AI och GDPR/AI-förordningen i kundservice – checklista för svenska företag

Posted on Nov 2 • Originally published at successifier.se

Kort svar: Ett svenskt företag som inför AI i kundservice är normalt personuppgiftsansvarigt och behöver ett personuppgiftsbiträdesavtal som omfattar leverantörens underbiträden, en rättslig grund per ändamål, en konsekvensbedömning eller dokumenterat skäl till varför den inte krävs, en uppdaterad registerförteckning och en informationstext till kunderna. AI-förordningen kräver att kunden får veta när den interagerar med AI. Kontrollera tredjelandsöverföringar, stäng av träning på kunddata och stäm av tidsplanen med jurist.

När ni inför AI i kundservice är ni normalt personuppgiftsansvariga. Ni behöver ett biträdesavtal som omfattar leverantörens underbiträden, rättslig grund per ändamål, en konsekvensbedömning, uppdaterad registerförteckning och en informationstext till kunderna. AI-förordningen kräver dessutom att kunden får veta när den pratar med AI. Stäng av träning på kunddata och kontrollera tredjelandsöverföringar.

Den här artikeln ingår i vår serie AI i kontaktcenter 2026. Den beskriver skyldigheterna på principnivå och ger en checklista i fyra faser. Den är inte juridisk rådgivning. Låt er jurist eller ert dataskyddsombud bedöma just er situation.

GDPR och AI-förordningen överlappar men frågar efter olika saker. GDPR handlar om personuppgifterna: vilka ni behandlar, varför, med vilket stöd och hur de skyddas. AI-förordningen, förordning (EU) 2024/1689, handlar om själva AI-systemet: vilken risk det innebär och vilka krav som följer av det.

I kundservice gäller i praktiken båda samtidigt. Ett kundmail som en AI läser och besvarar innehåller personuppgifter, och AI:n som svarar är ett AI-system som interagerar med en människa.

GDPR i korthet. De bärande delarna i dataskyddsförordningen (EU) 2016/679 för ett AI-projekt i kundservice är:

IMY är svensk tillsynsmyndighet för GDPR.

AI-förordningen i korthet. Förordningen delar in AI-användning i riskklasser. I stora drag:

De flesta AI-tillämpningar i kundservice hamnar i transparensklassen. Men klassningen beror på vad AI:n faktiskt gör. En AI som bara svarar på leveransfrågor och en AI som beslutar om avbetalning hos ett kreditbolag kan hamna i olika klasser, även om de ligger i samma plattform.

Förordningens skyldigheter börjar gälla stegvis och tidsplanen har diskuterats politiskt. Stäm av vilka datum som gäller för era system med jurist, i stället för att lita på en bloggtext. Det gäller även den här.

Ert företag är normalt personuppgiftsansvarigt, plattformsleverantören personuppgiftsbiträde och dess leverantörer underbiträden. Rollen avgör ansvaret, och ansvaret avgör vilka dokument som behövs. Vem som har vilken roll är också den vanligaste oklarheten i AI-projekt.

Kärnan i art. 28 är att biträdet bara får behandla uppgifter enligt er dokumenterade instruktion. Underbiträden får anlitas bara med ert förhandstillstånd, särskilt eller generellt, och samma skyldigheter ska föras vidare i kedjan.

Checklistan följer ett införande från första idé till daglig drift. Den passar ihop med vår 30-dagarsplan för AI-automation i kontaktcenter och med dataskyddsfaktorerna i guiden om hur du väljer AI-plattform.

Ägarskapet för checklistan hör hemma i den styrning vi beskriver i arkitekturen och rollerna för ett AI-drivet customer engagement center.

Samtalsinspelning är vanligt i svenska kontaktcenter sedan länge. AI ändrar vad inspelningarna används till. När samtal transkriberas, sammanfattas och analyseras av AI kan det vara ett nytt ändamål jämfört med det ni informerade om när inspelningen började. Enligt ändamålsbegränsningen i art. 5 behöver ni då bedöma om det nya ändamålet är förenligt med det ursprungliga, eller om det krävs ny grund och ny information.

