Basis pengetahuan AI dan kerahasiaan: 7 pertanyaan yang harus diajukan setiap penyedia layanan sebelum merekam percakapan klien

Mengapa artikel ini

Basis pengetahuan AI yang merekam, mentranskripsikan, dan membuat percakapan klien dapat dicari adalah peningkatan produktivitas yang besar bagi penyedia layanan. Sebelumnya kami menulis tentang bagaimana basis pengetahuan AI per proyek akhirnya menjadi pintar dari perusahaan Anda—tetapi begitu Anda mulai menangkap suara, video, atau chat, percakapan bergeser dari "alat yang berguna" menjadi "penilaian hukum".

Artikel ini adalah daftar periksa berisi tujuh pertanyaan yang harus dapat Anda jawab sebelum menerapkan alat seperti Symphoria (mitra Wux Webtools, dan platform yang kami gunakan sendiri) atau alternatif lainnya. Pertanyaan-pertanyaan ini didasarkan pada GDPR, EU AI Act, pedoman EDPB, dan praktik sehari-hari penyedia layanan Belanda yang ingin tetap patuh tanpa membuat kepatuhan menghentikan pekerjaan.

Konteksnya: Anda adalah penyedia layanan—konsultansi, developer, agensi pemasaran, akuntan—yang membantu klien dengan proyek yang berlangsung berbulan-bulan dan menghasilkan puluhan percakapan. Anda ingin AI merangkum percakapan tersebut, mengekstrak item tindakan, dan menjawab pertanyaan seperti "apa yang dikatakan klien minggu lalu tentang anggaran?". Itu mungkin. Tetapi tidak tanpa tujuh jawaban ini.

1. Siapa yang memberikan persetujuan untuk perekaman—dan bagaimana Anda mencatatnya?

GDPR mensyaratkan dasar hukum untuk setiap pemrosesan data pribadi (Pasal 6). Untuk rekaman percakapan, biasanya Anda memerlukan persetujuan (Pasal 6(1)(a)) atau kepentingan sah (Pasal 6(1)(f)). Persetujuan harus diberikan sebelumnya, spesifik, terinformasi, dan diberikan secara bebas (Pasal 7). Artinya: tidak ada kotak yang sudah dicentang, tidak ada klausul tersembunyi dalam syarat dan ketentuan, dan tentu saja tidak ada "kami merekam kecuali Anda keberatan".

Yang ingin Anda lihat: Momen opt-in yang jelas sebelum percakapan pertama direkam. Ini bisa berupa kotak centang dalam onboarding proyek Anda ("Saya setuju dengan perekaman rapat untuk tujuan dokumentasi proyek dan dukungan AI"), konfirmasi lisan di awal panggilan ("Panggilan ini direkam untuk basis pengetahuan internal kami—apakah Anda setuju?"), atau email persetujuan terpisah. Persetujuan harus dicatat: siapa, kapan, untuk tujuan apa, dan dengan rumusan kata yang mana.

Bagaimana Symphoria menyelesaikan ini: Symphoria menawarkan lapisan persetujuan per proyek. Sebelum perekaman dimulai, sistem secara eksplisit meminta persetujuan semua peserta. Persetujuan tersebut disimpan dengan timestamp dan alamat IP, dan dapat ditarik per proyek. Ini memudahkan kepatuhan terhadap Pasal 7(3) GDPR ("menarik persetujuan harus semudah memberikannya").

2. Di mana data disimpan secara fisik, dan hukum mana yang berlaku?

Pada prinsipnya, GDPR melarang transfer data pribadi ke negara di luar EEA tanpa perlindungan yang sesuai (Pasal 44-50). Setelah putusan Schrems II (2020), Standard Contractual Clauses (SCCs) tidak lagi memadai jika pihak penerima tunduk pada undang-undang pengawasan seperti FISA 702 di AS. EU AI Act (2024) menambahkan lapisan lain: sistem AI berisiko tinggi harus memenuhi persyaratan transparansi dan audit yang sulit ditegakkan jika data disimpan di luar UE.

Yang ingin Anda lihat: Pernyataan yang jelas tentang di mana data disimpan secara fisik (pusat data mana, negara mana), sub-pemroses mana yang memiliki akses, dan apakah pihak-pihak tersebut tunduk pada undang-undang pengawasan non-Eropa. Idealnya: penyimpanan di dalam UE, dengan penyedia yang tidak memiliki perusahaan induk AS atau yang secara eksplisit menawarkan mode "EU-only".

Bagaimana Symphoria menyelesaikan ini: Symphoria berjalan sepenuhnya di infrastruktur Eropa (AWS eu-west-1, Frankfurt) dan tidak menggunakan sub-pemroses AS untuk menyimpan atau memproses transkrip. Ini memudahkan kepatuhan terhadap Schrems II tanpa penilaian dampak yang kompleks.

