Nowoczesne voiceboty i AI nagrywające rozmowy w firmowym call center to zaawansowane narzędzia, które jednocześnie prowadzą dialog, rejestrują dźwięk i analizują dane w czasie rzeczywistym. Tak zautomatyzowane procesy wiążą się jednak ze spełnieniem rygorystycznych obowiązków informacyjnych wynikających z RODO oraz europejskiego AI Act. Przeczytaj artykuł i dowiedz się, jak prawidłowo zaprojektować komunikaty oraz procedury obsługi klienta, aby zachować pełną transparentność i uniknąć dotkliwych kar finansowych.
Voiceboty i AI nagrywające rozmowy z klientami – jakie obowiązki informacyjne nakładają RODO i AI Act na firmowe call center?
Voicebot w firmowym call center może jednocześnie prowadzić rozmowę z klientem, nagrywać jej przebieg, zamieniać głos na tekst, analizować treść wypowiedzi, oceniać sposób prowadzenia rozmowy, wykrywać emocje, generować podsumowanie dla konsultanta i przekazywać dane do kolejnych systemów wykorzystywanych przez przedsiębiorcę, a każda z tych operacji może mieć znaczenie z punktu widzenia przepisów o ochronie danych osobowych i przejrzystości sztucznej inteligencji. Przeczytaj poniższy artykuł i dowiedz się, jak prawidłowo zaprojektować komunikat dla klienta, politykę informacyjną i procedury call center, aby połączyć wymagania RODO i AI Act.
Voicebot to nie tylko „nagrywanie rozmowy”
Wdrożenie voicebota w obsłudze klienta często zaczyna się od stosunkowo prostego założenia: klient dzwoni pod numer przedsiębiorcy, system odbiera połączenie, rozpoznaje wypowiadane słowa i udziela odpowiedzi. W praktyce współczesne rozwiązania wykorzystujące sztuczną inteligencję działają znacznie szerzej. Mogą transkrybować rozmowę w czasie rzeczywistym, rozpoznawać intencję rozmówcy, pobierać informacje z systemów przedsiębiorcy, dokonywać klasyfikacji spraw, generować odpowiedzi, przekazywać rozmowę konsultantowi albo samodzielnie kończyć kontakt.
Jeżeli rozmowa jest dodatkowo rejestrowana, przedsiębiorca ma do czynienia z kolejną operacją przetwarzania danych osobowych. Jeżeli nagranie jest następnie poddawane automatycznej analizie, zakres przetwarzania jeszcze się zwiększa. System może bowiem wykorzystywać nie tylko samą treść rozmowy, ale również informacje wynikające z głosu, sposobu wypowiedzi, tempa mówienia, pauz czy innych parametrów sygnału audio.
Z prawnego punktu widzenia nie można zatem traktować całego procesu jako jednego, niepodzielnego „nagrywania rozmowy”. Administrator powinien wiedzieć, jakie dane pozyskuje, w jakim celu je wykorzystuje, na jakiej podstawie prawnej opiera poszczególne operacje, komu dane są ujawniane, jak długo są przechowywane oraz czy dochodzi do przekazywania ich poza Europejski Obszar Gospodarczy.
Ma to szczególne znaczenie w sytuacji, w której dostawca technologii AI jest odrębnym podmiotem. Przedsiębiorca może korzystać z zewnętrznego dostawcy platformy voicebotowej, operatora chmurowego, dostawcy usługi transkrypcji, narzędzia do analizy jakości rozmów czy modelu generatywnego. Nie oznacza to jednak, że odpowiedzialność za prawidłową organizację procesu automatycznie przechodzi na dostawcę technologii.
RODO i AI Act w obsłudze klienta – czy wystarczy informacja, że rozmowa jest nagrywana?
Podstawowym punktem odniesienia pozostaje art. 13 RODO, jeżeli dane osobowe są pozyskiwane bezpośrednio od osoby, której dotyczą. Przepis wymaga przekazania między innymi informacji o administratorze, danych kontaktowych inspektora ochrony danych, jeżeli został wyznaczony, celach przetwarzania i podstawie prawnej, prawnie uzasadnionych interesach, jeżeli podstawą jest art. 6 ust. 1 lit. f RODO, odbiorcach lub kategoriach odbiorców, ewentualnym przekazywaniu danych do państw trzecich, okresie przechowywania oraz prawach osoby, której dane dotyczą.
W konsekwencji komunikat rozpoczynający rozmowę w rodzaju „Informujemy, że rozmowa jest nagrywana w celu poprawy jakości obsługi” może być użyteczny, ale co do zasady nie powinien być utożsamiany z pełną realizacją obowiązku informacyjnego z art. 13 RODO.