Skillnaden mellan röst-AI, AI-agenter och traditionell IVR går vi igenom i jämförelsen AI-agenter, chatbots och IVR i svensk kundservice.

Kunder skriver det de skriver. En fråga om en försenad leverans kan innehålla en upplysning om sjukdom. En reklamation kan nämna en diagnos, en fackförening eller en religiös högtid. Sådana uppgifter är känsliga enligt art. 9 och får bara behandlas om ett undantag gäller.

Ni kan inte hindra kunder från att skriva känsliga uppgifter. Ni kan däremot styra vad AI:n gör med dem:

Branscher med tystnadsplikt eller särskild sekretess, som bank, försäkring, vård och offentlig sektor, har regler utöver GDPR. De behöver vägas in redan i fas 1.

Bara om ni tillåter det, och i de flesta kundserviceprojekt bör ni avtala bort det. Här finns den största skillnaden mellan leverantörer, och den syns sällan i en demo. Frågan är om era kunders ärenden används för att träna eller förbättra AI-modeller, och i så fall vems.

Principen är enkel. Om leverantören använder er data för sina egna syften, till exempel för att förbättra sin modell åt alla kunder, agerar den inte längre bara på er instruktion. Den blir då i regel personuppgiftsansvarig för den behandlingen. Det kräver en egen rättslig grund, och ni behöver ha informerat era kunder om att deras uppgifter lämnas ut för ett sådant syfte. I de flesta kundserviceprojekt är det enklaste att avtala bort det helt.

Skilj på tre saker när ni frågar leverantören:

I vår egen plattform Supportifier stannar kunddata inom EU/EES och används inte för att träna AI-modeller. Kräv samma besked skriftligt av alla leverantörer ni utvärderar, oavsett vilken väg ni väljer i frågan om att bygga eller köpa AI-kundtjänst.

Hur regelefterlevnaden fungerar i en e-postinkorg med tre automationsnivåer beskriver vi i guiden om AI-kundtjänst för e-post.

En DPIA krävs enligt art. 35 när behandlingen sannolikt leder till hög risk för de registrerade, och användning av ny teknik är en av omständigheterna som förordningen pekar ut. För AI som läser kundärenden är det därför klokt att göra en. Om ni bedömer att den inte krävs ska ni dokumentera varför.

Ja, när kunden interagerar med ett AI-system och det inte är uppenbart ska kunden informeras enligt AI-förordningens art. 50. Dessutom kräver GDPR art. 13–14 att kunden får veta hur uppgifterna behandlas. Märk AI-chatt, röst-AI och automatiskt skickade svar tydligt.

Ett svar på en leveransfråga är normalt inte ett beslut med rättsliga eller liknande betydande följder. Ett automatiskt avslag på en reklamation, en ersättning eller en kredit kan däremot vara det. Lista de beslut AI:n aldrig ska fatta ensam och låt en människa äga dem.

Det kan vara tillåtet om överföringen har stöd i art. 44 ff., till exempel ett adekvansbeslut eller standardavtalsklausuler med kompletterande bedömning. Tänk på att även åtkomst från tredjeland, som support, kan räknas som överföring. Kräv en fullständig lista över underbiträden och var de behandlar data.

Förordningen tillämpas stegvis, och olika delar börjar gälla vid olika tidpunkter. Tidsplanen har också diskuterats efter att förordningen antogs. Stäm av vilka datum som gäller för era system med jurist innan ni planerar ert införande.

Som personuppgiftsansvarig har ni ansvaret gentemot kunden och tillsynsmyndigheten, även om felet uppstått hos leverantören. Avtalet med leverantören reglerar hur ansvaret fördelas mellan er. Därför ska stickproven i drift också granska dataskydd, inte bara ton och korrekthet.

Artikeln publicerades först på successifier.se.