AI-vidensbaser og fortrolighed: 7 spørgsmål enhver serviceudbyder bør stille, før kundesamtaler optages

Hvorfor denne artikel

En AI-vidensbase, der optager, transskriberer og gør kundesamtaler søgbare, er en stor produktivitetsgevinst for serviceudbydere. Vi har tidligere skrevet om, hvordan AI-vidensbaser pr. projekt endelig bliver kloge af din virksomhed—men så snart du begynder at registrere tale, video eller chat, skifter samtalen fra "nyttigt værktøj" til "juridisk vurdering".

Denne artikel er en tjekliste med syv spørgsmål, du skal kunne besvare, før du implementerer et værktøj som Symphoria (en partner til Wux Webtools og den platform, vi selv bruger) eller et alternativ. Spørgsmålene er baseret på GDPR, EU AI Act, EDPB-retningslinjer og den daglige praksis hos hollandske serviceudbydere, der vil forblive compliant uden at compliance får arbejdet til at gå i stå.

Konteksten: Du er serviceudbyder—konsulent, udvikler, marketingbureau, revisor—og hjælper kunder med projekter, der varer måneder og genererer dusinvis af samtaler. Du ønsker, at en AI skal opsummere disse samtaler, udtrække handlingspunkter og besvare spørgsmål som "hvad sagde kunden i sidste uge om budgettet?". Det er muligt. Men ikke uden disse syv svar.

1. Hvem giver samtykke til optagelsen—og hvordan registrerer du det?

GDPR kræver et lovligt grundlag for enhver behandling af personoplysninger (art. 6). Ved optagelser af samtaler har du typisk brug for samtykke (art. 6(1)(a)) eller legitim interesse (art. 6(1)(f)). Samtykke skal være forudgående, specifikt, informeret og frivilligt afgivet (art. 7). Det betyder: ingen forhåndsafkrydsede felter, ingen skjulte klausuler i vilkår og betingelser og bestemt ikke "vi optager, medmindre du gør indsigelse".

Det du bør se: Et tydeligt opt-in-øjeblik, før den første samtale optages. Det kan være et afkrydsningsfelt i din projekt-onboarding ("Jeg accepterer optagelse af møder med henblik på projektdokumentation og AI-understøttelse"), mundtlig bekræftelse i starten af et opkald ("Dette opkald optages til vores interne vidensbase—accepterer du det?"), eller en separat samtykke-e-mail. Samtykket skal logges: hvem, hvornår, til hvilket formål og med hvilken formulering.

Sådan løser Symphoria dette: Symphoria tilbyder et samtykkelag pr. projekt. Før en optagelse starter, beder systemet eksplicit alle deltagere om samtykke. Samtykket gemmes med tidsstempel og IP-adresse og kan trækkes tilbage pr. projekt. Det gør det lettere at overholde art. 7(3) GDPR ("det skal være lige så let at trække samtykke tilbage som at give det").

2. Hvor lagres dataene fysisk, og hvilken lov gælder?

Som udgangspunkt forbyder GDPR overførsel af personoplysninger til lande uden for EØS uden passende garantier (art. 44-50). Efter Schrems II-dommen (2020) er Standard Contractual Clauses (SCCs) ikke længere tilstrækkelige, hvis modtageren er underlagt overvågningslovgivning som FISA 702 i USA. EU AI Act (2024) tilføjer endnu et lag: AI-systemer med høj risiko skal opfylde krav til transparens og audit, som er vanskelige at håndhæve, hvis dataene lagres uden for EU.

Det du bør se: En klar erklæring om, hvor dataene lagres fysisk (hvilket datacenter, hvilket land), hvilke underdatabehandlere der har adgang, og om disse parter er underlagt ikke-europæisk overvågningslovgivning. Ideelt: lagring inden for EU hos en udbyder, der ikke har et amerikansk moderselskab, eller som eksplicit tilbyder en "EU-only"-tilstand.

Sådan løser Symphoria dette: Symphoria kører udelukkende på europæisk infrastruktur (AWS eu-west-1, Frankfurt) og bruger ikke amerikanske underdatabehandlere til lagring eller behandling af transskripter. Det gør det lettere at overholde Schrems II uden komplekse konsekvensanalyser.

