Hvor Sikre Er Mine Kunders Data Hos en AI-Telefonassistent?

Kort svar: Sikkerheden afhænger ikke af, om det er en AI eller et menneske, der tager telefonen: den afhænger af, hvad I har aftalt, hvad der bliver gemt, hvor længe, og hvem der har adgang. Og det er dig som virksomhed, der har hovedansvaret for at få det på plads, ikke leverandøren. Det er den ubehagelige, men vigtige pointe: du kan ikke købe dig fri af ansvaret ved at vælge en leverandør, der siger, de “er GDPR-compliant”. Du kan derimod stille de rigtige spørgsmål, få de rigtige ting skrevet ind i aftalen og indrette løsningen, så der ikke bliver gemt mere end nødvendigt.

Denne artikel gennemgår, hvilke oplysninger der reelt bliver behandlet, når en kunde ringer ind; hvordan ansvaret fordeler sig mellem dig og leverandøren; hvilke principper i databeskyttelsesforordningen (GDPR), du skal kunne krydse af; hvad du skal gøre, hvis kunderne kommer ind på følsomme emner som helbred; og til sidst en konkret tjekliste af spørgsmål, du bør stille enhver leverandør, før du skriver under.

Ikke juridisk rådgivning. Artiklen er en generel introduktion, skrevet for at give overblik og gøre dig i stand til at stille bedre spørgsmål. Den er ikke juridisk rådgivning og kan ikke erstatte en konkret vurdering af netop dit setup. Er du i tvivl (særligt hvis du behandler følsomme oplysninger) så få en databeskyttelsesrådgiver eller advokat til at se på det.

Hvilke oplysninger giver mine kunder egentlig fra sig i et opkald?

Flere end de fleste tænker over. Et helt almindeligt indgående opkald til en virksomhed indeholder typisk et navn, et telefonnummer (som ofte følger automatisk med i systemet, uden at kunden aktivt oplyser det), et ærinde og ofte en adresse eller et tidspunkt. Ringer kunden for at bestille en tid, kommer der som regel også en dato og en begrundelse med. Ringer kunden for at klage, ligger der en historik i det. Alt sammen er personoplysninger i GDPR’s forstand, fordi det kan knyttes til en identificerbar person.

Det er værd at være helt konkret om, hvad der typisk indgår:

• Identifikationsoplysninger: navn, telefonnummer, ofte e-mail.
• Kontaktoplysninger: adresse, postnummer, evt. arbejdsplads.
• Ærindet: hvad personen vil, hvornår, og til tider hvorfor.
• Metadata om opkaldet: tidspunkt, varighed, hvilket nummer der blev ringet til.
• Alt det, kunden selv kommer til at sige, den del du ikke kan styre på forhånd.

Netop det sidste punkt er det, der overrasker. Mennesker taler frit i telefonen. En kunde, der ringer til et værksted, nævner måske i en bisætning, hvorfor bilen skal være klar til på fredag. En, der ringer til en klinik, nævner sine symptomer, før nogen har spurgt. Den slags kan du ikke forhindre, men du kan beslutte, hvor meget af det der bliver gemt bagefter, og hvor længe.

Forskellen mellem en menneskelig receptionist og en AI-telefonassistent er ikke, hvilke oplysninger der bliver nævnt. Den er, at AI-løsningen typisk gemmer mere systematisk: hvor et menneske noterer det væsentlige i kalenderen og glemmer resten, kan et system ende med at gemme hele samtalen, som lyd, som tekstudskrift eller som referat. Vil du forstå den mekanik i detaljer, gennemgår vi den i artiklen om hvorvidt en AI-telefonassistent optager samtaler, og hvad GDPR kræver.

Hvem har ansvaret for kundernes data, mig eller leverandøren?

Du er dataansvarlig. Leverandøren er typisk databehandler. Hovedansvaret ligger derfor hos dig. Det er den vigtigste enkeltstående ting at forstå i hele emnet, og det er også der, de fleste misforståelser opstår.

Rollerne er defineret i GDPR og hænger sådan sammen:

• Dataansvarlig er den, der bestemmer hvorfor og hvordan personoplysninger behandles. Det er dig: det er din virksomhed, kunderne ringer til, det er dig, der har besluttet at lade en AI tage telefonen, og det er dit formål, oplysningerne bliver behandlet til.
• Databehandler er den, der behandler oplysningerne på den dataansvarliges vegne og efter dennes instruks. Det er typisk leverandøren af AI-telefonassistenten: de driver teknikken, men de bestemmer ikke, hvad dine kundedata skal bruges til.

