Optager en AI-telefonassistent samtaler? GDPR og samtykke

Kort svar: Ja, en AI-telefonassistent behandler som udgangspunkt indholdet af opkaldet (den skal jo forstå, hvad der bliver sagt) og de fleste løsninger gemmer enten en optagelse, en tekstudskrift eller et referat af samtalen bagefter. Det er ikke i sig selv ulovligt. Men i det øjeblik du optager eller gemmer en samtale med en person, behandler du personoplysninger, og så gælder databeskyttelsesreglerne (GDPR) fuldt ud. Det betyder, at du skal have et lovligt grundlag for at gøre det, du skal fortælle den, der ringer, at samtalen behandles, og du skal have styr på, hvor længe data gemmes, og hvem der har adgang til dem.

Denne artikel gennemgår, hvad der faktisk sker med dine samtaler, hvad GDPR kræver, hvornår du skal bede om samtykke kontra kan læne dig op ad en berettiget interesse, hvor og hvor længe data må gemmes, og hvordan ansvaret fordeler sig mellem dig og din leverandør. Vi holder os til reelle regler og principper med kilde til Datatilsynet, og skelner tydeligt mellem, hvad loven siger, og hvad der er en konkret leverandørs egne udsagn om deres produkt.

Ikke juridisk rådgivning. Denne artikel er en generel introduktion skrevet for at give overblik. Den er ikke juridisk rådgivning og kan ikke erstatte en konkret vurdering. Din situation afhænger af, hvad du optager, hvorfor, og hvordan, er du i tvivl, så få en databeskyttelsesrådgiver eller advokat til at vurdere netop dit setup.

Optager en AI-telefonassistent virkelig samtalen?

Ja, men “optager” dækker over flere ting, og det er værd at holde dem adskilt. For at en AI kan svare meningsfuldt, skal den forstå det talte i realtid. Det sker ved, at lyden løbende omsættes til tekst, mens samtalen står på. Det er den del, der er teknisk uundgåelig: uden at behandle indholdet kan assistenten ikke føre en samtale. Vil du forstå selve mekanikken bag, gennemgår vi den i vores guide til AI-telefonassistenter.

Spørgsmålet er, hvad der sker bagefter. Her er der typisk tre lag, og en løsning kan bruge ét, to eller alle tre:

• Lydoptagelsen, selve lydfilen af samtalen, gemt som en optagelse man kan lytte til igen.
• Transskriptionen: en tekstudskrift af, hvad der blev sagt, ord for ord.
• Referatet: et kort sammendrag: hvem ringede, hvorfor, og hvad blev aftalt eller besluttet.

De tre lag er ikke lige indgribende. En rå lydoptagelse indeholder alt: tonefald, baggrundsstøj, det den ringende kom til at sige. Et kort referat indeholder kun det nødvendige. Ud fra et databeskyttelsesperspektiv er det en pointe i sig selv: jo mindre du gemmer, og jo kortere du gemmer det, desto lettere er det at overholde reglerne. Det vender vi tilbage til under dataminimering.

Det korte af det lange: du bør gå ud fra, at samtalen behandles og sandsynligvis gemmes i en eller anden form, og så indrette dig efter det, i stedet for at håbe på, at den forsvinder af sig selv.

Er det overhovedet lovligt at optage samtaler efter GDPR?

Ja, det er lovligt at optage telefonsamtaler, hvis du overholder de almindelige databeskyttelsesregler. Datatilsynet er ret klar på det punkt: der findes ikke særskilte regler om optagelse af telefonsamtaler i selve databeskyttelsesforordningen, men den dataansvarlige skal altid sørge for, at optagelsen sker i overensstemmelse med de generelle regler (Datatilsynet, vejledning om optagelse af telefonsamtaler).

Med andre ord: der er ikke et særligt “telefonoptagelses-forbud” og heller ingen særlig fritagelse. Det behandles som al anden behandling af personoplysninger, og det stiller tre grundlæggende krav, du skal kunne krydse af:

1. Du skal have et lovligt grundlag (hjemmel) for at behandle oplysningerne, se næste afsnit.
2. Du skal overholde oplysningspligten: den, der ringer, skal informeres.
3. Du skal overholde de grundlæggende principper, herunder dataminimering og opbevaringsbegrænsning.

Det gælder, uanset om det er et menneske eller en AI, der tager telefonen. GDPR interesserer sig for, at der behandles personoplysninger om en person, ikke for, om det er en receptionist af kød og blod eller en stemme-model, der sidder i den anden ende. En AI-telefonassistent ændrer altså ikke hvilke regler der gælder; den ændrer måske hvor meget der bliver gemt, og hvor systematisk det sker, og det gør det så meget desto vigtigere at have styr på grundlaget.

Hvilken hjemmel skal du bruge, samtykke eller berettiget interesse?

