Samtalsinspelning och AI-telefonist – GDPR i praktiken
Av CodexierPublicerad 7 min läsning
En AI-receptionist svarar inte bara i telefon. Den spelar oftast in ljudet, transkriberar det och skriver en sammanfattning in i kalendern eller CRM-systemet. Var och en av dessa är personuppgifter om den som ringer, och svensk praxis under GDPR är tydlig: ett företag får inte samla in dem i det tysta. Den här guiden går igenom vad du måste bestämma innan driftstart: vad ni faktiskt lagrar, på vilken rättslig grund, hur länge, och vad leverantören måste skriva under.
Spelas samtalet in, transkriberas det eller båda?
Börja med att fråga leverantören exakt vad som sparas och var. Många AI-telefoniplattformar behåller råljudet som standard för kvalitetsgranskning, sparar transkriberingen för att förbättra instruktionerna och skickar en sammanfattning till era system. Varje lager ökar risken: ljudet innehåller rösten (som kan räknas som biometrisk uppgift om den används för identifiering), en transkribering kan innehålla hälsouppgifter eller ett barns namn i förbifarten, och sammanfattningen är den ni faktiskt kommer att söka i senare. Integritetsskyddsmyndigheten, IMY, återkommer ständigt till uppgiftsminimering: behöver ni inte ljudet när bokningen finns, spara det inte.
Rättslig grund och information
Samtycke är den grund många tar till först, och den är nästan alltid fel för en telefonlinje. Den som ringer för att boka kan inte på riktigt tacka nej till inspelning utan att förlora tjänsten, och då är samtycket inte frivilligt. De flesta svenska tjänsteföretag lutar sig i stället mot intresseavvägning för ärendehanteringen och avtal för själva bokningen. Det håller bara om ni har dokumenterat avvägningen: varför ni behöver uppgifterna, varför den som ringer rimligen förväntar sig det, och vad ni gör för att begränsa intrånget.
| Uppgift | Vanlig rättslig grund | Vad den som ringer ska få veta |
|---|---|---|
| Bokningsuppgifter (namn, telefon, tid, tjänst) | Avtal (bokningen) | Att bokningen sparas och att bekräftelse skickas |
| AI-sammanfattning av samtalet | Intresseavvägning | Att anteckningar sparas för uppföljning och hur länge |
| Fullständig transkribering | Intresseavvägning, endast med kort lagringstid | Att samtalet transkriberas |
| Ljudinspelning | Intresseavvägning med dokumenterat skäl, eller samtycke | Att samtalet spelas in och varför |
| Hälsouppgifter och andra känsliga uppgifter | Undvik insamling; lämna över till en människa | Att känsliga ärenden hanteras av personal |
Känsliga kategorier som hälsouppgifter kräver ett undantag enligt artikel 9. För en klinik är den säkraste designen att AI:n bokar och en människa tar de medicinska detaljerna.
Oavsett grund ska den som ringer informeras vid insamlingen. I telefon betyder det välkomstmeddelandet, med stöd av en integritetspolicy på webbplatsen som säger samma sak mer utförligt. Är manuset bra byggt tar informationen ungefär åtta sekunder och ingen lägger på. Själva manuset går vi igenom i så skriver du manus för en AI-receptionist.
Lagringstid och radering
GDPR anger inget antal dagar. Regeln är: inte längre än nödvändigt för ändamålet. Skriv därför ner ändamålet först och härled tiden ur det. En inspelning som sparas för att kunna reda ut vad som sades kan rimligen raderas när besöket har ägt rum. En sammanfattning som är del av kundrelationen kan följa kundposten. Inget behöver finnas kvar i åratal för att det kanske blir användbart.
- Ljud: radera automatiskt inom några dagar, eller lagra det inte alls. Sparar ni för kvalitetsgranskning, sätt ett rullande fönster och dokumentera det.
- Transkribering: radera när bokningen är bekräftad eller ärendet avslutat. Håll den borta från delade inkorgar.
- Sammanfattning: spara med kundposten och ta med den i rutinen när en kund begär radering.
- Leverantörens loggar: fråga vad plattformen själv sparar för felsökning och om tiden går att korta.
- Bokföringsunderlag som fakturor följer bokföringslagen i stället och omfattas inte av den här raderingsplanen.
Automatisera raderingen. En gallringsrutin som bygger på att någon kommer ihåg att tömma en mapp är ingen rutin, det är en förhoppning. De flesta plattformar kan låta inspelningar löpa ut enligt schema; kan er inte det är det ett skäl att stänga av inspelningen helt.
