Personvern for chatbot – Hva bedrifter bør ta hensyn til

Chatbotter samler personopplysninger: navn, e-postadresser, telefonnummer, henvendelser, IP-adresser. Så snart slike opplysninger blir registrert, behandlet eller videreformidlet, gjelder den generelle personvernforordningen (GDPR).

Dette gjelder også live-chat-verktøy og automatiserte chat-widgeter på nettsteder. Uavhengig av om et menneske eller en KI svarer, er databehandlingen underlagt de samme kravene: rettslig grunnlag, åpenhet, formålsbegrensning, dataminimering og tekniske sikringstiltak.

Den som drifter en chatbot på nettstedet sitt, bør sikre at leverandøren tilbyr EU-kompatibel hosting, at en databehandleravtale kan inngås, og at samtykkeinnhentingen kan implementeres teknisk.

Zentor App er designet for EU-samsvar i databehandling. De viktigste personvernaspektene i oversikt:

• EU-hosting: Samtaledata behandles på servere i Den europeiske union.
• Samtykke kan konfigureres: Chat-widgetet kan stilles inn slik at brukere gir samtykke til databehandling før chatten starter.
• AVV er mulig: På forespørsel kan en avtale om databehandling inngås.
• Samtaledata i egen konto: Alle samtaler blir liggende i Zentor App-kontoen din og er kun synlige for autoriserte teammedlemmer.
• Rollebaserte tilgangsrettigheter: Du bestemmer hvilke brukere som har tilgang til samtaledata.

Spør om tekniske detaljer om hostingsted, slettingsfrister og vilkår for AVV i det første møtet.

Personvern starter med forståelsen av hvilke data faktisk flyter hvor under en samtale. En melding i en nettstad-chatbot går typisk gjennom fire stasjoner – hver med egen betydning for personvernet:

1. 1. Brukerens nettleser: Chat-widgetet lastes inn på nettstedet ditt. Allerede her avgjør konfigurasjonen om samtykke innhentes før første kontakt, og hvilke tekniske data (f.eks. IP-adresse) som overføres.
2. 2. Overføring til serveren: Meldinger overføres kryptert til behandlingsserveren. Hostingstedet avgjør om behandlingen foregår innenfor EU eller om det oppstår en overføring til et tredjeland.
3. 3. KI-behandling: Svaret genereres av en KI-modell — enten via en lokal KI-modell i egen infrastruktur eller via en ekstern KI-leverandør. Ved lokal kjøring forlater ikke samtaleinnholdet eget miljø; ved ekstern behandling må databehandlingen sikres kontraktsmessig.
4. 4. Lagring og innboks: Samtalen lagres i kontoen og er tilgjengelig via innboksen for autoriserte teammedlemmer. Her gjelder tilgangsrettigheter, oppbevaringsfrister og slettekonseptet.

GDPR krever at personopplysninger ikke lagres lenger enn formålet krever (lagringsbegrensning). For chatbot-samtaler betyr det i praksis et trinnvis slettekonsept i stedet for ubegrenset oppbevaring:

• Fastsett formål: Hvorfor oppbevares samtaler — supportoppfølging, leadbehandling, kvalitetssikring? Formålet avgjør oppbevaringsfristen.
• Definer oppbevaringsfrist: En konkret frist (f.eks. etter avsluttet sak) bør være teknisk implementert, ikke bare organisatorisk.
• Automatisert sletting: Rutiner som jevnlig fjerner utløpte samtaler, reduserer risikoen for at data blir «liggende» ukontrollert.
• Rettighetene til de registrerte: Det må være mulig å svare på forespørsler om innsyn og sletting — enkeltsamtaler må kunne finnes og slettes målrettet.
• Dokumentasjon: Slettingskonseptet bør inkluderes i behandlingsregisteret og avtales med personvernombudet.

Avklar konkrete frister og den tekniske gjennomføringen av sletterutiner i det første møtet og med deres personvernombud.