GDPR: inspelade samtal eller AI-rollspel

Det här är en översikt, inte juridisk rådgivning. Den bygger på GDPR:s text, IMY:s kriterier för konsekvensbedömningar, två svenska tillsynsbeslut om inspelade samtal och Europeiska dataskyddsstyrelsens yttrande om AI-modeller. Om ni redan har läst vår artikel om att spela in säljsamtal vet ni att brottsbalken tillåter den som deltar i samtalet att spela in det, och att GDPR ändå gäller så fort företaget lagrar och analyserar. Här börjar vi där den artikeln slutar.

Spår ett: kundens personuppgifter

En inspelad röst är en personuppgift och inspelningen är en behandling, enligt artikel 4 i GDPR. Ändamålet 'träna våra säljare' måste ha en rättslig grund, och det är här den svenska tillsynen har varit tydligast. Datainspektionen, numera IMY, konstaterade i sitt beslut mot Tele2 den 10 maj 2016 att bolaget saknade rättsligt stöd för att spela in kundtjänstsamtal för ändamålet att utbilda medarbetare, kvalitetssäkra deras utveckling och förbättra kundmottagandet, och att kunderna inte fått tillräcklig information. Beslutet fattades under den gamla personuppgiftslagen, men avvägningen som beskrivs är densamma som GDPR kräver: intresset ska vara berättigat och väga tyngre än den registrerades intresse av skydd.

Därefter kommer skyldigheterna som följer med varje kund i materialet. Information senast vid inspelningen, enligt artiklarna 13 och 14. Gallring när träningsändamålet är uppfyllt, enligt artikel 5.1 e. Och registerutdrag: IMY:s egna svar på frågor säger att var och en har rätt att få ta del av inspelningar av sin röst, och vid ett samtal mellan två personer de delar där den egna rösten hörs. Varje sådan begäran är ett sök- och maskningsjobb i ert arkiv. Branschföreningen Kontaktas affärsetiska grundprinciper går längre än lagen och säger att inspelning vid telefonförsäljning får starta först efter aktivt samtycke från kunden.

Så kommer risken i själva lagringen. IMY beslutade den 7 juni 2021 att Voice Integrate Nordic AB skulle betala 650 000 kronor för överträdelse av artikel 32.1, efter att ljudfiler med inspelade samtal till 1177 legat åtkomliga på internet utan skydd. Ett arkiv med kundsamtal är en angreppsyta, och ju fler samtal som sparas för träning, desto större.

Spår två: medarbetarens personuppgifter

Det spår som oftast glöms. Att spela in varje samtal en säljare har, låta ett verktyg analysera det och koppla resultatet till namn är övervakning av anställda. IMY:s lista för när en konsekvensbedömning krävs har nio kriterier, och huvudregeln är att bedömningen ska göras när minst två är uppfyllda. Systematisk övervakning av människor är kriterium tre. Uppgifter om personer i beroendeställning, där IMY uttryckligen nämner anställda, är kriterium sju. Ny teknik är kriterium åtta. Inspelning med AI-analys av varje kundsamtal träffar alla tre. Bedömningen ska enligt artikel 35.7 innehålla en beskrivning av behandlingen, en prövning av nödvändighet och proportionalitet, en riskbedömning och de åtgärder ni tänker vidta, och den ska ses över när risken ändras.

Det är ett dokument som tar dagar att göra ordentligt, som ska förankras med facket där det finns kollektivavtal, och som behöver uppdateras varje gång verktyget får en ny funktion. Ingen av de sakerna är ett skäl att låta bli. De är en kostnad som ska in i kalkylen.

Spår tre: leverantören och AI-modellen

Verktyget som transkriberar och analyserar är ett personuppgiftsbiträde, och artikel 28 kräver ett avtal som reglerar vad det får göra. Den nya frågan 2025 och 2026 är vad som händer när leverantören lär sin modell av era samtal. Europeiska dataskyddsstyrelsen antog den 17 december 2024 yttrande 28/2024 om AI-modeller, som behandlar när en modell kan anses anonym, hur intresseavvägningen ska göras i utvecklings- och användningsfasen, och vad som händer med en modell tränad på olagligt behandlade uppgifter. För er som kund betyder det en konkret fråga till leverantören: används våra inspelningar för att träna er modell, och i så fall på vilken rättslig grund? Svaret 'det står i villkoren' är inte ett svar.

Samma tre spår för AI-rollspel

Ett rollspel mot en AI-kund innehåller ingen kund. Det finns ingen tredje part att informera enligt artikel 14, inget samtycke att be om innan inspelningen startar, inga registerutdrag från kunder, ingen gallringsplan för kundljud och inget arkiv av riktiga samtal som kan hamna på internet. Spår ett försvinner. Det är inte ett juridiskt trick, det följer av skäl 26 i GDPR: principerna gäller inte uppgifter som inte rör en identifierbar person, och en påhittad inköpschef är ingen person.

Spår två finns kvar, i mindre skala. Säljarens egen röst och transkript är personuppgifter om en anställd. Arbetsgivaren behöver en rättslig grund, ska informera säljaren om vad som sparas och hur betygen används, och bör tänka igenom om betygen ska påverka lönesamtal eller bara coachning. Skillnaden mot spår två ovan är omfattningen: en användare som själv väljer att öva på ett påhittat scenario, i stället för systematisk inspelning av alla verkliga samtal med alla kunder. Spår tre finns också kvar: rollspelsleverantören är ett biträde och behöver ett avtal enligt artikel 28, och samma fråga om modellträning ska ställas.

Jämförelsen punkt för punkt

• Rättslig grund för kunddata: krävs, och Tele2-beslutet visar att träningsändamålet är svårt att grunda. AI-rollspel: ingen kunddata.
• Information till kunden: senast vid inspelningen, artiklarna 13 och 14. AI-rollspel: ingen kund att informera.
• Registerutdrag och gallring: varje kund i arkivet kan begära sin röst, allt ska gallras när ändamålet är uppfyllt. AI-rollspel: bara säljarens egna samtal.
• Konsekvensbedömning: normalt krävs, tre av IMY:s kriterier träffas. AI-rollspel: prövas, men behandlingen är frivillig övning i liten skala.
• Biträdesavtal: krävs för båda. Fråga om modellträning: ställs till båda.
• Angreppsyta: ett arkiv med riktiga kundsamtal. AI-rollspel: övningssamtal utan kunder.

Vad det betyder för valet av träning

Inspelade kundsamtal har ett värde som AI-rollspel inte kan ersätta: de visar vad riktiga kunder faktiskt säger. Vår jämförelse mellan samtalsanalys och AI-rollspel går igenom den pedagogiska sidan. Den juridiska sidan säger något enklare. Om syftet är att säljaren ska öva ett moment många gånger och få återkoppling på varje försök, är det svårt att motivera att behandla tusentals kunders uppgifter för det, när samma övning går att göra utan en enda kund i materialet. Nödvändighetskravet i EDPB:s riktlinjer om berättigat intresse är just den frågan: går intresset att uppnå lika bra med mindre ingripande medel?

I Salesprep övar säljaren cold call, uppföljning, ombokning, pitch, presentation och förhandling mot en AI-kund som spelar efter ett scenario, och varje samtal bedöms på sex eller sju metrics ur ett bibliotek på tio, med en skriftlig kommentar per betyg. Det enda samtalet som sparas är säljarens eget övningssamtal. Cold call ingår i alla planer med tre gratis samtal, utan kort. Uppföljning och ombokning ingår från Pro, och pitch, presentation och förhandling i Team Pro.