3. Hvilken model behandler transskripterne, og bruges de til træning?

De fleste AI-vidensbaser bruger en ekstern LLM (OpenAI, Anthropic, Google) til at behandle transskripter. Det rejser to spørgsmål: (1) bruges transskripterne til at træne modellen? og (2) hvem har adgang til prompts og svar? OpenAI's API-vilkår har siden marts 2023 angivet, at data sendt via API'et ikke bruges til træning—medmindre du eksplicit tilvælger det via et separat program. Men den garanti gælder ikke alle udbydere og bestemt ikke gratis adgang eller "research"-adgang.

Det du bør se: En eksplicit erklæring om, at transskripter ikke bruges til modeltræning, og at de efter behandling ikke længere er tilgængelige for LLM-udbyderen. Dette skal indgå i databehandleraftalen, ikke kun i en FAQ. Bonus: Platformen bruger en model, du selv kan hoste (f.eks. Llama, Mistral), eller en europæisk udbyder med en streng no-training-klausul.

Sådan løser Symphoria dette: Symphoria bruger OpenAI's API med en Business Associate Agreement (BAA) og en no-training-klausul. Transskripter behandles via API'et, men lagres ikke af OpenAI og indgår ikke i fremtidige modelversioner. Dette fremgår eksplicit af listen over underdatabehandlere.

4. Hvor længe opbevarer du optagelser og embeddings, og hvem kan slette dem?

GDPR kræver, at personoplysninger ikke opbevares længere end nødvendigt til det formål, de blev indsamlet til (art. 5(1)(e): opbevaringsbegrænsning). For en AI-vidensbase betyder det, at du skal kunne forklare, hvorfor en optagelse fra seks måneder siden stadig er relevant, og du skal have en proces for sletning af gamle data. Det gælder også afledte data: embeddings (vektorrepræsentationer af tekst) er personoplysninger, hvis de kan spores tilbage til en person.

Det du bør se: En konfigurerbar opbevaringsperiode pr. projekt (f.eks. "slet automatisk optagelser efter 12 måneder"), en knap, der giver en projektleder mulighed for manuelt at slette en optagelse, og en garanti for, at sletning også omfatter embeddings og indekser—ikke kun lydfilen. Ideelt: en auditlog, der viser hvornår noget blev slettet og af hvem.

Sådan løser Symphoria dette: Symphoria tilbyder en "retention policy" pr. projekt. Du kan konfigurere optagelser til automatisk sletning efter X måneder, inklusive transskripter og embeddings. Manuel sletning er mulig via projektgrænsefladen, og enhver sletning logges i audit trail.

5. Hvilke auditlogs er tilgængelige—kan en kunde senere se, hvad der skete med "deres" samtale?

Transparens er et grundprincip i GDPR (art. 5(1)(a)). Det betyder, at du skal kunne forklare, hvad du har gjort med en persons data—også efterfølgende. For en AI-vidensbase betyder det, at du skal kunne vise, hvilke optagelser der blev lavet, hvem der så dem, hvilke forespørgsler der blev kørt, og om data blev eksporteret eller slettet. Uden auditlogs kan du ikke besvare disse spørgsmål, og du risikerer bøder ved et databrud eller en klage.

Det du bør se: En auditlog pr. projekt, der som minimum registrerer: (1) hvem der startede en optagelse, (2) hvem der så et transskript, (3) hvilke forespørgsler der blev kørt mod vidensbasen, (4) om data blev eksporteret, og (5) om data blev slettet. Loggen skal være søgbar og opbevares i mindst 12 måneder (længere, hvis du arbejder i en reguleret sektor).

Sådan løser Symphoria dette: Symphoria logger alle handlinger på projektniveau: optagelser, visninger, forespørgsler, eksporter og sletninger. Disse logs er tilgængelige for projektejeren og kan eksporteres som CSV. Det gør det lettere at efterkomme en anmodning om indsigt (art. 15 GDPR) eller undersøge en hændelse.

