Demoen gikk bra. Kundeservicesjefen i et forsikringsselskap så en uke med samtaler fra sitt eget team komme tilbake scoret, hver eneste en, med linjen i transkripsjonen bak hver score. Fredag sendte hun tilbudet videre til compliance.
Mandag kom det tilbake med fem spørsmål.
Det var de riktige spørsmålene. De fleste banker og forsikringsselskaper stiller en variant av dem, og de som spør før piloten i stedet for etter, kjøper raskere, fordi ingenting overrasker dem i anskaffelsen. Her er de fem, hva regelverket faktisk sier, og svaret en leverandør bør kunne gi skriftlig.
KI-scoring av samtaler i en bank eller et forsikringsselskap berører fire regelverk: personvernforordningen, DORA, KI-forordningen og retningslinjene for klagebehandling. Hvert av dem krever noe konkret. Ha oversikt over hvor hver samtale går. Før avtalen inn i DORA-registeret. Regn med at KI som scorer medarbeiderne, er høyrisiko fra desember 2027. Og bruk scorene til å finne årsakene bak klagene, slik retningslinjene allerede ber dere om.
1. Hvor går samtalene med kundene våre?
Start med dataene, for alle de andre svarene avhenger av dem. Et opptak inneholder personopplysninger om både kunden og medarbeideren, ofte ting ingen av dem ville skrevet ned. Dere er fortsatt behandlingsansvarlig, og artikkel 28 i personvernforordningen lar dere bare bruke databehandlere som gir «tilstrekkelige garantier».
I praksis betyr det en liste: hvert selskap som behandler samtalene, hva det ser, og i hvilket land. Be om den før demoen. Still så de to oppfølgingsspørsmålene leverandører ofte svarer vagt på. Skjer noe av behandlingen utenfor EU? Og hører språkmodellen lyden, eller leser den bare en transkripsjon?
Svarene våre står på sikkerhetssiden vår. Vi transkriberer opptak på talemodeller vi drifter selv, og lagrer alt i Stockholm. Fjerning av personopplysninger og scoring gjøres av en språkmodell som leser transkripsjonen, aldri lyden. Som standard kjører den modellen på en global AWS-profil, så tekst fra transkripsjonen kan behandles utenfor EU før personopplysningene er fjernet. For virksomheter som trenger hvert steg i EU, kjører vi begge deler på en modell som er låst til EU-regionene til AWS i stedet.
2. Er dette en IKT-tjeneste etter DORA?
Nesten helt sikkert. DORA definerer IKT-tjenester som digitale tjenester og datatjenester som leveres løpende, og et driftet verktøy som lagrer og analyserer samtalene deres, er en slik tjeneste. DORA har gjeldt i EU siden 17. januar 2025, og i Norge siden 1. juli 2025.
Det får to følger for anskaffelsen:
- Registeret. Artikkel 28 nr. 3 krever at dere fører et informasjonsregister over alle avtaler om IKT-tjenester, og rapporterer til Finanstilsynet minst én gang i året. Scoringsverktøyet hører hjemme der.
- Avtalen. Artikkel 30 nr. 2 setter minstekravene: en fullstendig beskrivelse av tjenesten, hvor den leveres og hvor dataene behandles, tjenestenivåer, om underleveranser er tillatt, og retten deres til å si opp.
Støtter tjenesten en kritisk eller viktig funksjon, krever artikkel 30 nr. 3 mer, blant annet presise ytelsesmål. For de fleste vil kvalitetssikring ikke være det. Men den vurderingen er deres, ikke leverandørens, og den avgjør hvilken avtale dere trenger. Gjør den før noen skriver et utkast.
3. Er KI som scorer medarbeiderne våre, høyrisiko?
Trolig. Vedlegg III til KI-forordningen regner KI-systemer som skal overvåke og vurdere hvordan personer presterer og oppfører seg i et arbeidsforhold, som høyrisiko. Programvare som scorer hvordan hver medarbeider håndterer hver samtale, er vanskelig å beskrive på noen annen måte.
Pliktene skulle gjelde fra 2. august 2026. Den digitale omnibusen om KI, forordning (EU) 2026/1744, flyttet dem til 2. desember 2027. Det meste av arbeidet faller på dere, som arbeidsgiver og bruker av systemet:
- Menneskelig kontroll. Folk med kompetanse og myndighet må kunne kontrollere scorene og korrigere dem. En score ingen kan spore tilbake til samtalen, kan ikke kontrolleres.