3. Model mana yang memproses transkrip, dan apakah transkrip digunakan untuk pelatihan?

Sebagian besar basis pengetahuan AI menggunakan LLM eksternal (OpenAI, Anthropic, Google) untuk memproses transkrip. Ini menimbulkan dua pertanyaan: (1) apakah transkrip digunakan untuk melatih model? dan (2) siapa yang memiliki akses ke prompt dan respons? Ketentuan API OpenAI telah menyatakan sejak Maret 2023 bahwa data yang dikirim melalui API tidak digunakan untuk pelatihan—kecuali Anda secara eksplisit ikut serta melalui program terpisah. Namun jaminan itu tidak berlaku untuk semua penyedia, dan tentu saja tidak untuk akses gratis atau "research".

Yang ingin Anda lihat: Pernyataan eksplisit bahwa transkrip tidak digunakan untuk pelatihan model, dan bahwa setelah pemrosesan transkrip tidak lagi dapat diakses oleh penyedia LLM. Ini harus disertakan dalam perjanjian pemrosesan data, bukan hanya dalam FAQ. Bonus: platform menggunakan model yang dapat Anda hosting sendiri (misalnya Llama, Mistral) atau penyedia Eropa dengan klausul no-training yang ketat.

Bagaimana Symphoria menyelesaikan ini: Symphoria menggunakan API OpenAI dengan Business Associate Agreement (BAA) dan klausul no-training. Transkrip diproses melalui API, tetapi tidak disimpan oleh OpenAI dan tidak disertakan dalam versi model mendatang. Hal ini dinyatakan secara eksplisit dalam daftar sub-pemroses.

4. Berapa lama Anda menyimpan rekaman dan embeddings, dan siapa yang dapat menghapusnya?

GDPR mensyaratkan agar data pribadi tidak disimpan lebih lama dari yang diperlukan untuk tujuan pengumpulannya (Pasal 5(1)(e): pembatasan penyimpanan). Untuk basis pengetahuan AI, itu berarti Anda harus dapat menjelaskan mengapa rekaman dari enam bulan lalu masih relevan, dan Anda harus memiliki proses untuk menghapus data lama. Ini juga berlaku untuk data turunan: embeddings (representasi vektor dari teks) adalah data pribadi jika dapat ditelusuri kembali ke individu.

Yang ingin Anda lihat: Periode retensi yang dapat dikonfigurasi per proyek (misalnya "hapus rekaman secara otomatis setelah 12 bulan"), tombol yang memungkinkan manajer proyek menghapus rekaman secara manual, dan jaminan bahwa penghapusan juga berdampak pada embeddings dan indeks—bukan hanya file audio. Idealnya: log audit yang menunjukkan kapan sesuatu dihapus dan oleh siapa.

Bagaimana Symphoria menyelesaikan ini: Symphoria menawarkan "retention policy" per proyek. Anda dapat mengonfigurasi agar rekaman dihapus secara otomatis setelah X bulan, termasuk transkrip dan embeddings. Penghapusan manual dapat dilakukan melalui antarmuka proyek, dan setiap penghapusan dicatat dalam audit trail.

5. Log audit apa yang tersedia—dapatkah klien kemudian melihat apa yang terjadi pada percakapan "mereka"?

Transparansi adalah prinsip inti GDPR (Pasal 5(1)(a)). Itu berarti Anda harus dapat menjelaskan apa yang telah Anda lakukan dengan data seseorang—bahkan setelah kejadian. Untuk basis pengetahuan AI, itu berarti Anda harus dapat menunjukkan rekaman mana yang dibuat, siapa yang melihatnya, kueri mana yang dijalankan, dan apakah data diekspor atau dihapus. Tanpa log audit, Anda tidak dapat menjawab pertanyaan tersebut, dan Anda berisiko terkena denda jika terjadi pelanggaran data atau keluhan.

Yang ingin Anda lihat: Log audit per proyek yang setidaknya melacak: (1) siapa yang memulai perekaman, (2) siapa yang melihat transkrip, (3) kueri mana yang dijalankan terhadap basis pengetahuan, (4) apakah data diekspor, dan (5) apakah data dihapus. Log tersebut harus dapat dicari dan disimpan setidaknya selama 12 bulan (lebih lama jika Anda bekerja di sektor teregulasi).

Bagaimana Symphoria menyelesaikan ini: Symphoria mencatat semua tindakan pada tingkat proyek: rekaman, tampilan, kueri, ekspor, dan penghapusan. Log ini dapat diakses oleh pemilik proyek dan dapat diekspor sebagai CSV. Ini memudahkan kepatuhan terhadap permintaan akses (Pasal 15 GDPR) atau penyelidikan insiden.

