Talkdesk en veel andere [Customer Care]aaS-leveranciers gebruiken de inhoud van de gesprekken van de klanten van hun eigengebruikers om hun AI-modellen te trainen. Dat las ik bij Ziptone onlangs. Aanleiding was een rechtszaak aangespannen door een Californische consument die daar niet op zat te wachten. Het riep de vraag op: hoe zou je dat legaal kunnen inrichten in Nederland?
Iedereen denkt wellicht aan de AI Act, maar die zegt niet zo gek veel over hoe je aan databestanden komt om een AI mee te trainen. Ja, als je toepassing hoogrisico is dan moet die data “relevant, voldoende representatief, en zoveel mogelijk foutenvrij en volledig met het oog op het beoogde doel” zijn (artikel 10 lid 3 AIA). Maar eisen zoals “met toestemming verkregen” zul je niet terugvinden in deze wet.
Wél daarover gaat natuurlijk de AVG: het opnemen van een zakelijk telefoongesprek, of het loggen van een zakelijke chat, is een verwerking van persoonsgegevens. Dat gebeurt met een doel – het bewijzen van de geleverde dienst of eventuele geschillen (uitvoering overeenkomst), of het meer algemeen verbeteren van de dienstverlening (“service- en trainingsdoeleinden“). Het kan ook met toestemming, maar buiten salesgesprekken zie je dat eigenlijk nooit.
Het AVG-technisch probleem is met name dat doel, in vaktermen de doelbinding. De gegevens worden verkregen voor het ene doel (die servicedoeleinden, bewijsvoering, etc) en nu ingezet voor iets anders, namelijk het samenstellen van een dataset waarmee een AI getraind gaat worden. Je kunt dat op twee manieren doen:
- Binnen de AVG, waarbij je te maken krijgt met beperkingen zoals doelbinding en grondslagen.
- Buiten de AVG, waarbij die beperkingen niet gelden maar je wel écht anonieme data moet hebben.
De enige escape is dan wellicht nog de bepaling uit de AVG dat verdere verwerking voor statistische doeleinden (art. 5 lid 1b AVG) geen probleem met doelbinding is. Het is alleen onduidelijk of deze bepaling ingeroepen kan worden als het “statistische doeleind” eigenlijk een commercieel inzetbaar AI datamodel is.
Arnoud
Een ander probleem is dat modellen die kennis vast houden (in plaats van puur statistisch), zoals LLMs, meestal geen mogelijk hebben om bepaalde informatie te untrainen. Dat lijkt me in het kader van het vergeetrecht problematisch, mocht blijken dat er inderdaad persoonlijke informatie herleid kan worden.
En dat het geluid van iemands stem sowieso al een persoonsgegeven is, want een stem is herkenbaar genoeg om terug te herleiden naar een specifiek persoon.
Nog los van wat marketing er van vindt: vrijelijke toestemming vragen bij een service-gesprek, dat lijkt me niet aan de orde. De klant kan er niet van uit gaan dat bij een ‘nee’ dezelfde dienstverlening wordt gegeven.
Dat is toch precies wat er gebeurt? AI ipv mensen trainen. T.b.v. verbeteren van de dienstverlening.
En inderdaad; opnames ga je niet anoniem kunnen krijgen. Zeker niet zonder er eerst AI op los te laten om te anonimiseren.
Het is technisch toch mogelijk om het bandje meteen te laten zeggen “Toets 1 als U toestemming geeft om uw gesprek te gebruiken voor het trainen van onze AI”? Dat niemand dat gaat doen, ach ja da’s pech hebben.
AI-trainingsdoeleinden. Dat is zo’n ruim begrip. Omzetten naar text voor text analyse zodat we een AI kunnen trainen om beter vragen via de chat bot te beantwoorden. Prima? Omzetten naar een model om de stem van de klant na te kunnen doen. Niet prima! Omzetten naar een gemixt model zodat we een generieke klant genereren waarmee we onze mensen aan de telefoon kunnen trainen met “echte” vragen. Ok???
Is dat niet veel te breed “AI-trainingsdoeleinden” er zijn zoveel soorten AI dat je geen flauw benul kunt hebben waar je toestemming voor geeft.
Ik had laatst de customer service van een vakantie huisje met de optie “this call can be recorded, press 1 of you agree press 2 if you don’t agree”
Je blijft natuurlijk met het concept van intrekken en snap je waarvoor je toestemming geeft. Maar als bedrijven nu eens beginnen met vragen. Juridische vast niet dekkend maar gevoelsmatig zou de wereld er al een stukje beter uit zien.
Veel bedrijven en andere organisaties zijn vaak alleen telefonisch bereikbaar. Dan krijg ik in veel gevallen ook melding dat het gesprek wordt opgenomen voor bijvoorbeeld trainingsdoeleinden. Voordat het gesprek begint kan ik dan geen keuze maken of ik dat wel of niet wil. Feitelijk heb ik dan geen vrijelijk toestemming gegeven. Hoe kijken jullie hier naar?
Dat klopt helemaal, maar van de AVG is toestemming ook niet te allen tijde verplicht. Je kunt ook persoonsgegevens verwerken op basis van uitvoering overeenkomst, wettelijke plicht of wat heet “gerechtvaardigd belang” en dat laatste is waar die opnames voor zijn. Als ik bewijs wil van wat er is gezegd, dan moet ik dat kunnen vergaren zonder dat mijn wederpartij daar toestemming voor hoeft te geven. Ik zou zeggen, júist als de wederpartij geen toestemming geeft want dan gaan er vervelende dingen komen in het gesprek.
Artikel 21 lid 1 AVG geeft de betrokkene het recht om bezwaar te maken als de verwerking gebeurt op basis van de f-grond (gerechtvaardigd belang).
Ik hoor maar zelden IVR-bandjes die het plichtmatige ‘dit gesprek kan worden opgenomen voor service- en trainingsdoeleinden’ aanvullen met een concrete verwijzing naar het privacy statement en nog minder die ’toets 1 als u hier bezwaar tegen heeft’ (en dus bezwaar faciliteren – je weet immers niet of dit het moment van het eerste contact met de betrokkene is).
Of hoe moet ik 21 lid 4 interpreteren? En als mijn bezwaar wordt toegekend (na een nieuwe belangenafweging door de verantwoordelijke), hoe kan ik dan zo’n bedrijf alsnog per telefoon bereiken?
Je hebt op grond van artikel 21 lid 1 alleen het recht om bezwaar te maken als je daarvoor “met [jouw] specifieke situatie verband houdende redenen” voor hebt. Ik denk dan ook dat het niet nodig is om dit recht in zo’n korte mededeling te hoeven signaleren. Als je die redenen hebt, dan kun je ze naar voren brengen. Ik zie artikel 21 lid 4 maar denk dat hier redelijkerwijs een generieke verwijzing naar de PV genoeg is, waarbij ik dan een wat ruime lezing van artikel 12 lid 1 gebruik.
Arnoud
Moet diegene die het gerechtvaardigd belang inroept hier geen gemotiveerde redenen voor ingeven, alvorens er bezwaar moet gemaakt worden.
Ik heb nog nooit een verwijzing naar de PV gehoord in zo’n situatie. Anders was dat mijn eerste vraag geweest, lees ze maar voor.