AI בטלפון: מה AI Act ו-GDPR דורשים מכם

שני דברי חקיקה, ורק שניים

כש-AI עונה לשיחות שלכם, חלים שני דברי חקיקה אירופיים, והם משלימים זה את זה בלי לחפוף.

הרגולציה על בינה מלאכותית, המכונה AI Act, רגולציה (EU) 2024/1689, עוסקת במערכת ה-AI עצמה: מה מותר לה לעשות, ומה אנשים צריכים לדעת כשהם נתקלים בה. היא נכנסה לתוקף ב-1 באוגוסט 2024 וחלה בהדרגה. הפרקטיקות האסורות אסורות מאז 2 בפברואר 2025. חובות השקיפות, אלה שנוגעות לכם, חלות החל מ-2 באוגוסט 2026.

GDPR עוסק בנתונים: השם, המספר, סיבת השיחה, הקלטת הקול אם יש כזו. הוא חל מאז 2018, על כולם, עם AI או בלי. הוא לא משתנה כי המזכירה היא תוכנה; הוא פשוט חל על עוד עיבוד נתונים אחד.

אף אחד מדברי החקיקה האלה לא אוסר על עסק קטן להפקיד את הטלפון שלו בידי AI. הם קובעים תנאים, והתנאים סבירים.

AI Act: לומר שזה AI

חובת השקיפות

סעיף 50 של הרגולציה דורש שמערכות AI שנועדו לתקשר ישירות עם בני אדם יתוכננו כך שהאנשים האלה יידעו שהם מתקשרים עם AI, אלא אם זה ברור לאדם קשוב באופן סביר בהתחשב בנסיבות. בטלפון, שום דבר לא ברור: קול סינתטי של היום יכול להישמע כמו קול אנושי. לכן הסוכן חייב לומר זאת, בבירור, בתחילת השיחה.

החובה הזאת מוטלת קודם כול על ספק המערכת, שצריך לתכנן אותה כך. היא נוגעת גם לכם, כמשתמשים: בחרו סוכן שמציג את עצמו כ-AI, ולעולם אל תגדירו אותו כך שיתחזה לאדם. משפט אחד מספיק, למשל: ״משרד Martin, שלום, אני העוזרת הקולית של המשרד, אני יכולה לקבוע לכם פגישה או לרשום הודעה.״

מה אסור

סעיף 5 אוסר פרקטיקות מסוימות, ובהן מניפולציה בטכניקות תת־הכרתיות או מטעות, וניצול חולשות שקשורות לגיל או למוגבלות כדי לעוות התנהגות. לסוכן מזכירות, הכלל המעשי פשוט: הסוכן מיידע, מציע, קובע פגישה; הוא לא לוחץ, לא מתעקש, ולא משחק על פחד או דחיפות כדי להשיג משהו. הטון שאתם נותנים לו חשוב.

סיכון גבוה או לא?

הרגולציה שומרת את החובות הכבדות ביותר למערכות ״בסיכון גבוה״, שמפורטות בנספחים שלה: גיוס עובדים, מתן אשראי, חינוך, ניהול תשתיות קריטיות, משפט, הגירה, ועוד. סוכן שקובע פגישות ורושם הודעות לבעל מקצוע, למרפאה או לחנות לא נמצא ברשימה. לכן אתם לא צריכים לתכנן הערכת התאמה או רישום במאגר אירופי. שימו לב אם אתם מפקידים בידיו משהו אחר, למשל מיון ראשוני של מועמדים בטלפון: שם כבר עוברים לקטגוריה אחרת.

GDPR: הנתונים שלכם, החובות שלכם

מי זה מי

אתם, העסק שהטלפון שלו מצלצל, בקר הנתונים (controller): אתם מחליטים למה ואיך השיחות מטופלות. ספק הסוכן הקולי הוא מעבד הנתונים (processor) שלכם: הוא מעבד את הנתונים בשמכם, לפי ההוראות שלכם. לחלוקה הזאת יש שתי השלכות: אתם צריכים להיות מסוגלים להצדיק כל עיבוד, ואתם צריכים חוזה עם הספק שמחייב אותו, כפי שקובע סעיף 28 של GDPR. החוזה הזה, שנקרא לרוב הסכם עיבוד נתונים, צריך להיות קיים לפני השיחה הראשונה. בקשו אותו, קראו אותו, שמרו אותו.

הבסיס החוקי

לענות לשיחה, לרשום פרטי קשר, לקבוע פגישה: העיבודים האלה מבוססים על ביצוע החוזה עם הלקוח, או על האינטרס הלגיטימי שלכם לנהל את העסק. אתם לא צריכים לבקש את הסכמת המתקשר כדי לענות לו. הסכמה נדרשת שוב לשימושים שחורגים מהבקשה: למשל, שליחת הצעות שיווקיות.

יידוע המתקשרים

זו החובה הבולטת ביותר. אנשים צריכים לדעת מי מעבד את הנתונים שלהם, למה, על איזה בסיס, מי מקבל אותם, כמה זמן הם נשמרים, ומהן הזכויות שלהם. בטלפון, ה-CNIL, הרשות הצרפתית להגנת מידע, מקבלת יידוע בשני שלבים: אזכור קצר במהלך השיחה, והפירוט באמצעי נגיש, למשל באתר שלכם. בפועל:

• הסוכן מציין בתחילת השיחה שהוא AI, ואם זה המצב, שהשיחה מוקלטת או מתומללת;
• דף באתר שלכם מתאר את העיבוד: מטרה, ספק, מקום האחסון, משך השמירה, זכויות ופרטי קשר;
• המשיבון שלכם, בקווים שעדיין יש בהם משיבון, מפנה לדף הזה.

