Chatbot og GDPR: hvad skal I have styr på?

Det her er ikke juridisk rådgivning — vi er ikke jurister. Det er en praktisk oversigt over det, vi selv har måttet have styr på for at drive en chatbot lovligt, skrevet så I kan stille skarpere spørgsmål til jeres udbyder og til jeres egen rådgiver.

Den vigtigste erkendelse først: I kan ikke beslutte jer for, at jeres chatbot ikke behandler personoplysninger. Det afgør jeres besøgende, i det øjeblik de skriver deres ordrenummer, deres navn eller hvorfor de er utilfredse. En chat er et frit tekstfelt, og folk skriver, hvad de har brug for at få sagt.

1. I er dataansvarlige — også for det botten gør

Når en chatbot står på jeres hjemmeside og taler med jeres kunder, er det jer, der er dataansvarlige. Udbyderen er databehandler og arbejder på jeres instruks. Det er ikke en formalitet: ansvaret for, at behandlingen er lovlig, ligger hos jer, uanset hvem der har bygget botten.

Konsekvensen er, at I skal kunne svare på, hvad der sker med beskederne — ikke bare henvise til leverandøren.

2. Databehandleraftalen er ikke valgfri

Bruger I en ekstern udbyder, skal I have en databehandleraftale. Den skal blandt andet beskrive, hvad der må behandles, hvor længe, hvilke sikkerhedsforanstaltninger der gælder, og hvilke underdatabehandlere der er i spil.

Underdatabehandlerne er det punkt, folk overser. En chatbot er sjældent én leverandør: der er typisk en hostingudbyder, en sprogmodel-leverandør og måske en mailtjeneste. Alle skal stå på listen, og I skal have besked, når den ændrer sig.

3. I skal kunne begrunde, hvorfor I må

Der skal være et behandlingsgrundlag. For almindelig kundeservice er legitim interesse eller opfyldelse af en aftale ofte det, man lander på — men det er en vurdering, ikke en automatik, og den bør skrives ned.

Bliver botten brugt til markedsføring eller profilering, er billedet et andet, og så skal I have fat i en rådgiver. Det samme gælder, hvis I kan komme til at behandle følsomme oplysninger — og det kan I, hvis I er i sundhed, fagforening, forsikring eller lignende, uanset om I beder om det.

4. Folk skal kunne se, hvad der sker

Besøgende skal kunne finde ud af, at de taler med en maskine, hvad der sker med det, de skriver, og hvor længe det gemmes. Det behøver ikke fylde en side — men det skal være til at finde, og det skal være sandt.

Et konkret råd: læs jeres egen privatlivspolitik igennem med chatten i tankerne. De fleste politikker er skrevet, før botten kom til, og nævner den slet ikke.

5. Sletning skal virke i praksis

En besøgende kan bede om indsigt i eller sletning af sine oplysninger. Det betyder, at nogen skal kunne finde og fjerne en konkret samtale — også hvis den ligger i en søgeindeks eller en backup.

Spørg konkret: kan I slette én samtale, eller kun alle på én gang? Hvad sker der med backups? Hvor lang tid går der? Hvis svaret er vagt, er det ikke bygget endnu.

Sæt også en opbevaringsgrænse. Der er ingen god grund til at gemme chats i årevis, og en kort slettefrist er den billigste risikoreduktion, der findes.

6. Find ud af, hvor sprogmodellen kører

Det er her, de fleste chatbot-tilbud bliver uklare. Data kan sagtens ligge på en server i EU, mens selve svaret genereres af en model, der kører et andet sted. Det er to forskellige spørgsmål, og de skal begge besvares.

Sker der en overførsel til et land uden for EU/EØS, skal der være et gyldigt grundlag for det — typisk EU-Kommissionens standardkontraktbestemmelser. Det er en legitim løsning, men det er ikke det samme som, at data bliver i EU, og I bør vide, hvilken af delene I har købt.

Vi har skrevet mere om netop det i artiklen om, hvorvidt kundedata skal forlade EU — inklusive hvor Levanza selv står.

Spørgsmål I kan tage med til en demo

Svarene her fortæller mere om en udbyders modenhed end nogen produktdemo:

• Hvem er underdatabehandlere, og får vi besked, når listen ændrer sig?
• Hvor lagres samtalerne, og hvor genereres svarene — er det samme sted?
• Kan I slette én enkelt samtale på anmodning, og hvad med backups?
• Hvor længe gemmes chats som standard, og kan vi selv sætte grænsen?
• Får vi en databehandleraftale uden at skulle bede om den?
• Hvad sker der med vores data, hvis vi opsiger aftalen?

En udbyder, der bliver glad for spørgsmålene, har styr på det. En, der bliver utålmodig, har det formentlig ikke.