KI-kunnskapsbaser og konfidensialitet: 7 spørsmål enhver tjenesteleverandør bør stille før opptak av kundesamtaler

Hvorfor denne artikkelen

En KI-kunnskapsbase som tar opp, transkriberer og gjør kundesamtaler søkbare, gir en betydelig produktivitetsgevinst for tjenesteleverandører. Vi har tidligere skrevet om hvordan KI-kunnskapsbaser per prosjekt endelig blir smarte av bedriften din – men så snart du begynner å fange opp tale, video eller chat, flytter samtalen seg fra «nyttig verktøy» til «juridisk vurdering».

Denne artikkelen er en sjekkliste med sju spørsmål du må kunne svare på før du tar i bruk et verktøy som Symphoria (en partner av Wux Webtools, og plattformen vi selv bruker) eller et alternativ. Spørsmålene bygger på GDPR, EU AI Act, EDPB-retningslinjer og den daglige praksisen hos nederlandske tjenesteleverandører som ønsker å være etterlevelsesdyktige uten at etterlevelse stopper arbeidet.

Konteksten: Du er en tjenesteleverandør – rådgivning, utvikler, markedsføringsbyrå, regnskapsfører – som hjelper kunder med prosjekter som varer i måneder og genererer dusinvis av samtaler. Du vil at en KI skal oppsummere disse samtalene, hente ut tiltakspunkter og svare på spørsmål som «hva sa kunden i forrige uke om budsjettet?». Det er mulig. Men ikke uten disse sju svarene.

1. Hvem gir samtykke til opptaket – og hvordan dokumenterer du det?

GDPR krever et behandlingsgrunnlag for enhver behandling av personopplysninger (Art. 6). For opptak av samtaler trenger du vanligvis samtykke (Art. 6(1)(a)) eller berettiget interesse (Art. 6(1)(f)). Samtykke må være forhåndsgitt, spesifikt, informert og frivillig (Art. 7). Det betyr: ingen forhåndsavkryssede bokser, ingen skjulte klausuler i vilkår og betingelser, og definitivt ikke «vi tar opp med mindre du protesterer».

Dette bør du se etter: Et tydelig opt-in-øyeblikk før den første samtalen tas opp. Det kan være en avkrysningsboks i prosjektets onboarding («Jeg samtykker til opptak av møter for prosjekt­dokumentasjon og KI-støtte»), muntlig bekreftelse i starten av en samtale («Denne samtalen tas opp for vår interne kunnskapsbase – samtykker du?»), eller en separat samtykke-e-post. Samtykket må loggføres: hvem, når, til hvilket formål og med hvilken ordlyd.

Slik løser Symphoria dette: Symphoria tilbyr et samtykkelag per prosjekt. Før et opptak starter, ber systemet uttrykkelig alle deltakere om samtykke. Samtykket lagres med tidsstempel og IP-adresse, og kan trekkes tilbake per prosjekt. Dette gjør det enklere å etterleve Art. 7(3) GDPR («det skal være like enkelt å trekke tilbake som å gi samtykke»).

2. Hvor lagres dataene fysisk, og hvilket lovverk gjelder?

I utgangspunktet forbyr GDPR overføring av personopplysninger til land utenfor EØS uten egnede garantier (Art. 44–50). Etter Schrems II-dommen (2020) er standard personvernbestemmelser (SCC-er) ikke lenger tilstrekkelige dersom mottakeren er underlagt overvåkningslovgivning som FISA 702 i USA. EU AI Act (2024) legger til et nytt lag: KI-systemer med høy risiko må oppfylle krav til transparens og revisjon som er vanskelige å håndheve hvis dataene lagres utenfor EU.

Dette bør du se etter: En tydelig erklæring om hvor dataene lagres fysisk (hvilket datasenter, hvilket land), hvilke underdatabehandlere som har tilgang, og om disse partene er underlagt ikke-europeisk overvåkningslovgivning. Ideelt: lagring innenfor EU, hos en leverandør som ikke har amerikansk morselskap, eller som uttrykkelig tilbyr en «EU-only»-modus.

Slik løser Symphoria dette: Symphoria kjører utelukkende på europeisk infrastruktur (AWS eu-west-1, Frankfurt) og bruker ikke amerikanske underdatabehandlere til lagring eller behandling av transkripsjoner. Dette gjør det enklere å etterleve Schrems II uten komplekse konsekvensvurderinger.

