AI-telefonassistent och GDPR: Vilka krav företag måste uppfylla

Så snart en AI-telefonassistent tar emot samtal behandlar den personuppgifter – minst telefonnummer och samtalsinnehåll. Därmed gäller GDPR i full utsträckning. De fyra punkter som i praktiken avgör om det är tillåtet: Rättslig grund, transparens, personuppgiftsbiträdesavtal och plats för behandlingen.

1. Klargör den rättsliga grunden

För hanteringen av ett ärende som den som ringer själv tar upp, är det vanligtvis avtalsförberedelse eller avtalets genomförande beaktas dessutom det berättigade intresset av en effektiv nåbarhet. Om samtalet däremot spelas in, gäller strängare krav – en inspelning utan samtycke är i regel otillåten.

I praktiken innebär detta: En assistent som strukturerat protokollförärendet i stället för att spara inspelningen är betydligt enklare att driva ur dataskyddsrättslig synvinkel.

2. Transparens gentemot uppringande

Uppringande måste kunna förstå att de talar med ett automatiserat system. Det följer både av transparensprincipen i GDPR och av märkningskraven för AI-system. En tydlig hänvisning i början av samtalet är det enklaste sättet – och enligt erfarenhet inget acceptansproblem, så länge systemet därefter fungerar tillförlitligt.

• Information i början av samtalet om att en digital assistent svarar
• Möjlighet att när som helst nå en människa
• Komplettera integritetsinformationen på webbplatsen, inklusive ändamål och lagringstid

3. Personuppgiftsbiträdesavtal

Om assistenten drivs via en tjänsteleverantör krävs ett personuppgiftsbiträdesavtal (AVV) enligt artikel 28 i GDPR. Där regleras ändamål, omfattning, tekniska och organisatoriska åtgärder samt eventuella underbiträden. Utan AVV är användningen inte förenlig med regelverket.

4. Var behandlas uppgifterna?

Behandlingsplatsen är den punkt där erbjudanden skiljer sig tydligast åt. En behandling inom EU undviker de extra kraven för tredjelandsöverföringar. Om en modell drivs utanför EU krävs en hållbar överföringsgrund och en prövning i det enskilda fallet.

En praktisk tumregel: Ju mindre data systemet över huvud taget lagrar och ju kortare lagringstid, desto enklare blir hela konstruktionen. Dataminimering är här inte bara en rättslig skyldighet, utan sparar också arbete.

Exempel: Prövningsordning före införandet

Ett typiskt tillvägagångssätt: Först fastställs vilka data assistenten över huvud taget behöver för att fullgöra sin uppgift – oftast namn, telefonnummer för återuppringning och ärende. Allt utöver detta utgår. Därefter fastställs lagringstid och raderingskoncept, personuppgiftsbiträdesavtalet sluts och integritetsinformationen anpassas. Först därefter går systemet in i testdrift.

Vilka GDPR-krav gäller för AI-telefonassistenter? Checklistan

• Rättslig grund fastställd för varje behandling (t.ex. avtalsförberedelse, berättigat intresse, samtycke vid inspelning)
• Informationsskyldigheter uppfyllda: meddelande i början, utförlig information i integritetspolicyn
• Personuppgiftsbiträdesavtal med leverantören och lista över underleverantörer
• Behandlingsplats känd – helst Tyskland eller EU
• Dataminimering: endast namn, telefonnummer för återuppringning, ärende – det som inte behövs registreras inte
• Raderingsfristerfastställd och tekniskt genomförd för protokoll och transkriptioner
• register över behandlingsaktiviteter kompletterat
• dataskyddskonsekvensbedömning granskad, särskilt vid känsliga uppgifter som hälsoinformation
• registrerades rättigheter (information, radering) organisatoriskt säkerställt

EU AI Act: Vad som dessutom gäller

Utöver GDPR medför EU AI Act skyldigheter för företag som använder AI. För telefonassistenter är två punkter relevanta: Människor måste kunna känna igen att de interagerar med ett AI-system (transparenskrav), och företag måste sedan februari 2025 ha tillräcklig AI-kompetens för de anställda som arbetar med systemet. En kort utbildning om funktion, begränsningar och dataskydd täcker detta vanligtvis. Mer: Skyldighet att märka ut AI.

Särskilda branscher

Den som behandlar hälsodata – till exempel i mottagningar eller inom vårdtjänster – behöver förstärkta skyddsåtgärder och bör genomföra en konsekvensbedömning avseende dataskydd. För yrkesutövare med tystnadsplikt, som advokatbyråer, tillkommer sekretesskrav. Branschexempel: Läkarpraktik och hemtjänst.

Så här löser vi det hos bettersorted

Vår AI-telefonassistent behandlas uteslutande på servrar i Tyskland, med personuppgiftsbiträdesavtal enligt artikel 28 i GDPR. Transkriptioner används för dokumentation och raderas efter fastställda tidsfrister; uppringande informeras i början om att en digital assistent talar. Hur assistenten fungerar tekniskt förklaras av Hur fungerar en AI-telefonassistent?.

Vanliga frågor om AI-telefonassistent och GDPR

Måste jag informera uppringande om att en AI svarar?

Ja. Uppringande måste kunna förstå att de talar med ett automatiserat system. En kort information i början av samtalet räcker, tillsammans med möjligheten att kopplas vidare till en människa.

Får assistenten spela in samtal?

Endast med giltigt samtycke från den som ringer. Betydligt enklare är en assistent som strukturerat protokollför ärendet i stället för att spara inspelningen – då uppstår inte frågan i den skärpa.

Behöver jag ett personuppgiftsbiträdesavtal?

Ja, så snart en tjänsteleverantör behandlar uppgifterna på ert uppdrag. PUB-avtalet enligt artikel 28 i GDPR är en förutsättning för en rättsenlig drift.

Måste behandlingen ske inom EU?

Det är inte obligatoriskt, men det förenklar saken avsevärt eftersom de अतिरिक्त kraven för överföringar till tredjeland då bortfaller. Vi fastställer därför uttryckligen var behandlingen ska ske innan införandet.

Vilka GDPR-krav gäller för AI-telefonassistenter?

En rättslig grund för behandlingen, transparent information till de som ringer inklusive en hänvisning till AI, ett personuppgiftsbiträdesavtal, kännedom om var behandlingen sker, dataminimering, fastställda raderingsfrister och tillgodoseende av de registrerades rättigheter.

Behöver jag en konsekvensbedömning avseende dataskydd?

Inte i alla fall. Den är aktuell när behandlingen sannolikt innebär en hög risk, till exempel vid hälsodata eller omfattande behandling av känslig information. Era dataskyddsombud hjälper till med bedömningen.

Nästa steg

Hur assistenten arbetar i drift visas på produktsidan AI-telefonassistent. Dataskyddsfrågor klargör vi inom ramen för införandet – som är till 80 % bidragsberättigat via INQA-Coaching.

Uppdaterad: september 2026. Detta inlägg är en allmän vägledning och ersätter inte juridisk rådgivning i det enskilda fallet.