Alle som ringte IDA Forsikring, et dansk forsikringsselskap, fikk høre at samtalen ble tatt opp for å forbedre medlemsservicen og til dokumentasjon. Deretter ble de bedt om å trykke 1 for å godta, eller vente.
Det ene tastetrykket dekket to formål. I juni 2024 tok det danske Datatilsynet stilling til ordningen (journalnummer 2023-431-0018). Tilsynet regnet KI-analysen som en del av kvalitetssikringen. Samtykket var derimot ugyldig, fordi den som ringte, ikke kunne si ja til det ene formålet og nei til det andre.
Dette gjorde IDA
En databehandler transkriberte innkommende samtaler med talegjenkjenning den hadde utviklet selv. Analysen sjekket hver samtale mot en servicestandard: en velkomst, positive formuleringer og en høflig avslutning. Den ga en veiledende kvalitetsscore ut fra om standarden ble fulgt. IDA opplyste at samtalene ikke ble brukt til å trene talegjenkjenningen.
Vurderer du KI-scoring av samtaler, er dette ganske nær det du ser på.
Analysen hørte inn under kvalitetsformålet
IDA oppga formålet som «at forbedre IDA Forsikrings medlemsservice, kvalitetssikring». Tilsynet mente analysen ikke skulle regnes som et eget formål. Den var en del av kvalitetsformålet.
Å legge KI-analyse på samtaler som ble tatt opp for kvalitetssikring, skapte dermed ikke et nytt formål. Det holder bare fordi kvalitetssikring var nevnt fra starten. Hva som gjelder når opptak brukes til noe innringerne aldri fikk høre om, svarer ikke vedtaket på.
IDA forklarte tilsynet at systemet ikke analyserer tonefall, kjønn eller dialekt. Tilsynet påpekte at et system som ikke fanger opp tonefall, som sarkasme og ironi, først og fremst vil gi falske positiver. Der slike mangler kan skade noen, må det settes inn tiltak mot den risikoen.
Samtykket holdt ikke
Tastetrykket dekket to formål: dokumentasjon av samtalen og kvalitetssikring. Tilsynet mente samtykket ikke var granulært nok til å være gyldig: «Samtykket er derfor ikke gyldigt, og kan derfor ikke udgøre grundlag for behandling» (samtykket er derfor ikke gyldig, og kan derfor ikke være grunnlag for behandlingen).
Tilsynet ga ingen kritikk. Det opplyste at det ikke tidligere hadde tatt stilling til hvordan samtykke skal innhentes over telefon når flere formål er involvert. IDA ble bedt om å rette opp prosessen: enten finne et annet behandlingsgrunnlag, eller utforme samtykket på nytt, for eksempel med to tastetrykk.
De to partene i samtalen hadde ulike grunnlag. For innringerne bygde IDA på samtykke etter personvernforordningen artikkel 6 nr. 1 bokstav a. For egne ansatte bygde selskapet på berettiget interesse etter artikkel 6 nr. 1 bokstav f. Tilsynet så ingen grunn til å overprøve den vurderingen.
Tilsynet vurderte ikke at samtalene ble lagret i opptil fem år, og heller ikke hvordan man trekker samtykket tilbake, som var å ringe igjen og be om at samtalen ble slettet. Ikke les noen godkjenning inn i noen av delene.
Dette gjelder i Norge
Et dansk vedtak binder ikke norske eller svenske virksomheter. Det norske Datatilsynet, et eget tilsyn, skriver at det ikke finnes egne regler for lydopptak. De alminnelige personvernreglene gjelder, og det er forbudt å ta opp andres samtaler i hemmelighet, etter straffeloven § 205.
Personvernforordningen gjelder også i Norge og Sverige, så den samme logikken holder. Angi hvert formål, velg behandlingsgrunnlag for hvert av dem, og der samtykke er grunnlaget, be om det én gang per formål.
Sjekkliste før du scorer samtaler med KI
- Skriv opp hvert formål opptaket brukes til: dokumentasjon, kvalitetssikring, coaching, statistikk. Skriv ned om KI-scoringen hører inn under kvalitetssikring, og hvorfor.
- Velg behandlingsgrunnlag per formål og per gruppe. IDA brukte samtykke for innringerne og berettiget interesse for de ansatte. Datatilsynet pekte på andre grunnlag i tillegg til et bedre samtykke.
- Bygger du på samtykke, be om det én gang per formål. Den som ringer, må kunne si ja til dokumentasjon og nei til kvalitetssikring.
- Beskriv hva systemet analyserer i én setning en innringer forstår, og si hva det lar være.
- Planlegg for feil scorer. Bestem hvem som kontrollerer en score, hvilket underlag de ser, og hvordan en agent kan bestride den.
- Sett en lagringstid for hvert formål, og skriv ned hvordan sletting foregår.
- Test tilbaketrekking før dere går live. Ring inn, be om å bli slettet, og sjekk at både opptaket og transkripsjonen er borte.
Spill så av deres egen velkomstmelding og tell formålene. Nevner den to eller flere og ber om ett tastetrykk, har den det samme problemet som det danske Datatilsynet fant.
Der Conversational Intelligence passer inn
Conversational Intelligence scorer transkripsjonen. Språkmodellene ser tekst, aldri lyd, og ingenting brukes til trening. Kriterier for tone og empati i et scorekort vurderes ut fra det som ble sagt. Hver score lenker til setningen, tidsstempelet og den som snakket, så en kontrollør kan sjekke underlaget. En agent som er uenig, bestrider scoren, og en person går gjennom den.
Ordlyden i samtykket og formålene det dekker, bestemmer dere selv. Vi hjelper dere med å sjekke dem mot deres egne regler.