Jest to szczególnie istotne w przypadku call center, ponieważ rozmowa telefoniczna ma ograniczoną pojemność informacyjną. Próba odczytania przez voicebota całej klauzuli informacyjnej może być niepraktyczna, trudna do zrozumienia i sprzeczna z zasadą przejrzystości. Rozwiązaniem może być model warstwowy, w którym podczas rozmowy przekazywane są podstawowe informacje, natomiast pełna klauzula jest łatwo dostępna w innym kanale, na przykład na stronie internetowej przedsiębiorcy, w aplikacji lub poprzez komunikat SMS, o ile sposób jej udostępnienia rzeczywiście zapewnia dostęp osobie, której dane dotyczą.
Kluczowe jest przy tym odpowiednie zaprojektowanie samego komunikatu. Klient powinien wiedzieć nie tylko, że jego rozmowa jest nagrywana, lecz także dlaczego przedsiębiorca to robi i co dzieje się z nagraniem. Jeżeli nagranie jest wykorzystywane do kontroli jakości, cel ten powinien być wskazany. Jeżeli jest wykorzystywane również do szkolenia modeli AI, generowania transkrypcji, wykrywania nadużyć, dochodzenia roszczeń albo analizy zachowania klienta, przedsiębiorca powinien przeanalizować, czy są to cele objęte pierwotnym zakresem informacji i podstawą prawną, czy też wymagają odrębnego uregulowania.
„Rozmowa jest nagrywana” a „rozmowę prowadzi sztuczna inteligencja” to dwa różne komunikaty
W praktyce call center trzeba odróżnić dwa zagadnienia. Pierwszym jest informowanie o przetwarzaniu danych osobowych, w tym o nagrywaniu. Drugim jest poinformowanie rozmówcy, że bezpośrednio kontaktuje się z systemem AI. To drugie zagadnienie wynika z AI Act.
Zgodnie z art. 50 ust. 1 AI Act dostawcy systemów AI przeznaczonych do bezpośredniej interakcji z osobami fizycznymi mają zapewnić, aby systemy te były zaprojektowane i rozwijane w sposób pozwalający poinformować osobę, że wchodzi ona w interakcję z systemem AI, chyba że jest to oczywiste z perspektywy rozsądnie poinformowanej, uważnej i ostrożnej osoby, z uwzględnieniem okoliczności i kontekstu wykorzystania systemu.
W przypadku typowego voicebota call center trudno bezpiecznie zakładać, że klient będzie wiedział, iż rozmawia z AI. Jeżeli głos systemu przypomina naturalnego konsultanta, a rozmowa jest płynna, przedsiębiorca powinien przyjąć rozwiązanie zapewniające jasne poinformowanie klienta już na początku kontaktu. Komunikat powinien więc wyraźnie wskazywać, że rozmowę prowadzi system AI. Nie wystarczy samo stwierdzenie, że rozmowa „może być nagrywana”, ponieważ taki komunikat informuje o rejestrowaniu rozmowy, ale nie informuje o charakterze podmiotu, z którym rozmówca faktycznie się komunikuje.
Transkrypcja rozmowy tworzy kolejny wymiar przetwarzania
Voicebot często nie przechowuje wyłącznie pliku audio. Rozmowa może być niemal natychmiast przekształcana w tekst. Transkrypcja może następnie trafić do systemu CRM, narzędzia analitycznego lub modelu językowego. Z perspektywy RODO oznacza to, że przedsiębiorca powinien uwzględnić również transkrypcję w opisie operacji przetwarzania. Nie jest bowiem wystarczające wskazanie w klauzuli informacyjnej, że „rozmowy są nagrywane”, jeżeli w rzeczywistości przedsiębiorca wykorzystuje następnie ich treść w postaci tekstowej do innych celów.
Znaczenie ma również okres przechowywania. Nagranie audio i transkrypcja nie muszą być przechowywane przez identyczny okres. Jeżeli transkrypcja służy wyłącznie krótkotrwałemu przetworzeniu rozmowy, jej dalsze przechowywanie może wymagać dodatkowego uzasadnienia. Zasada minimalizacji danych przemawia za tym, aby przechowywać tylko te informacje, które są potrzebne do określonego celu, przez okres odpowiadający temu celowi.
Transfer danych do państw trzecich wymaga szczególnej uwagi
W przypadku usług AI problemem może być lokalizacja dostawcy lub infrastruktury. Przedsiębiorca może zawrzeć umowę z podmiotem mającym siedzibę w Europejskim Obszarze Gospodarczym, ale część infrastruktury wykorzystywanej przez tego dostawcę może znajdować się poza EOG. Podobnie może wyglądać sytuacja, gdy dostawca korzysta z dalszego podwykonawcy świadczącego usługę przetwarzania głosu lub tekstu.
Dlatego obowiązek informacyjny z art. 13 RODO powinien być powiązany z rzeczywistym przepływem danych. Jeżeli dochodzi do przekazania danych do państwa trzeciego, należy przeanalizować stosowanie rozdziału V RODO. W zależności od państwa i zastosowanego mechanizmu może być konieczne wykorzystanie decyzji stwierdzającej odpowiedni stopień ochrony albo odpowiednich zabezpieczeń przewidzianych w RODO. Nie można ograniczyć analizy do pytania, gdzie znajduje się siedziba dostawcy. Decydujące znaczenie ma rzeczywisty przepływ danych.