3. Hvilken modell behandler transkripsjonene, og brukes de til trening?

De fleste KI-kunnskapsbaser bruker en ekstern LLM (OpenAI, Anthropic, Google) til å behandle transkripsjoner. Det reiser to spørsmål: (1) brukes transkripsjonene til å trene modellen? og (2) hvem har tilgang til promptene og svarene? OpenAIs API-vilkår har siden mars 2023 slått fast at data sendt via API-et ikke brukes til trening – med mindre du uttrykkelig melder deg på gjennom et separat program. Men denne garantien gjelder ikke alle leverandører, og definitivt ikke gratis tilgang eller «forsknings»-tilgang.

Dette bør du se etter: En uttrykkelig erklæring om at transkripsjoner ikke brukes til modelltrening, og at de etter behandling ikke lenger er tilgjengelige for LLM-leverandøren. Dette må inngå i databehandleravtalen, ikke bare i en FAQ. Bonus: Plattformen bruker en modell du kan hoste selv (f.eks. Llama, Mistral) eller en europeisk leverandør med en streng klausul om ingen trening.

Slik løser Symphoria dette: Symphoria bruker OpenAIs API med en Business Associate Agreement (BAA) og en klausul om ingen trening. Transkripsjoner behandles via API-et, men lagres ikke av OpenAI og inkluderes ikke i fremtidige modellversjoner. Dette er uttrykkelig angitt i listen over underdatabehandlere.

4. Hvor lenge beholder dere opptak og embeddings, og hvem kan slette dem?

GDPR krever at personopplysninger ikke lagres lenger enn nødvendig for formålet de ble samlet inn for (Art. 5(1)(e): lagringsbegrensning). For en KI-kunnskapsbase betyr det at du må kunne forklare hvorfor et opptak fra seks måneder siden fortsatt er relevant, og at du må ha en prosess for å slette gamle data. Dette gjelder også avledede data: embeddings (vektorrepresentasjoner av tekst) er personopplysninger hvis de kan spores tilbake til en enkeltperson.

Dette bør du se etter: En konfigurerbar oppbevaringsperiode per prosjekt (f.eks. «slett opptak automatisk etter 12 måneder»), en knapp som lar en prosjektleder manuelt slette et opptak, og en garanti for at sletting også omfatter embeddings og indekser – ikke bare lydfilen. Ideelt: en revisjonslogg som viser når noe ble slettet og av hvem.

Slik løser Symphoria dette: Symphoria tilbyr en «retention policy» per prosjekt. Du kan konfigurere at opptak slettes automatisk etter X måneder, inkludert transkripsjoner og embeddings. Manuell sletting er mulig via prosjektgrensesnittet, og hver sletting loggføres i revisjonssporet.

5. Hvilke revisjonslogger finnes – kan en kunde senere se hva som skjedde med «deres» samtale?

Transparens er et grunnprinsipp i GDPR (Art. 5(1)(a)). Det betyr at du må kunne forklare hva du har gjort med noens data – også i etterkant. For en KI-kunnskapsbase betyr det at du må kunne vise hvilke opptak som ble gjort, hvem som så dem, hvilke spørringer som ble kjørt, og om data ble eksportert eller slettet. Uten revisjonslogger kan du ikke svare på disse spørsmålene, og du risikerer bøter ved et databrudd eller en klage.

Dette bør du se etter: En revisjonslogg per prosjekt som minst sporer: (1) hvem som startet et opptak, (2) hvem som så en transkripsjon, (3) hvilke spørringer som ble kjørt mot kunnskapsbasen, (4) om data ble eksportert, og (5) om data ble slettet. Loggen må være søkbar og oppbevares i minst 12 måneder (lenger hvis du arbeider i en regulert sektor).

Slik løser Symphoria dette: Symphoria logger alle handlinger på prosjektnivå: opptak, visninger, spørringer, eksporter og slettinger. Disse loggene er tilgjengelige for prosjekteieren og kan eksporteres som CSV. Dette gjør det enklere å etterleve en innsynsforespørsel (Art. 15 GDPR) eller å undersøke en hendelse.