Det korte svar: Datatilsynet peger på tre mulige grundlag (retlig forpligtelse, samtykke eller en berettiget (legitim) interesse) og hvilket der passer, afhænger af, hvorfor du optager. Datatilsynet fastslår, at en dataansvarlig kan optage og opbevare telefonsamtaler, når den dataansvarlige er forpligtet hertil i medfør af gældende lov, når den registrerede har givet forudgående samtykke, eller på grundlag af en legitim interesse (Datatilsynet).

Det svarer til de retsgrundlag, der står i GDPR’s artikel 6 om lovlig behandling. Kort forklaret på almindeligt dansk:

• Retlig forpligtelse, du er ved lov forpligtet til at optage. Det gælder fx visse dele af den finansielle sektor. For langt de fleste virksomheder med en almindelig telefon er det ikke relevant.
• Samtykke: den, der ringer, siger aktivt ja til, at samtalen optages. Samtykke skal ifølge Datatilsynet være en aktiv og utvetydig handling; tavshed eller passivitet er ikke nok. Det giver mening, når optagelsen ikke er nødvendig for at levere ydelsen, men noget du gerne vil, fx til oplæring.
• Berettiget/legitim interesse, du har en saglig grund til at behandle oplysningerne (fx at kunne dokumentere en aftale), og din interesse vejer tungere end hensynet til den enkeltes privatliv. Det kræver en konkret afvejning, som du skal kunne stå på mål for.

Et vigtigt nuance-punkt fra Datatilsynets vejledning: for dokumentationsformål kan man optage uden samtykke, hvis samtalens indhold reelt ikke kan dokumenteres på anden vis. For oplæringsformål er udgangspunktet derimod, at der kræves samtykke, fordi virksomhedens interesse i at træne medarbejdere typisk ikke vejer tungere end den enkeltes privatliv. Datatilsynet opdaterede vejledningen i april 2024, hvor der blev åbnet lidt op for optagelse til oplæring uden samtykke, hvis den, der ringer, får mulighed for at frabede sig optagelsen.

Pointen for dig med en AI-telefonassistent: afklar formålet først. Optager du for at kunne dokumentere aftaler og forbedre servicen for den, der ringer? Så kan berettiget interesse ofte være vejen, men lav afvejningen og skriv den ned. Optager du primært for at kunne træne modellen eller lytte med til oplæring? Så er du tættere på at skulle bruge samtykke. Den samme teknologi kan altså kræve forskellig hjemmel afhængigt af, hvad du bruger optagelsen til.

Skal du fortælle folk, at samtalen optages?

Ja. Uanset hvilken hjemmel du bruger, har du oplysningspligt: den, der ringer, skal informeres om, at samtalen behandles, og til hvilket formål. Datatilsynet er utvetydig: den dataansvarlige er fortsat forpligtet til at oplyse om, at telefonsamtalen bliver optaget og til hvilke formål, ligesom den registreredes rettigheder gælder fuldt ud (Datatilsynet). Denne oplysningspligt følger af GDPR’s artikel 13 om, hvad man skal fortælle en person, når man indsamler oplysninger direkte hos vedkommende.

Oplysningspligt betyder ikke, at du skal læse en juridisk tekst højt, før samtalen kan begynde. Det betyder, at personen på en klar og letforståelig måde skal have at vide:

• at samtalen optages eller behandles,
• hvorfor (formålet),
• og have adgang til de øvrige oplysninger, GDPR kræver (hvem er dataansvarlig, hvor længe gemmes det, hvilke rettigheder man har, osv.) typisk via en henvisning til en privatlivspolitik.

I praksis løses det ofte med en kort besked i starten af opkaldet (“Denne samtale kan blive optaget…”) kombineret med en fyldestgørende privatlivspolitik, den, der ringer, kan finde bagefter. Datatilsynets vejledning indeholder netop eksempler på sådanne indledende “speaks”, virksomheder kan bruge.

Der er også et forbruger- og markedsføringsben, hvis dine opkald handler om salg. Ringer du ud til forbrugere, gælder markedsføringsreglerne oveni: det kommercielle formål skal oplyses i begyndelsen af samtalen, og der er skrappe regler for uanmodede henvendelser og samtykke. Forbrugerombudsmanden fører tilsyn med det område og har flere gange grebet ind over for virksomheders praksis (Forbrugerombudsmanden). Det er en anden regeltype end GDPR, men den rammer samme telefon, så tænk begge sæt ind, hvis din AI også ringer ud. Vi går dybere i selve opkaldsjuraen i vores gennemgang af lovgivningen for AI-opkald i Danmark.

Hvor og hvor længe gemmes data, og hvem har adgang?

Svaret afhænger af din leverandør, men GDPR sætter to bindende rammer: du må kun gemme det nødvendige (dataminimering), og du må kun gemme det, så længe det er nødvendigt (opbevaringsbegrænsning). Begge er grundprincipper i GDPR’s artikel 5.