משך השמירה

לא שומרים נתונים ״ליתר ביטחון״. קבעו משך שמירה לכל סוג נתונים: הסיכום של שיחה, הפגישה ביומן, הקלטת האודיו אם יש כזו. המשך הנכון הוא זה שמשרת את המטרה: לטפל בבקשה, לקיים את הפגישה, לטפל בתלונה. ה-CNIL, הרשות הצרפתית להגנת מידע, מפרסמת קווים מנחים לגבי משכי שמירה, ורשומת פעילויות העיבוד שלכם צריכה לציין את המשך שבחרתם. הספק שלכם צריך ליישם אותו, או לאפשר לכם ליישם אותו.

הקלטת השיחות

לתמלל שיחה כדי להפיק ממנה סיכום ולשמור את האודיו הם שני דברים שונים. הקלטת אודיו אינה הכרחית כדי שסוכן יעבוד. אם אתם מקליטים, למשל כדי לבדוק את איכות התשובות בהתחלה, ה-CNIL, הרשות הצרפתית להגנת מידע, מחייבת ליידע את האנשים, לאפשר להם להתנגד, להגביל את משך השמירה ולהגביל את הגישה להקלטות. אם אתם לא צריכים הקלטה, כבו אותה: זו ההגדרה שהכי קל להצדיק.

זכויות האנשים

מתקשר יכול לבקש לדעת מה אתם מחזיקים עליו, לבקש לתקן או למחוק את המידע, להתנגד לעיבודים מסוימים. תכננו איך תענו: איפה נמצאים הסיכומים, מי יכול למחוק אותם, ותוך כמה זמן. חודש הוא פרק הזמן המקובל למתן תשובה.

אבטחה ואחסון

אתם צריכים להגן על הנתונים, ולבחור מעבד שמגן עליהם. שאלו איפה הם מאוחסנים, אצל מי, ואיך הם מוצפנים. אחסון בצרפת או באיחוד האירופי חוסך את השאלות של העברה אל מחוץ לאיחוד, שאחרת דורשות ערבויות מיוחדות. אם מעבדי משנה של הספק שלכם, למשל ספק של מודל שפה, נמצאים מחוץ לאיחוד, החוזה צריך לציין זאת ולהסדיר את זה.

המקרה המיוחד של נתוני בריאות

מרפאה, מרפאת שיניים, קליניקה לפיזיותרפיה או לקלינאות תקשורת מכניסה, כבר בקביעת התור, מידע שנוגע לבריאות: סיבת הביקור, לפעמים שם של רופא מומחה. הנתונים האלה ״רגישים״ לפי GDPR, ובצרפת, האחסון שלהם עבור איש מקצוע בתחום הבריאות שמור לספקי אחסון בעלי הסמכת HDS. לפני כל קריטריון אחר, ודאו שהספק שלכם מאחסן אצל ספק אחסון כזה, ובקשו ממנו לכתוב זאת בחוזה.

שלושה כללים של היגיון בריא משלימים את ההסמכה:

• הסוכן קובע את התור ומוסר מידע מעשי, אף פעם לא חוות דעת רפואית;
• הוא לא מאשר לצד שלישי שאדם מסוים מטופל במרפאה, וגם לא את סיבת הביקור;
• למטפל נשארת המילה האחרונה לגבי מה שנרשם ומועבר.

המדריך ״מזכירה רפואית או AI״ מפרט איך לארגן מרפאה עם סוכן קולי, והמדריך המלא למזכירה וירטואלית מבוססת AI ממקם את כל זה בתהליך ההטמעה.

סודיות מקצועית

עורכי דין, נוטריונים, רואי חשבון, אנשי מקצוע בתחום הבריאות: הסודיות המקצועית לא נעצרת במענה הטלפוני. צריך להגדיר את הסוכן כך שלעולם לא יאשר את קיומו של תיק, לקוח או פגישה למישהו אחר מלבד האדם הנוגע בדבר, ושירשום הודעה במקום לענות כשיש לו ספק. ההגדרה הזאת נעשית בכרטיס הפעילות, ובודקים אותה: התקשרו והתחזו לצד שלישי, ובדקו מה הסוכן עונה.

רשימת הבדיקה, בעשר נקודות

1. הסוכן מציג את עצמו כ-AI בתחילת כל שיחה.
2. הוא אף פעם לא מוגדר להתחזות לאדם.
3. באתר שלכם יש דף מידע על הטיפול בשיחות, עם שם הספק.
4. חוזה עיבוד נתונים לפי סעיף 28 נחתם עם הספק.
5. אתם יודעים איפה הנתונים מאוחסנים, ואצל מי.
6. משכי השמירה נקבעו, נכתבו ומיושמים.
7. הקלטת האודיו כבויה, או מוסדרת אם היא מופעלת.
8. העיבוד מופיע ברשומת פעילויות העיבוד שלכם.
9. אתם יודעים איך לענות לבקשת עיון או מחיקה.
10. לבריאות: אחסון בעל הסמכת HDS, בלי חוות דעת רפואית, בלי אישור לצד שלישי.

מה Sayelo עושה

תכננו את הסוכן כך שהכללים האלה יכובדו כברירת מחדל: ה-AI מוצהר בתחילת כל שיחה, הנתונים מאוחסנים בצרפת אצל ספק אחסון בעל הסמכת HDS, והסכם עיבוד נתונים ניתן לכל לקוח. המספרים ושירותי הטלפוניה מסופקים על ידי מפעיל שותף הרשום ב-ARCEP (הרגולטור הצרפתי לתקשורת). ההגדרות של הסודיות, משכי השמירה וההקלטה נשארות בידיים שלכם, כי זה העיבוד שלכם. דף האבטחה וה-GDPR מתאר את הפרטים, והמדריך הטכני מסביר דרך מה עוברים הנתונים במהלך שיחה.