AI Voice Agent și GDPR în Grecia

Ce trebuie să verifice o companie înainte de a folosi un AI Voice Agent în Grecia, de la informarea apelantului și înregistrare până la DPA și securitate.

6 sept. 20266 minute lectura

De Η ομάδα της Argonstack, TechIns Group

Un AI Voice Agent poate răspunde la apeluri, poate înregistra cereri, poate programa întâlniri și poate actualiza CRM-ul. Utilizarea sa implică însă prelucrarea de date cu caracter personal. Vocea, numărul de telefon, numele, conținutul conversației, transcrierea și acțiunile din CRM pot fi asociate cu o anumită persoană fizică.

Conformitatea nu se obține printr-o mențiune generală „conform GDPR”. Este necesar să fie stabilite scopul, temeiul juridic, datele, perioada de păstrare, destinatarii, drepturile apelanților și măsurile de securitate. Cadrul exact depinde de sector și de modul de utilizare. Acest articol este un ghid practic și nu o opinie juridică.

Rolul companiei și al furnizorului

De obicei, compania care decide de ce și cum este folosit Voice Agent-ul este operatorul de date. Furnizorul tehnologic care prelucrează date în numele companiei acționează ca persoană împuternicită de operator, atâta timp cât nu folosește datele în scopuri proprii independente.

Relația trebuie consemnată într-un Acord de Prelucrare a Datelor. DPA-ul trebuie să acopere categoriile de date, instrucțiunile de prelucrare, confidențialitatea, securitatea, subîmputerniciții, cererile privind drepturile, incidentele de încălcare a securității și ștergerea sau returnarea datelor.

Informarea că apelantul vorbește cu o AI

Din 2 august 2026 se aplică obligațiile de transparență prevăzute la articolul 50 din Regulamentul european AI Act. Atunci când un sistem de AI interacționează direct cu o persoană fizică, aceasta trebuie informată încă de la începutul primei interacțiuni, cu excepția cazului în care este evident că vorbește cu o AI.

Practica sigură este un mesaj introductiv scurt și clar. De exemplu: „Vorbiți cu asistentul digital al companiei. Pot să înregistrez cererea dumneavoastră sau să vă conectez cu un reprezentant.” Dacă apelul este înregistrat sau transformat în text, acest lucru trebuie explicat separat, în modul cerut de cadrul legal aplicabil.

Înregistrarea apelului și crearea transcrierii

Înregistrarea întregii conversații nu este același lucru cu prelucrarea tehnică temporară a sunetului pentru a genera un răspuns. Dacă se stochează o înregistrare audio sau o transcriere, compania trebuie să poată explica de ce este necesar, care este temeiul juridic și pentru cât timp este păstrată.

Autoritatea Elenă de Protecție a Datelor subliniază că înregistrarea convorbirilor telefonice este permisă în condiții specifice ale dreptului elen. Nu trebuie considerat un fapt de la sine înțeles că fiecare apel poate fi stocat doar pentru că Voice Agent-ul dispune de această funcționalitate.

Principiul reducerii la minimum a datelor impune ca doar datele necesare să fie păstrate. Dacă pentru continuarea serviciului este suficient un rezumat structurat scurt și rezultatul apelului, stocarea permanentă a înregistrării complete poate să nu fie necesară. Vedeți de asemenea politica de confidențialitate a Argonstack.

Temei juridic și scop

Temeiul juridic nu este întotdeauna consimțământul. Poate, în funcție de caz, să fie legat de executarea unui contract, măsuri precontractuale, obligație legală sau interes legitim. Consimțământul trebuie să fie liber, specific, informat și revocabil. Nu trebuie ales mecanic atunci când relația reală nu permite o alegere liberă.

Fiecare scop necesită propria evaluare. Servirea unui apel primit, rezervarea unei întâlniri, evaluarea calității, antrenarea unui model și promovarea comercială nu reprezintă același scop.

Date pe care agentul nu trebuie să le solicite

Agentul trebuie să se limiteze la câmpurile necesare. Nu trebuie să solicite date sensibile doar pentru că le poate stoca din punct de vedere tehnic. În sănătate, asigurări, servicii financiare și alte sectoare reglementate este necesară o proiectare mai strictă, supraveghere umană și, posibil, o Evaluare de Impact asupra Protecției Datelor.

EDPB menționează că DPIA este obligatorie atunci când prelucrarea este susceptibilă să genereze un risc ridicat pentru persoane. Evaluarea trebuie efectuată înainte de utilizarea în producție și actualizată atunci când sistemul se modifică substanțial.

Securitate, subîmputerniciți și transferuri de date

Compania trebuie să știe unde sunt găzduite datele, ce furnizori sunt implicați, dacă există transferuri în afara Spațiului Economic European și cine are acces la înregistrări și transcrieri. Sunt necesare drepturi pe roluri, jurnalizarea acțiunilor, criptare, politică de păstrare și procedură de gestionare a incidentelor.

Existența unui server european nu este suficientă prin ea însăși. Trebuie examinate entitatea juridică a furnizorului, subîmputerniciții, căile de acces pentru suport și fluxurile reale de date.

Intervenție umană și decizii cu risc ridicat

Voice Agent-ul nu trebuie să ia, fără control, decizii cu efecte juridice sau similar de semnificative pentru o persoană. În cererile cu consecințe economice, medicale, de asigurare sau juridice, trebuie să existe o cale clară către o persoană și o înregistrare a celui care aprobă acțiunea finală.

Proiectarea trebuie de asemenea să prevadă ce se întâmplă atunci când sistemul nu înțelege, atunci când apelantul cere o persoană sau atunci când este identificat un incident urgent.

Checklist înainte de go live

Înainte de activare trebuie definite scopul și temeiul juridic, mesajul introductiv, politica de înregistrare, perioada de păstrare, DPA-ul, subîmputerniciții, drepturile de acces, procedura de ștergere, transferul către o persoană și scenariile de eșec. În cazurile cu risc crescut trebuie finalizate DPIA și o verificare juridică.

SIA AI de la Argonstack poate funcționa pentru apeluri primite, acoperire în afara programului, colectarea cererilor, întâlniri și actualizarea CRM-ului. Fluxul final trebuie configurat în funcție de scop, date și sectorul fiecărei companii.

Pasul următor

Proiectați un flux Voice AI cu transparență, înregistrare controlată și o cale clară către o persoană.

Solicitați o proiectare Voice AI

Întrebări frecvente

Trebuie să spunem că răspunde o AI?

Da, atunci când persoana interacționează direct cu un sistem de AI și acest lucru nu este evident. Informarea trebuie făcută clar încă de la începutul interacțiunii.

Putem păstra toate înregistrările?

Nu, fără o evaluare specifică a necesității, a temeiului juridic și a perioadei de păstrare. Capacitatea tehnică de înregistrare nu constituie prin ea însăși un scop legal.

Este întotdeauna necesar consimțământul?

Nu întotdeauna. Temeiul juridic potrivit depinde de scop și de relația cu persoana. Alegerea trebuie documentată de companie și de consilierul său juridic.

Este necesară o DPIA?

Este necesară atunci când prelucrarea este susceptibilă să creeze un risc ridicat. Acest lucru este deosebit de important la scară mare, date sensibile, monitorizare sistematică sau decizii automatizate semnificative.