Konsekvensen er ikke til at tage fejl af: det er dig, der skal kunne dokumentere, at der er et lovligt grundlag for behandlingen (GDPR artikel 6), dig der skal opfylde oplysningspligten over for den, der ringer (artikel 13), og dig der skal fastsætte, hvor længe data gemmes. At leverandørens system teknisk udfører behandlingen, ændrer ikke på, hvem der står på mål for den.

Det betyder ikke, at leverandøren er ansvarsfri. En databehandler har sine egne forpligtelser og må ikke behandle oplysningerne til andre formål end dem, du har instrueret om. Men “leverandøren sagde, det var i orden” er ikke en holdbar forklaring, hvis Datatilsynet spørger. Du kan læse mere om roller og pligter direkte hos Datatilsynet, som er den danske tilsynsmyndighed på området.

Hvorfor skal der være en databehandleraftale, og hvad skal der stå i den?

Fordi GDPR kræver det. Artikel 28 siger, at når en databehandler behandler personoplysninger på den dataansvarliges vegne, skal der være en aftale mellem parterne. Det er ikke en anbefaling eller god skik: det er et krav, og det er dit ansvar som dataansvarlig at sikre, at aftalen findes, før behandlingen går i gang.

En databehandleraftale skal blandt andet fastlægge:

• Genstanden og formålet, hvad behandles der, og hvorfor.
• Varigheden, hvor længe aftalen løber.
• Instruksbindingen, at databehandleren kun handler efter din dokumenterede instruks.
• Fortrolighed: at de personer, der har adgang, er underlagt tavshedspligt.
• Sikkerhedsforanstaltninger, hvordan data beskyttes teknisk og organisatorisk.
• Underdatabehandlere, om og hvordan leverandøren må bruge underleverandører.
• Bistand til dine pligter, hjælp til at besvare indsigtsanmodninger og håndtere sikkerhedsbrud.
• Sletning eller tilbagelevering ved ophør, hvad der sker med data, når samarbejdet stopper.

I praksis vil de fleste seriøse leverandører have en standardaftale liggende, som de sender med. Det er fint, men læs den. Særligt to steder er værd at være opmærksom på. Det ene er listen over underdatabehandlere: en AI-telefonassistent bygger som regel på flere underliggende tjenester (telefoni, tale-til-tekst, sprogmodel, hosting), og hver af dem kan være en selvstændig underdatabehandler, du reelt kommer til at bruge. Det andet er, hvordan ændringer i den liste bliver varslet, får du besked, og kan du gøre indsigelse?

Er der ikke en databehandleraftale, er der ikke noget at diskutere: så skal den på plads, før løsningen går i luften. Det gælder uanset hvor lille virksomheden er, og uanset hvor få opkald der er tale om.

Hvilke GDPR-principper gælder for data fra telefonopkald?

De samme, som gælder for alt andet, men tre af dem bider særligt hårdt her. De grundlæggende principper står i GDPR artikel 5, og for telefonopkald er det især disse tre, der bestemmer, hvordan din løsning bør sættes op:

Dataminimering. Du må kun behandle de oplysninger, der er nødvendige for formålet. Hvis formålet er at booke en tid, er navn, nummer og tidspunkt nødvendigt, en fuld lydoptagelse af hele samtalen er det sjældent. Det er en direkte designbeslutning: skal assistenten gemme lyd, tekstudskrift eller kun et kort referat? Jo mindre du gemmer, jo lettere er alt det øvrige.

Formålsbegrænsning. Oplysningerne må kun bruges til det formål, de blev indsamlet til. Data, du har fået, fordi en kunde ringede for at bestille en tid, må ikke uden videre genbruges til markedsføring. Det lyder banalt, men det er præcis her, mange kommer galt afsted, nummeret ligger jo lige der i systemet. Vil du bruge det til salgsopkald eller nyhedsbreve, er du inde i markedsføringslovens regler om uanmodede henvendelser, som Forbrugerombudsmanden fører tilsyn med, og det kræver sit eget grundlag.

Opbevaringsbegrænsning. Du må kun gemme oplysningerne, så længe det er nødvendigt til formålet. Der findes ikke én lovbestemt frist, der passer alle: pointen er, at du skal fastsætte en frist, kunne begrunde den, og sikre at den faktisk bliver overholdt teknisk. En slettefrist, der kun står i en politik, men ikke i systemet, er ikke en slettefrist.

