Inga produkter i varukorgen.
Puzzel: EU-lagring räcker inte för att skydda kunddata
säkerhet Datasuveränitet blir en allt viktigare fråga för europeiska kontaktcenter. Men kunddata som lagras inom EU är ingen garanti för att informationen endast omfattas av europeisk lagstiftning. Puzzel uppmanar nu kontaktcenterchefer att granska leverantörerna mer noggrant.
Frågan om vem som egentligen har kontroll över och tillgång till företagens kunddata har blivit en strategisk angelägenhet för många svenska it-ledare. Det som tidigare främst diskuterades av jurister och säkerhetsansvariga tar nu allt mer plats i ledningsgrupper och styrelserum. Inte minst gäller det organisationer där kontaktcenterplattformen hanterar stora mängder känslig information om kunder.
Någonting är fel
Du är inloggad som prenumerant hos förlaget Pauser Media, men nånting är fel. På din profilsida ser du vilka av våra produkter som du har tillgång till. Skulle uppgifterna inte stämma på din profilsida – vänligen kontakta vår kundtjänst.
Techtidningen premium
Läs vidare – starta din prenumeration
Redan prenumerant? Logga in och läs vidare.
Det konstaterar den norska kontaktcenterleverantören Puzzel i en ny guide om europeisk datasuveränitet. Enligt Puzzel har utvecklingen under de senaste 18 månaderna inneburit att frågan om var data lagras och vem som kan komma åt den blivit allt viktigare vid upphandlingar.
– Datasuveränitet, som tidigare var en fråga för juridiska avdelningar och ansvariga för regelefterlevnad, har nu blivit en del av upphandlingsdiskussionen. CX-ledare får allt oftare frågor från sina egna ledningar och från tillsynsmyndigheterna i sina branscher, skriver Jordy van Gent, vice marknadschef på Puzzel.
Bakom utvecklingen ligger enligt Puzzel flera samverkande faktorer. Den amerikanska lagstiftningen Cloud Act innebär att amerikanska myndigheter under vissa förutsättningar kan kräva tillgång till information hos amerikanska teknikleverantörer, även när uppgifterna lagras i andra länder. Samtidigt skärper EU kraven på hanteringen av personuppgifter och användningen av AI.
Ett av huvudbudskapen i guiden är att europeisk datalagring inte automatiskt innebär europeisk kontroll över informationen. En amerikansk leverantör kan exempelvis erbjuda lagring i ett datacenter inom EU, samtidigt som bolaget fortfarande omfattas av amerikansk lagstiftning.
– En leverantör kan lagra data i Dublin men ändå vara juridiskt skyldig att lämna ut information enligt den amerikanska Cloud Act, om moderbolaget är registrerat i USA. Det räcker inte att enbart fråga var datacentren finns. Man måste också undersöka vilken jurisdiktion leverantören omfattas av, menar Puzzel.
AI-utvecklingen är enligt Puzzel ytterligare ett skäl till att frågan har blivit mer angelägen. När allt fler kontaktcenter använder AI för att analysera kundsamtal, föreslå svar, automatisera ärenden och utvärdera medarbetarnas arbete uppstår nya frågor om hur informationen används.
Villkoren varierar mellan olika leverantörer
En central fråga handlar om kunddata kan användas för att träna eller förbättra AI-modeller. Puzzel påminner om att villkoren varierar mellan olika leverantörer och att företag därför måste granska vad som faktiskt gäller för de tjänster som används.
– Många AI-leverantörer förbehåller sig rätten att använda kunddata för att förbättra sina modeller. Det enda sättet att veta säkert är att läsa de villkor för databehandling som gäller för det egna avtalet. Kundsamtal och information från kvalitetsuppföljning kan annars bli potentiellt träningsmaterial.
Fakta
Sex frågor att ställa till leverantören
- Var lagras våra kunddata och vilket lands lagstiftning omfattas ni av? Begär uppgifter om datacentrens placering och om leverantören eller dess moderbolag omfattas av amerikansk lagstiftning.
- Använder ni eller era AI-underleverantörer våra kunddata för att träna AI-modeller? Kräv ett skriftligt åtagande om att kundinformationen inte används för modellträning, inte heller i anonymiserad eller aggregerad form.
- Vilka säkerhetscertifieringar har ni? Be om dokumentation för exempelvis ISO 27001 och SOC 2 Type II samt besked om vilka ytterligare certifieringar leverantören arbetar mot.
- Kan support- eller driftpersonal utanför Europa få tillgång till våra kunddata? Undersök om internationella supportorganisationer innebär att information kan hanteras av personal i exempelvis USA eller Asien.
- Hur säkerställer ni att era AI-funktioner uppfyller kraven i EU AI-förordning? Begär dokumentation om transparens, mänsklig kontroll och hur leverantören hanterar AI-system som omfattas av särskilda krav.
- Vilka AI-underleverantörer har tillgång till våra data och var finns de? Kräv en fullständig förteckning över vilka företag som behandlar informationen, var de är registrerade och i vilka länder behandlingen sker.
Även om en leverantör uppger att de inte kommer att använda informationen för modellträning kan det finnas andra risker menar Puzzel. Data kan exempelvis skickas till amerikansk infrastruktur för att bearbetas av en språkmodell, även om själva kontaktcenterplattformen körs i Europa.
För att hjälpa kontaktcenterchefer att bedöma leverantörerna har Puzzel sammanställt sex frågor som bör ställas inför en upphandling eller avtalsförnyelse. De handlar om var informationen lagras, vilken jurisdiktion leverantören omfattas av, hur data används för AI-träning, vilka säkerhetscertifieringar som finns och hur leverantören förbereder sig för EU:s AI-förordning, som redan delvis trätt i kraft.
Dessutom rekommenderar man en noggrann granskning av supportorganisationen och de underleverantörer som används för AI. Internationella supportmodeller kan exempelvis innebära att personal utanför Europa får tillgång till känslig information. Puzzel anser därför att kunder bör kräva skriftliga besked om vilka som kan komma åt informationen och från vilka länder.
Puzzels syfte med guiden är naturligtvis att lyfta fram fördelarna med sin egen europeiska organisation och tekniska infrastruktur. Bolaget är grundat i Norge och driver bland annat ett privat moln med datacenter i Oslo, Akershus, Falkenberg och Stockholm.
Puzzel använder dock själva Microsoft Azure för delar av plattformen. Dessa tjänster körs enligt bolaget i europeiska regioner, med tekniska och avtalsmässiga skyddsåtgärder eftersom Microsoft är ett amerikanskt företag.
För organisationer med befintliga kontaktcenteravtal rekommenderar Puzzel en genomgång av informationsflöden och personuppgiftsbiträdesavtal. Äldre avtal kan ha tecknats innan generativ AI blev en viktg del av kontaktcenterplattformarna och kan därför sakna tydliga bestämmelser om hur data får användas.
Puzzels slutsats är att datasuveränitet bör bli en självklar del av kravspecifikationen vid upphandlingar. För ledningsgrupper och styrelser handlar det enligt bolaget i första hand om riskhantering snarare än en rent teknisk fråga.
