AI-kunskapsbaser och konfidentialitet: 7 frågor varje tjänsteleverantör bör ställa innan kundsamtal spelas in

Varför denna artikel

En AI-kunskapsbas som spelar in, transkriberar och gör kundsamtal sökbara innebär en stor produktivitetsvinst för tjänsteleverantörer. Vi har tidigare skrivit om hur AI-kunskapsbaser per projekt äntligen blir smarta utifrån ditt företag – men så snart du börjar fånga röst, video eller chatt skiftar samtalet från "användbart verktyg" till "juridisk bedömning".

Den här artikeln är en checklista med sju frågor som du behöver kunna besvara innan du inför ett verktyg som Symphoria (en partner till Wux Webtools och den plattform vi själva använder) eller ett alternativ. Frågorna bygger på GDPR, EU AI Act, EDPB:s riktlinjer och den dagliga praktiken hos nederländska tjänsteleverantörer som vill förbli regelefterlevande utan att compliance stoppar arbetet.

Kontexten: du är en tjänsteleverantör – konsultföretag, utvecklare, marknadsföringsbyrå, redovisningskonsult – som hjälper kunder med projekt som pågår i månader och genererar dussintals samtal. Du vill att en AI ska sammanfatta dessa samtal, extrahera åtgärdspunkter och besvara frågor som "vad sa kunden förra veckan om budgeten?". Det är möjligt. Men inte utan dessa sju svar.

1. Vem ger samtycke till inspelningen – och hur dokumenterar du det?

GDPR kräver en rättslig grund för varje behandling av personuppgifter (art. 6). För inspelningar av samtal behöver du vanligtvis samtycke (art. 6.1 a) eller berättigat intresse (art. 6.1 f). Samtycke måste vara föregående, specifikt, informerat och frivilligt (art. 7). Det betyder: inga förkryssade rutor, inga dolda klausuler i allmänna villkor och definitivt inget "vi spelar in om du inte invänder".

Det du vill se: Ett tydligt opt-in-tillfälle innan det första samtalet spelas in. Det kan vara en kryssruta i din projektintroduktion ("Jag samtycker till inspelning av möten i syfte att dokumentera projektet och ge AI-stöd"), muntlig bekräftelse i början av ett samtal ("Det här samtalet spelas in för vår interna kunskapsbas – samtycker du?"), eller ett separat samtyckesmejl. Samtycket måste loggas: vem, när, för vilket ändamål och med vilken formulering.

Så löser Symphoria detta: Symphoria erbjuder ett samtyckeslager per projekt. Innan en inspelning startar ber systemet uttryckligen alla deltagare om samtycke. Samtycket lagras med tidsstämpel och IP-adress och kan återkallas per projekt. Det gör det enklare att följa art. 7.3 GDPR ("det ska vara lika lätt att återkalla som att ge sitt samtycke").

2. Var lagras data fysiskt, och vilken lag gäller?

I princip förbjuder GDPR överföringar av personuppgifter till länder utanför EES utan lämpliga skyddsåtgärder (art. 44–50). Efter Schrems II-domen (2020) räcker standardavtalsklausuler (SCCs) inte längre om mottagaren omfattas av övervakningslagstiftning såsom FISA 702 i USA. EU AI Act (2024) lägger till ytterligare ett lager: AI-system med hög risk måste uppfylla krav på transparens och revision som är svåra att upprätthålla om data lagras utanför EU.

Det du vill se: Ett tydligt besked om var data lagras fysiskt (vilket datacenter, vilket land), vilka underbiträden som har åtkomst och om dessa parter omfattas av icke-europeisk övervakningslagstiftning. Helst: lagring inom EU, hos en leverantör som inte har ett amerikanskt moderbolag eller som uttryckligen erbjuder ett "EU-only"-läge.

Så löser Symphoria detta: Symphoria körs helt på europeisk infrastruktur (AWS eu-west-1, Frankfurt) och använder inte amerikanska underbiträden för lagring eller behandling av transkriptioner. Det gör det enklare att följa Schrems II utan komplexa konsekvensbedömningar.