6. Apa strategi keluarnya? (Dapatkah Anda mengekspor basis pengetahuan Anda dalam format terbuka?)

Vendor lock-in adalah risiko pada setiap alat SaaS, tetapi pada basis pengetahuan AI hal ini sangat menyakitkan: Anda telah mengumpulkan percakapan, transkrip, dan metadata selama berbulan-bulan, dan jika Anda tidak dapat mengekspornya, Anda kehilangan pengetahuan tersebut. GDPR memberi Anda hak portabilitas data (Pasal 20), tetapi itu hanya berlaku untuk data yang Anda berikan sendiri—bukan data turunan seperti embeddings atau ringkasan. Meski demikian, bijak untuk mensyaratkan bahwa Anda dapat mengekspor semuanya, dalam format yang dapat Anda impor ke penyedia lain.

Yang ingin Anda lihat: Tombol ekspor yang memberi Anda setidaknya: (1) semua file audio atau video, (2) semua transkrip dalam teks biasa atau JSON, (3) semua metadata (timestamp, peserta, tag), dan (4) idealnya juga embeddings dalam format terbuka seperti Parquet atau JSONL. Bonus: ekspor diotomatisasi dan dapat dijadwalkan (misalnya backup mingguan ke bucket S3 Anda sendiri).

7. Siapa pemroses, siapa pengendali, dan apakah itu didokumentasikan dalam perjanjian pemrosesan data?

GDPR membedakan antara pengendali (pihak yang menentukan mengapa dan bagaimana data pribadi diproses) dan pemroses (pihak yang memproses data atas nama pengendali). Sebagai penyedia layanan, Anda biasanya adalah pengendali, dan basis pengetahuan AI adalah pemroses. Itu berarti Anda memerlukan perjanjian pemrosesan data (Pasal 28 GDPR) yang secara tepat menetapkan apa yang boleh dilakukan pemroses, untuk berapa lama, dengan sub-pemroses mana, dan apa yang terjadi jika terjadi pelanggaran data.

Yang ingin Anda lihat: Data Processing Agreement (DPA) yang mematuhi Pasal 28(3) GDPR. Perjanjian tersebut setidaknya harus mencakup: (1) pokok bahasan dan durasi pemrosesan, (2) sifat dan tujuan pemrosesan, (3) jenis data pribadi dan kategori subjek data, (4) hak dan kewajiban pengendali, (5) daftar sub-pemroses, dan (6) prosedur untuk pelanggaran data. Perjanjian tersebut harus ditandatangani sebelum Anda mulai merekam.

Bagaimana Symphoria menyelesaikan ini: Symphoria menawarkan DPA standar yang mematuhi Pasal 28 GDPR. Anda dapat menandatanganinya melalui antarmuka platform, dan DPA tersebut diperbarui secara otomatis ketika sub-pemroses baru ditambahkan. Ini memudahkan untuk tetap patuh tanpa melibatkan tim hukum setiap saat.

Checklist TL;DR

• Persetujuan: Catat persetujuan sebelumnya yang spesifik—dengan timestamp dan opsi opt-out.
• Penyimpanan: Periksa apakah data disimpan di dalam UE dan tidak tunduk pada undang-undang pengawasan non-Eropa.
• Pelatihan: Minta jaminan eksplisit bahwa transkrip tidak digunakan untuk pelatihan model.
• Retensi: Tetapkan periode retensi dan pastikan penghapusan juga berdampak pada embeddings.
• Audit: Wajibkan log tentang siapa yang melihat, mengajukan kueri, dan menghapus apa.
• Ekspor: Periksa apakah Anda dapat mengekspor semua data dalam format terbuka.
• DPA: Tandatangani perjanjian pemrosesan data sebelum Anda mulai merekam.

Apa artinya ini bagi organisasi Anda

Jika Anda dapat menjawab tujuh pertanyaan ini, Anda sudah berada di jalur yang tepat. Tetapi perhatikan: kepatuhan bukanlah daftar periksa satu kali. GDPR mensyaratkan Anda untuk secara berkala memverifikasi bahwa Anda masih memenuhi persyaratan (Pasal 24: "langkah-langkah teknis dan organisasi yang sesuai"), dan EU AI Act menambahkan lapisan lain untuk sistem berisiko tinggi. Itu berarti: audit berkala, DPIA untuk kasus penggunaan baru, dan proses untuk menanggapi permintaan akses serta pelanggaran data.

Ingin melihat bagaimana ini bekerja dalam praktik? Baca seminggu dengan basis pengetahuan AI: bagaimana ia mengubah pekerjaan seorang manajer proyek di penyedia layanan—sebuah kasus naratif di mana kami menunjukkan secara tepat bagaimana pertanyaan-pertanyaan ini muncul dalam praktik sehari-hari.

Pelajaran utamanya: basis pengetahuan AI hanya menjadi peningkatan produktivitas jika Anda mempertahankan kepercayaan klien Anda. Dan Anda memperoleh kepercayaan itu dengan mengajukan—dan mampu menjawab—pertanyaan-pertanyaan ini sebelum Anda menekan "record".