydlig policy för exempelvis samtalsinspelningar, transkriberingar, AI-genererade sammanfattningar och information som skickas till CRM-system.
Automatisk radering
Om tekniken stödjer det kan företaget använda automatiska regler för att radera eller anonymisera information efter en bestämd period. Det kan minska mängden personuppgifter som finns lagrade över tid.
Vem ansvarar för personuppgifterna?
Företaget behöver förstå vilka aktörer som behandlar personuppgifterna och vilka roller de har. AI-telefonileverantören, telefonioperatören och andra tekniska tjänster kan vara involverade i behandlingen.
Avtal och ansvar behöver därför vara tydliga, särskilt när externa leverantörer behandlar personuppgifter för företagets räkning.
Kan AI-telefoni användas med CRM och andra system?
Ja, men integrationerna behöver utformas med dataskydd i åtanke. AI-telefonin bör inte automatiskt få fullständig åtkomst till företagets CRM, affärssystem eller andra databaser.
Genom begränsade behörigheter kan företaget styra vilken information AI:n får läsa, skapa eller ändra.
Vad behöver företag kontrollera innan de använder AI-telefoni?
Företaget bör kartlägga vilka personuppgifter AI-telefonin behandlar, varför uppgifterna behövs, vilken rättslig grund som används och vilka leverantörer som får tillgång till informationen.
Det är också viktigt att kontrollera lagring, säkerhet, integrationer, åtkomst, gallring och hur kunder informeras om behandlingen.
Privacy by design för AI-telefoni
Dataskydd bör byggas in i AI-telefonilösningen från början. Det kan exempelvis innebära begränsad datainsamling, begränsade behörigheter, säker lagring och tydliga regler för vad AI:n får göra.
På så sätt blir GDPR inte bara en juridisk kontroll i efterhand utan en del av hur AI-telefonin är utformad.
Vanliga frågor
Gäller GDPR för AI-telefoni?
Ja. GDPR gäller när AI-telefonin behandlar personuppgifter, exempelvis namn, telefonnummer, kundinformation, samtalsinnehåll eller transkriberingar.
Behöver företag ha en rättslig grund för AI-telefoni?
Ja. Företaget behöver identifiera en lämplig rättslig grund för den personuppgiftsbehandling som AI-telefonin utför.
Måste kunder informeras om att de pratar med AI?
Företaget behöver vara transparent med AI-användningen. Det finns även särskilda transparenskrav för AI-system som interagerar direkt med människor.
Får AI-telefoni spela in telefonsamtal?
Det kan vara möjligt, men inspelning innebär personuppgiftsbehandling och behöver hanteras enligt relevanta dataskyddskrav.
Hur länge får AI-telefoni spara samtalsdata?
Personuppgifter ska inte sparas längre än vad som är nödvändigt för det ändamål som uppgifterna behandlas för.
Kan AI-telefoni integreras med CRM utan GDPR-problem?
Ja, men integrationen behöver konfigureras korrekt. Företaget bör begränsa AI:ns åtkomst och säkerställa att personuppgiftsbehandlingen är laglig och kontrollerad.
Vad är det viktigaste GDPR-kravet för AI-telefoni?
Företaget behöver ha kontroll över varför personuppgifter behandlas, vilken information som används, vilken rättslig grund som gäller, hur informationen skyddas och hur länge den sparas.
Sammanfattning
GDPR gäller fullt ut när AI-telefoni behandlar personuppgifter. Det innebär att företag behöver ha kontroll över rättslig grund, transparens, dataminimering, lagring, säkerhet, behörigheter och leverantörer.
En GDPR-anpassad AI-telefonilösning handlar därför inte bara om själva AI:n. Företaget behöver se till hela kedjan från telefonsamtalet och AI-bearbetningen till CRM-integrationer, lagring och eventuell mänsklig handläggning.