Datatilsynet anbefaler konkret, at man fastsætter en generel slettefrist (fx tre måneder) og understøtter den med automatiske sletningsfunktioner eller jævnlige gennemgange, så data ikke bare bliver liggende (Datatilsynet). Der er ingen fast lovbestemt “X måneder for alle”, fristen skal stå i forhold til formålet. Gemmer du en samtale for at kunne dokumentere en aftale, må fristen afspejle, hvor længe den dokumentation reelt er relevant.

Dataminimering trækker i samme retning: gem så lidt som muligt. Har du kun brug for et referat af, hvad der blev aftalt, er der ingen grund til at gemme den rå lydfil i månedsvis. Jo mindre indgribende form (referat frem for fuld optagelse) og jo kortere frist, desto nemmere er reglerne at leve op til, og desto mindre er skaden, hvis noget skulle gå galt.

Hvor data fysisk ligger (hvilket land, hvilken cloud, hvilke underleverandører) er også en del af billedet. Ligger data uden for EU/EØS, er der ekstra krav til overførselsgrundlag. Det er noget, du skal have skriftligt fra din leverandør, ikke gætte dig til.

Her er de forhold, du bør have afklaret, før du sætter en AI-telefonassistent til at tage dine opkald:

Bemærk mønstret i højre kolonne: det tunge juridiske ansvar ligger hos dig som virksomhed, ikke hos leverandøren. Det leder direkte over i det næste spørgsmål.

Hvem har ansvaret, dig eller leverandøren af AI’en?

Som virksomhed er du “dataansvarlig”, og leverandøren af AI-telefonassistenten er typisk “databehandler”, og det betyder, at hovedansvaret ligger hos dig. Den dataansvarlige bestemmer, hvorfor og hvordan personoplysninger behandles; databehandleren behandler oplysningerne på den dataansvarliges vegne og efter dennes instruks. Fordelingen følger af GDPR og betyder i praksis, at det er dig, der skal kunne dokumentere hjemmel, opfylde oplysningspligt og fastsætte slettefrister, også selvom det er leverandørens system, der teknisk udfører behandlingen.

Netop derfor kræver GDPR (artikel 28), at der indgås en databehandleraftale mellem dig og leverandøren, når leverandøren behandler personoplysninger på dine vegne. Aftalen er ikke en formalitet, du kan springe over: den skal blandt andet fastlægge, hvad leverandøren må og ikke må, at de kun handler efter din instruks, hvordan de sikrer data, hvad der sker med data, når aftalen ophører, og hvordan de hjælper dig, hvis en registreret vil gøre sine rettigheder gældende.

Så før du sætter en AI til at tage telefonen, skal du reelt kunne svare på:

• Har jeg en databehandleraftale med leverandøren?
• Ved jeg, hvor data ligger, og om der bruges underleverandører?
• Har jeg fastsat en slettefrist, og bliver den overholdt teknisk?
• Ved den, der ringer, at samtalen behandles?

Kan du sætte flueben ved alle fire, står du solidt. Kan du ikke, er det dér, du skal starte, uanset hvor god teknologien i øvrigt er.

Hvordan håndterer jesperai transparens over for den, der ringer?

jesperais eget udgangspunkt er transparens: assistenten oplyser, at den er en AI, den forsøger ikke at udgive sig for at være et menneske. Det er et produktvalg fra vores side og hænger sammen med den grundtanke, at den, der ringer, skal vide, hvad de taler med. Vil du høre, hvordan det lyder i praksis, kan du booke et testopkald nederst på siden.

Her er det vigtigt, vi er ærlige om, hvad vi kan sige og ikke sige. Vi beskriver gerne vores egen tilgang, at AI’en er åben om, at den er en AI. Men de juridiske forhold ovenfor (hjemmel, oplysningspligt, slettefrister, databehandleraftale) er dit ansvar som dataansvarlig at få på plads, og de afhænger af, hvordan netop din virksomhed vil bruge løsningen. Vi kan levere de tekniske valgmuligheder og indgå de nødvendige aftaler; vi kan ikke træffe de juridiske valg på dine vegne, og vi lover ikke tekniske garantier her, som skal verificeres i din konkrete aftale. Vil du vide, hvad en AI-telefonassistent grundlæggende er, før du dykker ned i det juridiske, kan du starte med hvad er en AI-telefonassistent.

Den ærlige konklusion: en AI-telefonassistent er fuldt forenelig med GDPR: det handler ikke om, om du bruger AI, men om du har styr på grundlaget, informationen og aftalerne. Reglerne er de samme, som hvis et menneske sad ved telefonen; teknologien gør bare, at du bør tage dem alvorligt fra dag ét.

Ofte stillede spørgsmål

Book et gratis testopkald, og hør din AI telefonassistent svare