- Informasjon til de ansatte. Før dere tar i bruk et høyrisikosystem på arbeidsplassen, krever artikkel 26 nr. 7 at dere informerer de berørte og de tillitsvalgte. Arbeidsmiljøloven § 9-2 krever allerede at dere drøfter kontrolltiltak med de tillitsvalgte så tidlig som mulig.
- Logger og oppfølging. Dere tar vare på loggene fra systemet i minst seks måneder (artikkel 26 nr. 6), og følger med på hvordan det fungerer i bruk.
Én regel er ikke utsatt i det hele tatt. Siden 2. februar 2025 har artikkel 5 forbudt KI som tolker følelsene til folk på jobb, med smale unntak for medisinske formål og sikkerhet. Forordningen definerer følelsesgjenkjenning ut fra biometriske data, som stemmen. Spør derfor hver leverandør hvordan de vurderer «tone» eller «empati»: ut fra hva medarbeideren sa, eller hvordan de hørtes ut? Å score en transkripsjon mot kriterier som «bekreftet kundens problem før agenten foreslo en løsning» er en vurdering av ord. Å lese følelser ut av stemmen til folk på jobb er forbudt.
KI-forordningen er ikke norsk lov ennå. Planlegg likevel etter EU-datoene.
4. Hjelper det oss med klagene?
Finanstilsynets rundskriv 4/2019 om klagebehandling krever mer enn et klageregister. Foretakene skal analysere klageinformasjonen løpende for å se om den viser «systematiske eller grunnleggande problem». Det samme står i de europeiske retningslinjene fra ESMA og EBA og fra EIOPA for forsikring, som rundskrivet bygger på.
Klager er et dårlig sted å lete etter årsaker. De kommer uker etter samtalen som skapte dem, bare fra kundene som gadd å klage, og de beskriver symptomet. Da det svenske finanstilsynet gikk gjennom klagebehandlingen hos forsikringsselskaper, fant det at de fleste ikke analyserte klagedataene sine løpende.
Når hver samtale scores, kommer analysen tidligere. Gjør de vanligste klageårsakene om til kriterier, som «forklarte egenandelen før kunden takket ja» eller «bekreftet oppsigelsesvilkårene», så ser dere hvor ofte de glipper i samtalene som aldri ble til klager. Når en klage kommer, finner dere samtalen, øyeblikket og alle andre samtaler med samme glipp. Det er årsaksanalyse med bevis.
5. Kan dere vise oss hvorfor én samtale fikk scoren sin?
Be leverandøren åpne en scoret samtale og vise linjen i transkripsjonen bak hver score. Spør så hva som skjer når en medarbeider er uenig.
De fire første spørsmålene ender alle her. Menneskelig kontroll etter KI-forordningen avhenger av det. Internrevisjonen kommer til å teste det. Medarbeiderne godtar bare scorer de kan se og utfordre. Og når Finanstilsynet spør hvordan en klage ble håndtert, er «modellen ga den en 2» ikke et svar. Samtalen, øyeblikket og kriteriet er det.
I Future Ready kommer hver score med sitatene fra samtalen som ga den. Medarbeidere kan sende en innsigelse på enhver score. En leder avgjør den, avgjørelsen logges ved siden av scoren, og den teller med i hvor ofte KI-en er enig med folkene deres, så dere ser hvor den ikke er det.
Sjekkliste før dere signerer
- Få listen over underdatabehandlere, med hva hvert selskap ser og hvor det kjører.
- Avgjør om hvert steg må skje i EU, og skriv svaret inn i avtalen.
- Før tjenesten inn i DORA-registeret, og sjekk avtalen mot artikkel 30 nr. 2.
- Vurder systemet mot vedlegg III nå, og drøft det med de tillitsvalgte tidlig.
- Spør hvordan leverandøren vurderer tone: ut fra ord, eller ut fra stemme.
- Sett de vanligste klageårsakene inn i vurderingsskjemaet.
- Åpne tre scorede samtaler og sjekk bevisene bak hver score.
Besvart skriftlig er de fem spørsmålene mesteparten av det anskaffelsen kommer til å be om.
Send oss spørsmålene fra compliance. Vi svarer skriftlig, med listen over underdatabehandlere og ISO 27001- og 27701-sertifikatene våre, før en eneste samtale blir scoret.