3. Vilken modell behandlar transkriptionerna, och används de för träning?

De flesta AI-kunskapsbaser använder en extern LLM (OpenAI, Anthropic, Google) för att behandla transkriptioner. Det väcker två frågor: (1) används transkriptionerna för att träna modellen? och (2) vem har åtkomst till prompter och svar? OpenAI:s API-villkor har sedan mars 2023 angett att data som skickas via API:et inte används för träning – såvida du inte uttryckligen väljer att delta i ett separat program. Men den garantin gäller inte alla leverantörer, och definitivt inte kostnadsfri åtkomst eller "research"-åtkomst.

Det du vill se: Ett uttryckligt besked om att transkriptioner inte används för modellträning och att de efter behandlingen inte längre är åtkomliga för LLM-leverantören. Detta måste ingå i personuppgiftsbiträdesavtalet, inte bara i en FAQ. Bonus: plattformen använder en modell som du kan hosta själv (t.ex. Llama, Mistral) eller en europeisk leverantör med en strikt klausul om ingen träning.

Så löser Symphoria detta: Symphoria använder OpenAI:s API med ett Business Associate Agreement (BAA) och en klausul om ingen träning. Transkriptioner behandlas via API:et, men lagras inte av OpenAI och inkluderas inte i framtida modellversioner. Detta anges uttryckligen i listan över underbiträden.

4. Hur länge behåller ni inspelningar och embeddings, och vem kan radera dem?

GDPR kräver att personuppgifter inte sparas längre än nödvändigt för det ändamål de samlades in för (art. 5.1 e: lagringsminimering). För en AI-kunskapsbas innebär det att du måste kunna förklara varför en inspelning från sex månader sedan fortfarande är relevant, och du måste ha en process för att radera gammal data. Detta gäller även härledd data: embeddings (vektorrepresentationer av text) är personuppgifter om de kan spåras tillbaka till en individ.

Det du vill se: En konfigurerbar lagringstid per projekt (t.ex. "radera inspelningar automatiskt efter 12 månader"), en knapp som låter en projektledare radera en inspelning manuellt och en garanti för att raderingen även omfattar embeddings och index – inte bara ljudfilen. Helst: en revisionslogg som visar när något raderades och av vem.

Så löser Symphoria detta: Symphoria erbjuder en "retention policy" per projekt. Du kan konfigurera inspelningar så att de raderas automatiskt efter X månader, inklusive transkriptioner och embeddings. Manuell radering är möjlig via projektgränssnittet, och varje radering loggas i revisionsspåret.

5. Vilka revisionsloggar finns – kan en kund senare se vad som hände med "deras" samtal?

Transparens är en grundprincip i GDPR (art. 5.1 a). Det innebär att du måste kunna förklara vad du har gjort med någons data – även i efterhand. För en AI-kunskapsbas innebär det att du måste kunna visa vilka inspelningar som gjordes, vem som tittade på dem, vilka sökningar som kördes och om data exporterades eller raderades. Utan revisionsloggar kan du inte besvara dessa frågor, och du riskerar böter vid en personuppgiftsincident eller ett klagomål.

Det du vill se: En revisionslogg per projekt som åtminstone spårar: (1) vem som startade en inspelning, (2) vem som visade en transkription, (3) vilka sökfrågor som kördes mot kunskapsbasen, (4) om data exporterades och (5) om data raderades. Loggen måste vara sökbar och sparas i minst 12 månader (längre om du arbetar i en reglerad sektor).

Så löser Symphoria detta: Symphoria loggar alla åtgärder på projektnivå: inspelningar, visningar, sökfrågor, exporter och raderingar. Dessa loggar är åtkomliga för projektägaren och kan exporteras som CSV. Det gör det enklare att följa en begäran om tillgång (art. 15 GDPR) eller utreda en incident.