Pełna klauzula informacyjna powinna odpowiadać rzeczywistemu działaniu systemu
Jednym z praktycznych testów zgodności jest porównanie dokumentacji prawnej z konfiguracją techniczną voicebota. Jeżeli w klauzuli informacyjnej przedsiębiorca wskazuje wyłącznie nagrywanie rozmów w celach obsługi klienta, a w rzeczywistości system automatycznie transkrybuje rozmowę, tworzy profil ryzyka, wykrywa emocje, generuje ocenę konsultanta i przekazuje dane do zewnętrznego modelu AI, dokumentacja nie odzwierciedla rzeczywistego procesu.
Taka rozbieżność jest szczególnie niebezpieczna, ponieważ naruszenie może mieć charakter nie tylko formalny. Brak przejrzystości wpływa również na możliwość korzystania przez osobę z praw przewidzianych w RODO. Dlatego klauzula informacyjna powinna być projektowana dopiero po przeprowadzeniu mapowania danych.
W praktyce warto prześledzić pełną ścieżkę rozmowy: od momentu wybrania numeru, poprzez odebranie połączenia przez voicebota, rozpoznanie mowy, transkrypcję, analizę treści, ewentualną analizę emocji, zapis w CRM, przekazanie rozmowy konsultantowi, wygenerowanie podsumowania, aż do usunięcia danych. Dopiero taka analiza pozwala ustalić, jakie informacje rzeczywiście należy przekazać klientowi.
Sam komunikat o nagrywaniu nie wystarczy. Największym ryzykiem w praktyce jest traktowanie komunikatu „rozmowa jest nagrywana” jako kompletnego spełnienia obowiązków informacyjnych. RODO wymaga szerszego zakresu informacji, a AI Act w przypadku systemów bezpośrednio komunikujących się z człowiekiem wymaga poinformowania o interakcji z AI najpóźniej przy pierwszej interakcji. Jeżeli voicebot dodatkowo wykorzystuje rozpoznawanie emocji lub kategoryzację biometryczną, pojawia się kolejny, szczególny obowiązek informacyjny wynikający z art. 50 ust. 3 AI Act. Przedsiębiorca powinien więc sprawdzić nie tylko treść komunikatu głosowego, lecz cały model przetwarzania danych oraz rzeczywiste funkcje systemu.
Jak skutecznie połączyć komunikację RODO z wymogami AI Act w call center?
Najbardziej praktycznym rozwiązaniem jest zaprojektowanie komunikatu w kilku warstwach. Pierwsza warstwa, przekazywana głosowo na początku połączenia, powinna informować o charakterze interakcji – czyli o tym, że rozmowę prowadzi system AI – oraz o nagrywaniu i głównym celu przetwarzania. Druga warstwa powinna wskazywać, gdzie dostępna jest pełna klauzula informacyjna, na przykład na stronie internetowej lub w wiadomości SMS. Trzecia warstwa to sama klauzula, obejmująca wszystkie elementy z art. 13 RODO, w tym informację o transkrypcji, analizie treści rozmowy i ewentualnym przekazywaniu danych poza EOG. Jeżeli system rozpoznaje emocje rozmówcy, informacja o tej funkcji powinna znaleźć się już w pierwszej warstwie, zgodnie z art. 50 ust. 3 AI Act.
Przykład 1
Klient dzwoni do banku, a połączenie odbiera voicebot, który brzmi jak naturalny konsultant i od razu rozpoczyna rozmowę bez wskazania, że jest systemem AI. Rozmowa jest nagrywana, automatycznie transkrybowana, a dodatkowy moduł analizuje sposób wypowiedzi klienta w celu określenia jego poziomu zdenerwowania. Bank informuje w swojej polityce prywatności, że „rozmowy z klientami mogą być nagrywane w celu poprawy jakości usług”, ale podczas połączenia nie przekazuje klientowi żadnej informacji o zastosowaniu AI ani o analizie emocji. W takim modelu przedsiębiorca powinien ponownie przeanalizować zarówno realizację obowiązku informacyjnego z art. 13 RODO, jak i obowiązki przejrzystości wynikające z art. 50 AI Act, w szczególności dlatego, że klient nie został poinformowany o bezpośredniej interakcji z AI ani o działaniu systemu rozpoznawania emocji. Samo umieszczenie ogólnej informacji na stronie internetowej nie powinno być traktowane jako wystarczające rozwiązanie dla obowiązków, które mają być realizowane wobec osoby uczestniczącej w konkretnej rozmowie.
W praktyce przedsiębiorca powinien zatem przygotować jeden spójny proces informacyjny, który uwzględnia zarówno wymagania RODO dotyczące przetwarzania danych osobowych, jak i szczególne obowiązki przejrzystości wynikające z AI Act. Komunikat przekazywany klientowi powinien odpowiadać rzeczywistym funkcjom voicebota, a nie ograniczać się do ogólnej informacji o nagrywaniu rozmowy.
