KI-telefonassistent och GDPR: Vad företag måste beakta juridiskt

Så snart en AI-telefonassistent tar emot samtal behandlar den personuppgifter – minst telefonnummer och samtalsinnehåll. Därmed gäller GDPR fullt ut. De fyra punkter som i praktiken avgör om användningen är tillåten: rättslig grund, transparens, personuppgiftsbiträdesavtal och behandlingsplats.

1. Klargöra rättslig grund

För behandlingen av ett ärende som den som ringer själv tar upp kommer regelmässigt avtalsförhandling eller avtalets fullgörande i fråga, kompletterat av det berättigade intresset av en effektiv tillgänglighet. Om samtalet däremot spelas in, gäller strängare krav – en inspelning utan samtycke är i regel otillåten.

I praktiken betyder det: En assistent som strukturerar och protokollför ärendet, i stället för att spara inspelningen, är betydligt enklare att driva ur dataskyddsrättslig synvinkel.

2. Transparens gentemot uppringande

Uppringande måste kunna känna igen att de talar med ett automatiserat system. Det följer både av GDPR:s transparensprincip och av märkningskraven för AI-system. En tydlig hänvisning i början av samtalet är det enklaste sättet – och enligt erfarenhet inget acceptansproblem, så länge systemet därefter fungerar tillförlitligt.

• Information i början av samtalet om att en digital assistent svarar
• Möjlighet att när som helst komma i kontakt med en människa
• Komplettera integritetsinformationen på webbplatsen, inklusive ändamål och lagringstid

3. Personuppgiftsbiträdesavtal

Om assistenten drivs via en tjänsteleverantör krävs ett personuppgiftsbiträdesavtal (PUB-avtal) enligt art. 28 i GDPR krävs. Där regleras ändamål, omfattning, tekniska och organisatoriska åtgärder samt möjliga underbiträden. Utan ett personuppgiftsbiträdesavtal är användningen inte förenlig med regelverket.

4. Var behandlas uppgifterna?

Behandlingsplatsen är den punkt där erbjudanden skiljer sig mest åt. Behandling inom EU undviker tilläggskraven för överföringar till tredjeland. Om en modell drivs utanför EU krävs en hållbar överföringsgrund och en bedömning i det enskilda fallet.

En praktisk tumregel: ju mindre data systemet över huvud taget lagrar och ju kortare lagringstid, desto enklare blir hela upplägget. Dataminimering är här inte bara en rättslig skyldighet, utan sparar också arbete.

Praktiskt exempel: Granskningsordning före införandet

Ett typiskt tillvägagångssätt: Först fastställs vilka uppgifter assistenten över huvud taget behöver för att fullgöra sin uppgift – oftast namn, telefonnummer för återuppringning och ärende. Allt utöver detta utgår. Därefter fastställs lagringstid och raderingskoncept, personuppgiftsbiträdesavtalet ingås och integritetsinformationen anpassas. Först därefter går systemet in i testdrift.

Vanliga frågor om KI-telefonassistent och GDPR

Måste jag informera den som ringer om att en KI svarar?

Ja. Den som ringer måste kunna förstå att de talar med ett automatiserat system. En kort hänvisning i början av samtalet räcker, tillsammans med möjligheten att kopplas vidare till en människa.

Får assistenten spela in samtal?

Endast med giltigt samtycke från den som ringer. Betydligt enklare är en assistent som strukturerat protokollför ärendet i stället för att spara inspelningen – då uppstår inte frågan i den skärpa.

Behöver jag ett personuppgiftsbiträdesavtal?

Ja, så snart en tjänsteleverantör behandlar uppgifterna för er räkning. Personuppgiftsbiträdesavtalet enligt artikel 28 i GDPR är en förutsättning för en rättsenlig drift.

Måste behandlingen ske inom EU?

Det är inte obligatoriskt, men det förenklar saken avsevärt eftersom de extra kraven för överföringar till tredjeland bortfaller. Vi fastställer därför uttryckligen behandlingsplatsen före införandet.

Nästa steg

Hur assistenten arbetar i verksamheten visas på produktsidan KI-Telefonassistent. Dataskyddsfrågor klargör vi inom ramen för införandet – de över INQA-Coachingupp till 80 % är bidragsberättigat.

Status: september 2026. Detta inlägg är en allmän vägledning och ersätter inte juridisk rådgivning i det enskilda fallet.