6. Hva er exit-strategien? (Kan du eksportere kunnskapsbasen din i et åpent format?)

Leverandørlåsing er en risiko med alle SaaS-verktøy, men med en KI-kunnskapsbase er det særlig smertefullt: Du har samlet måneder med samtaler, transkripsjoner og metadata, og hvis du ikke kan eksportere dem, mister du den kunnskapen. GDPR gir deg rett til dataportabilitet (Art. 20), men den gjelder bare data du selv har gitt – ikke avledede data som embeddings eller sammendrag. Likevel er det klokt å kreve at du kan eksportere alt, i et format du kan importere hos en annen leverandør.

Dette bør du se etter: En eksportknapp som minst gir deg: (1) alle lyd- eller videofiler, (2) alle transkripsjoner i ren tekst eller JSON, (3) alle metadata (tidsstempler, deltakere, tagger), og (4) ideelt sett også embeddings i et åpent format som Parquet eller JSONL. Bonus: Eksporten er automatisert og kan planlegges (f.eks. ukentlig sikkerhetskopi til din egen S3-bøtte).

7. Hvem er databehandler, hvem er behandlingsansvarlig, og er dette dokumentert i en databehandleravtale?

GDPR skiller mellom behandlingsansvarlig (parten som bestemmer hvorfor og hvordan personopplysninger behandles) og databehandler (parten som behandler data på vegne av den behandlingsansvarlige). Som tjenesteleverandør er du vanligvis behandlingsansvarlig, og KI-kunnskapsbasen er databehandler. Det betyr at du trenger en databehandleravtale (Art. 28 GDPR) som presist angir hva databehandleren kan gjøre, hvor lenge, med hvilke underdatabehandlere, og hva som skjer ved et databrudd.

Dette bør du se etter: En Data Processing Agreement (DPA) som oppfyller Art. 28(3) GDPR. Den må minst omfatte: (1) behandlingens gjenstand og varighet, (2) behandlingens art og formål, (3) typen personopplysninger og kategoriene av registrerte, (4) den behandlingsansvarliges rettigheter og plikter, (5) en liste over underdatabehandlere, og (6) en prosedyre for databrudd. Avtalen må være signert før du begynner å ta opp.

Slik løser Symphoria dette: Symphoria tilbyr en standard DPA som oppfyller Art. 28 GDPR. Du kan signere den via plattformgrensesnittet, og den oppdateres automatisk når en ny underdatabehandler legges til. Dette gjør det enklere å forbli etterlevelsesdyktig uten å involvere et juridisk team hver gang.

TL;DR-sjekkliste

• Samtykke: Registrer forhåndsgitt, spesifikt samtykke – med tidsstempel og mulighet for opt-out.
• Lagring: Sjekk om data lagres innenfor EU og ikke er underlagt ikke-europeisk overvåkningslovgivning.
• Trening: Krev en uttrykkelig garanti for at transkripsjoner ikke brukes til modelltrening.
• Oppbevaring: Sett en oppbevaringsperiode og sørg for at sletting også omfatter embeddings.
• Revisjon: Krev logger over hvem som så, spurte i og slettet hva.
• Eksport: Sjekk om du kan eksportere alle data i et åpent format.
• DPA: Signer en databehandleravtale før du begynner å ta opp.

Hva dette betyr for organisasjonen din

Hvis du kan svare på disse sju spørsmålene, er du godt på vei. Men merk: Etterlevelse er ikke en engangssjekkliste. GDPR krever at du jevnlig kontrollerer at du fortsatt oppfyller kravene (Art. 24: «egnede tekniske og organisatoriske tiltak»), og EU AI Act legger til et nytt lag for høyrisikosystemer. Det betyr: periodiske revisjoner, DPIA-er for nye bruksområder og en prosess for å svare på innsynsforespørsler og databrudd.

Vil du se hvordan dette fungerer i praksis? Les en uke med en KI-kunnskapsbase: hvordan den endrer arbeidet til en prosjektleder hos en tjenesteleverandør – en narrativ case der vi viser nøyaktig hvordan disse spørsmålene oppstår i daglig praksis.

Hovedlærdommen: En KI-kunnskapsbase blir bare en produktivitetsgevinst hvis du beholder kundenes tillit. Og den tilliten fortjener du ved å stille – og kunne svare på – disse spørsmålene før du trykker «record».