6. Hvad er exit-strategien? (Kan du eksportere din vidensbase i et åbent format?)

Vendor lock-in er en risiko med ethvert SaaS-værktøj, men med en AI-vidensbase er det særligt smertefuldt: Du har indsamlet måneders samtaler, transskripter og metadata, og hvis du ikke kan eksportere dem, mister du den viden. GDPR giver dig ret til dataportabilitet (art. 20), men den gælder kun data, du selv har leveret—ikke afledte data som embeddings eller opsummeringer. Alligevel er det klogt at kræve, at du kan eksportere alt i et format, du kan importere til en anden udbyder.

Det du bør se: En eksportknap, der som minimum giver dig: (1) alle lyd- eller videofiler, (2) alle transskripter i plain text eller JSON, (3) alle metadata (tidsstempler, deltagere, tags), og (4) ideelt også embeddings i et åbent format som Parquet eller JSONL. Bonus: Eksporten er automatiseret og kan planlægges (f.eks. ugentlig backup til din egen S3-bucket).

7. Hvem er databehandler, hvem er dataansvarlig, og er det dokumenteret i en databehandleraftale?

GDPR skelner mellem den dataansvarlige (den part, der afgør hvorfor og hvordan personoplysninger behandles) og databehandleren (den part, der behandler data på vegne af den dataansvarlige). Som serviceudbyder er du typisk den dataansvarlige, og AI-vidensbasen er databehandleren. Det betyder, at du har brug for en databehandleraftale (art. 28 GDPR), der præcist fastlægger, hvad databehandleren må gøre, hvor længe, med hvilke underdatabehandlere, og hvad der sker ved et databrud.

Det du bør se: En Data Processing Agreement (DPA), der overholder art. 28(3) GDPR. Den skal som minimum omfatte: (1) behandlingens genstand og varighed, (2) behandlingens karakter og formål, (3) typen af personoplysninger og kategorierne af registrerede, (4) den dataansvarliges rettigheder og forpligtelser, (5) en liste over underdatabehandlere, og (6) en procedure for databrud. Aftalen skal underskrives, før du begynder at optage.

Sådan løser Symphoria dette: Symphoria tilbyder en standard-DPA, der overholder art. 28 GDPR. Du kan underskrive den via platformens grænseflade, og den opdateres automatisk, når en ny underdatabehandler tilføjes. Det gør det lettere at forblive compliant uden at involvere et juridisk team hver gang.

TL;DR-tjekliste

• Samtykke: Registrér forudgående, specifikt samtykke—med tidsstempel og mulighed for framelding.
• Lagring: Kontrollér, om data lagres inden for EU og ikke er underlagt ikke-europæisk overvågningslovgivning.
• Træning: Kræv en eksplicit garanti for, at transskripter ikke bruges til modeltræning.
• Opbevaring: Fastlæg en opbevaringsperiode, og sørg for, at sletning også omfatter embeddings.
• Audit: Kræv logs over, hvem der har set, forespurgt og slettet hvad.
• Eksport: Kontrollér, om du kan eksportere alle data i et åbent format.
• DPA: Underskriv en databehandleraftale, før du begynder at optage.

Hvad det betyder for din organisation

Hvis du kan besvare disse syv spørgsmål, er du godt på vej. Men bemærk: Compliance er ikke en engangstjekliste. GDPR kræver, at du regelmæssigt kontrollerer, at du fortsat opfylder kravene (art. 24: "passende tekniske og organisatoriske foranstaltninger"), og EU AI Act tilføjer endnu et lag for højrisikosystemer. Det betyder: periodiske audits, DPIA'er for nye use cases og en proces for at håndtere anmodninger om indsigt og databrud.

Vil du se, hvordan dette fungerer i praksis? Læs en uge med en AI-vidensbase: hvordan den ændrer arbejdet for en projektleder hos en serviceudbyder—en narrativ case, hvor vi viser præcist, hvordan disse spørgsmål opstår i den daglige praksis.

Den centrale læring: En AI-vidensbase bliver kun en produktivitetsgevinst, hvis du bevarer dine kunders tillid. Og den tillid opnår du ved at stille—og kunne besvare—disse spørgsmål, før du trykker på "record".