Biträdesavtal med leverantören
Er AI-telefonileverantör behandlar personuppgifter för er räkning. Det gör dem till personuppgiftsbiträde och er till personuppgiftsansvarig. Ett skriftligt biträdesavtal krävs enligt artikel 28 i GDPR. Seriösa leverantörer har ett färdigt att skriva under; kan de inte visa upp något har ni redan fått svar på hur resten av deras efterlevnad ser ut. Läs särskilt noga på de här punkterna:
Var uppgifterna lagras
Vilket land som hanterar ljud, transkriberingar och modellanrop. Överföringar utanför EU och EES kräver en giltig mekanism, till exempel standardavtalsklausuler och en konsekvensbedömning av överföringen.
Underbiträden
Taligenkänning och språkmodeller är ofta tredje part. Avtalet måste lista dem och ge er rätt att invända när listan ändras.
Ingen träning på era samtal
Fråga uttryckligen om era kunders röster eller transkriberingar används för att förbättra leverantörens modeller. Standardsvaret ska vara nej.
Radering vid avslut
Vad som händer med data, instruktioner och samtalshistorik när ni säger upp, och hur snabbt det raderas.
Här är också rätt tillfälle att kontrollera hur leverantören förhåller sig till EU:s AI-förordning. En bokningsreceptionist är inget högrisksystem, men skyldigheten att tala om att man pratar med en AI gäller från start. Vår egen lösning beskrivs på sidan om vår AI-receptionist, inklusive var samtalen behandlas.
Ett välkomstmeddelande som följer reglerna
Hälsningen ska klara fyra saker på en eller två meningar: säga vilket företag det är, tala om att en AI svarar, förklara vad som händer med samtalet och ge en väg till en människa. Här är en version som fungerar i svenska tjänsteföretag och tar under tio sekunder att säga:
- "Hej, du har kommit till [företaget]. Jag är en automatisk assistent som kan boka tider och svara på vanliga frågor."
- "Samtalet transkriberas så att vi kan spara din bokning; det spelas inte in. Du kan läsa mer på [företaget].se/integritet."
- "Vill du hellre prata med en person, säg det när som helst så kopplar jag vidare."
- Sedan det vanliga flödet: "Vad kan jag hjälpa dig med i dag?"
När du inte behöver det här alls: om AI:n bara läser upp en meny och tar emot ett meddelande, som en smartare röstbrevlåda, är datarisken densamma som med er nuvarande telefonsvarare och en kort upplysning räcker. Och om era samtal regelbundet innehåller känsliga uppgifter, till exempel en terapimottagning eller en juridisk rådgivningslinje, är en AI-telefonist kanske fel köp oavsett konfiguration; en bemannad linje och en bra bokningssida är säkrare. Det säger vi hellre på ett kort samtal än efter installationen.
- AI-receptionistSå hanterar vår receptionist inspelningar, transkriberingar och sammanfattningar, och vad uppsättningen innehåller.
- Skriva manusetGör om era tio vanligaste samtal till ett manus med tydliga regler för överlämning.
- Boka ett kostnadsfritt 15-minuterssamtalTa med er integritetspolicy och era samtalstyper; vi går igenom vad som behöver ändras.
Vanliga frågor
Behöver vi samtycke för att spela in samtal i Sverige?
Inte nödvändigtvis. Enligt svensk straffrätt får en part i ett samtal spela in det, men GDPR styr fortfarande vad ni gör med inspelningen. De flesta företag använder intresseavvägning med en dokumenterad bedömning och tydlig information i början av samtalet. Samtycke är rätt grund bara när den som ringer på riktigt kan säga nej och ändå få hjälp, vilket är ovanligt på en bokningslinje.
Måste AI:n säga att den är en AI?
Ja. AI-förordningens transparenskrav innebär att människor ska få veta när de interagerar med ett AI-system, och svensk praxis under GDPR kräver att information om behandlingen ges vid insamlingen. Lägg båda sakerna i hälsningen och behåll en enkel väg till en människa.
Hur länge får vi spara inspelningarna?
Så länge ändamålet kräver och inte längre. För en bokningslinje är det typiskt tills besöket har ägt rum, eller ett kort rullande fönster om ni granskar samtal för kvalitet. Skriv ner tiden, automatisera raderingen och ta med sammanfattningarna i rutinen för raderingsbegäranden.
Vad händer om den som ringer nämner en sjukdom?
Hälsouppgifter är en särskild kategori och kräver ett undantag enligt artikel 9 för att få behandlas. Bygg flödet så att AI:n bokar tiden och lämnar allt medicinskt till en person, och se till att sammanfattningarna inte sparar detaljen. För kliniker är det här det enskilt viktigaste konfigurationsbeslutet.
Vill du ha receptionisten rätt uppsatt från dag ett?
Femton minuter med en ingenjör: vi går igenom vad era samtal innehåller, vad som bör sparas och hur hälsning och gallringsregler bör se ut för just er verksamhet.
Boka ett kostnadsfritt 15-minuterssamtal