6. Vad är exitstrategin? (Kan du exportera din kunskapsbas i ett öppet format?)

Vendor lock-in är en risk med varje SaaS-verktyg, men med en AI-kunskapsbas är det särskilt kännbart: du har samlat in månader av samtal, transkriptioner och metadata, och om du inte kan exportera dem förlorar du den kunskapen. GDPR ger dig rätten till dataportabilitet (art. 20), men den gäller endast data som du själv har tillhandahållit – inte härledd data såsom embeddings eller sammanfattningar. Ändå är det klokt att kräva att du kan exportera allt, i ett format som du kan importera till en annan leverantör.

Det du vill se: En exportknapp som ger dig åtminstone: (1) alla ljud- eller videofiler, (2) alla transkriptioner i ren text eller JSON, (3) all metadata (tidsstämplar, deltagare, taggar) och (4) helst även embeddings i ett öppet format som Parquet eller JSONL. Bonus: exporten är automatiserad och kan schemaläggas (t.ex. veckovis backup till din egen S3-bucket).

7. Vem är personuppgiftsbiträde, vem är personuppgiftsansvarig, och är detta dokumenterat i ett personuppgiftsbiträdesavtal?

GDPR skiljer mellan den personuppgiftsansvariga (den part som bestämmer varför och hur personuppgifter behandlas) och personuppgiftsbiträdet (den part som behandlar data för den personuppgiftsansvarigas räkning). Som tjänsteleverantör är du vanligtvis personuppgiftsansvarig, och AI-kunskapsbasen är personuppgiftsbiträde. Det innebär att du behöver ett personuppgiftsbiträdesavtal (art. 28 GDPR) som exakt anger vad biträdet får göra, hur länge, med vilka underbiträden och vad som händer vid en personuppgiftsincident.

Det du vill se: Ett Data Processing Agreement (DPA) som följer art. 28.3 GDPR. Det måste åtminstone innehålla: (1) behandlingens föremål och varaktighet, (2) behandlingens art och ändamål, (3) typen av personuppgifter och kategorierna av registrerade, (4) den personuppgiftsansvarigas rättigheter och skyldigheter, (5) en lista över underbiträden och (6) ett förfarande för personuppgiftsincidenter. Avtalet måste vara undertecknat innan du börjar spela in.

Så löser Symphoria detta: Symphoria erbjuder ett standard-DPA som följer art. 28 GDPR. Du kan signera det via plattformsgränssnittet, och det uppdateras automatiskt när ett nytt underbiträde läggs till. Det gör det enklare att förbli regelefterlevande utan att involvera ett juridiskt team varje gång.

TL;DR-checklista

• Samtycke: Dokumentera föregående, specifikt samtycke – med tidsstämpel och möjlighet att välja bort.
• Lagring: Kontrollera om data lagras inom EU och inte omfattas av icke-europeisk övervakningslagstiftning.
• Träning: Kräv en uttrycklig garanti för att transkriptioner inte används för modellträning.
• Lagringstid: Sätt en lagringstid och säkerställ att radering även omfattar embeddings.
• Revision: Kräv loggar över vem som visade, sökte i och raderade vad.
• Export: Kontrollera om du kan exportera all data i ett öppet format.
• DPA: Underteckna ett personuppgiftsbiträdesavtal innan du börjar spela in.

Vad detta betyder för din organisation

Om du kan besvara dessa sju frågor är du på god väg. Men observera: regelefterlevnad är inte en engångschecklista. GDPR kräver att du regelbundet verifierar att du fortfarande uppfyller kraven (art. 24: "lämpliga tekniska och organisatoriska åtgärder"), och EU AI Act lägger till ytterligare ett lager för högrisksystem. Det innebär: periodiska revisioner, DPIA:er för nya användningsfall och en process för att hantera begäranden om tillgång och personuppgiftsincidenter.

Vill du se hur detta fungerar i praktiken? Läs en vecka med en AI-kunskapsbas: hur den förändrar arbetet för en projektledare hos en tjänsteleverantör – en narrativ fallstudie där vi visar exakt hur dessa frågor uppstår i den dagliga praktiken.

Den viktigaste lärdomen: en AI-kunskapsbas blir en produktivitetsvinst först om du behåller dina kunders förtroende. Och det förtroendet förtjänar du genom att ställa – och kunna besvara – dessa frågor innan du trycker på "record".