Dertil kommer principperne om lovlighed, rimelighed og gennemsigtighed, om rigtighed, og om integritet og fortrolighed, altså at oplysningerne skal beskyttes mod uautoriseret adgang og tab. Sidstnævnte er den tekniske sikkerhedsdel: kryptering, adgangsstyring, logning.

Hvad skal jeg fortælle den, der ringer?

At de taler med en AI, at samtalen behandles, hvorfor, og hvor de kan læse mere. Oplysningspligten følger af GDPR artikel 13, og den gælder, når du indsamler oplysninger direkte fra den registrerede. Det gør du, hver gang telefonen ringer.

I praksis løses det som regel i to lag:

1. En kort besked i starten af opkaldet. Den skal være forståelig og ikke drukne i jura: typisk noget i retning af, at man taler med en digital assistent, at samtalen behandles med henblik på at hjælpe med henvendelsen, og hvor man kan læse mere.
2. En fyldestgørende privatlivspolitik på din hjemmeside, hvor de øvrige oplysninger står: hvem der er dataansvarlig, hvilket grundlag der behandles på, hvor længe data gemmes, hvem de eventuelt videregives til, og hvilke rettigheder den registrerede har.

Der ligger også et selvstændigt hensyn i at oplyse, at man taler med en AI. Rent juridisk er transparens et grundprincip; rent menneskeligt er det bare ordentligt. Folk opdager det som regel alligevel, og oplevelsen af at være blevet ført bag lyset koster mere tillid, end den korte besked nogensinde kommer til.

Har du selv brug for at kunne gå tilbage og se, hvad der blev sagt i et opkald (og forstå hvad der faktisk bliver gemt for at gøre det muligt) beskriver vi det i artiklen om, hvorvidt du kan høre eller læse dine opkald bagefter.

Hvad hvis kunden kommer ind på helbred eller andet følsomt?

Så skifter reglerne karakter, og du skal være markant mere forsigtig. GDPR artikel 9 udpeger en række “særlige kategorier” af personoplysninger: blandt andet oplysninger om helbred, race og etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssigt tilhørsforhold, genetiske og biometriske data samt oplysninger om seksuelle forhold og seksuel orientering. Udgangspunktet for dem er et forbud mod behandling, som kun kan brydes, hvis en af de specifikke undtagelser i artikel 9 er opfyldt.

Det har meget konkret betydning for en række brancher. Ringer nogen til en lægeklinik, en fysioterapeut, en tandlæge eller en psykolog, er selve det, at personen er patient, sammen med årsagen til henvendelsen typisk en helbredsoplysning. Det sker uden at nogen har lagt op til det, folk fortæller af sig selv, hvad der gør ondt.

Hvad gør du så? Nogle praktiske greb:

• Sæt assistenten op til ikke at spørge ind til helbred. Den skal indhente det nødvendige for at booke eller viderestille, ikke udrede noget.
• Overvej at gemme mindst muligt. Et referat i stil med “ønsker tid til konsultation, ringer på 12 34 56 78” er langt mindre indgribende end en fuld udskrift af symptombeskrivelsen.
• Stram slettefristen for de typer af opkald, hvor følsomme oplysninger er sandsynlige.
• Begræns adgangen internt til dem, der reelt har brug for at se indholdet.
• Få en konkret juridisk vurdering. Særligt i sundhedssektoren, hvor der oveni GDPR kan gælde regler om tavshedspligt og journalføring, som ligger uden for denne artikels rammer.

Det er ikke ensbetydende med, at du ikke kan bruge en AI-telefonassistent i en klinik. Det betyder, at forarbejdet skal være grundigere, at datamængden skal holdes nede, og at aftalegrundlaget skal være i orden, før det første opkald kommer ind.

Hvilke spørgsmål skal jeg stille en leverandør, før jeg skriver under?

Disse. Hvis en leverandør ikke kan svare klart på dem (eller ikke vil skrive svarene ind i aftalen) er det i sig selv et svar. Tjeklisten er skrevet, så du kan tage den med til et salgsmøde og gå den igennem punkt for punkt.

En god leverandør bliver ikke stødt over listen. Tværtimod: den slags spørgsmål er præcis dem, en professionel part er vant til at få fra kunder, der har styr på deres forpligtelser. Bliver svarene derimod vage, generelle eller udskudt til “det kigger vi på senere”, er det værd at holde igen med underskriften.

Hvad skal jeg selv have styr på internt?

En del, og det er nemt at overse, fordi det ikke ligger hos leverandøren. Selv med den bedste aftale på plads har du et par ting, der er dine alene:

• Fastlæg formålet, før du sætter noget op. Hvad skal opkaldsdata bruges til? Booking? Viderestilling? Opfølgning? Formålet styrer, hvad du må gemme, og hvor længe.
• Vælg og dokumentér dit behandlingsgrundlag efter GDPR artikel 6, for de fleste almindelige serviceopkald vil det være enten aftaleopfyldelse eller en berettiget interesse, men det skal være et bevidst valg, ikke en efterrationalisering.
• Opdatér din privatlivspolitik, så den faktisk beskriver, hvad der sker ved telefonisk kontakt. Mange politikker nævner kun hjemmesiden og nyhedsbrevet.
• Begræns den interne adgang. Skal alle medarbejdere kunne læse referater af alle opkald? Sjældent.
• Aftal, hvad der sker ved sikkerhedsbrud. Du har pligt til at reagere hurtigt over for Datatilsynet og eventuelt de berørte, og det kræver, at leverandøren giver dig besked i tide.
• Skriv slettefristen ned, og tjek, at den virker. Sæt en dato i kalenderen et kvartal frem, hvor I kontrollerer, at data faktisk forsvinder som aftalt.

Ingen af delene er stort arbejde for en lille virksomhed. Det er en eftermiddag med at træffe nogle beslutninger og skrive dem ned. Men det er den eftermiddag, der gør forskellen mellem at have styr på det og at håbe på det.

Er en AI-telefonassistent så mere eller mindre sikker end en menneskelig receptionist?

Hverken-eller, det er en anden risikoprofil, ikke en større eller mindre. Det er værd at holde begge sider frem, fordi sammenligningen ofte bliver ført ensidigt.

En menneskelig receptionist glemmer det meste af det, der bliver sagt, og efterlader ikke systematiske spor. Til gengæld kan et menneske komme til at videregive noget til den forkerte, notere ting på en løs seddel eller tage viden med videre, når de skifter job. En AI-løsning gemmer mere systematisk, men den gemmer også ensartet, den kan sættes til at gemme mindre, adgangen kan styres og logges, og slettefrister kan håndhæves automatisk i stedet for at afhænge af, at nogen husker det.

Den reelle risiko ved en AI-telefonassistent er ikke, at teknologien i sig selv er usikker. Den er, at det bliver nemt at gemme alt, fordi lagerplads er billig og “det kan jo være, vi får brug for det”. Dét er den vane, dataminimering og opbevaringsbegrænsning findes for at bremse. Vil du have det bredere billede af, hvad løsningen kan og ikke kan, samler vi det i vores guide til AI-telefonassistenter.

Hvad kan jeg forvente af jesperai på det her punkt?

At vi indgår de nødvendige aftaler og er åbne om, hvad løsningen gør, men de konkrete vilkår skal fremgå af din aftale, ikke af en blogartikel. Det er en bevidst formulering, og den er værd at forklare.

Vi kan sige noget om vores tilgang: assistenten oplyser, at den er en AI, og forsøger ikke at udgive sig for at være et menneske. Vi kan indgå en databehandleraftale, og vi svarer gerne på hele tjeklisten ovenfor, punkt for punkt, i en konkret dialog.

Hvad vi ikke gør, er at liste tekniske sikkerhedsgarantier i en artikel som denne, hvor de ikke kan efterprøves, og hvor de kan ændre sig over tid. Den slags hører hjemme i aftalegrundlaget, hvor de er bindende. Hvis en leverandør (os selv inklusive) lover dig noget om datasikkerhed, som du ikke kan finde igen i en aftale, du har underskrevet, så er det ikke et løfte, du kan læne dig op ad.

Og den juridiske del bliver ikke vores: du er dataansvarlig, og valget af formål, grundlag, opbevaringsfrist og hvad der oplyses over for den, der ringer, er dit. Vi kan levere valgmulighederne og indgå aftalerne. Vi kan ikke træffe beslutningerne på dine vegne, og en leverandør, der påstår andet, har misforstået ansvarsfordelingen.

Ofte stillede spørgsmål

Book et gratis testopkald, og hør din AI telefonassistent svare