Analiza rozmów AI a RODO: gdzie naprawdę przetwarzane są Twoje nagrania?

Wdrożenie analizy rozmów AI to nie tylko decyzja technologiczna — to decyzja o powierzeniu przetwarzania danych osobowych. Nagranie rozmowy z klientem zawiera co najmniej głos, często imię i nazwisko, dane adresowe, szczegóły umowy, a w niektórych branżach dane o zdrowiu czy finansach. Zanim podpiszesz umowę z dostawcą speech analytics, warto wiedzieć, o co zapytać. Ten przewodnik zbiera w jednym miejscu podstawy prawne nagrywania, obowiązki informacyjne, wymogi DPIA i checklistę pytań do dostawcy.

Nagranie rozmowy to dane osobowe — w całości

RODO nie rozróżnia „treści rozmowy” od „metadanych”. Głos jest daną osobową, transkrypcja jest daną osobową, a wynik oceny AI powiązany z konkretnym konsultantem — również. Oznacza to, że cały łańcuch przetwarzania: przesłanie nagrania, transkrypcja (speech-to-text), analiza przez model AI i przechowywanie wyników, musi mieć jasno określone miejsce, podstawę i zabezpieczenia.

Skala robi różnicę. Zespół 40 konsultantów wykonujących po 60 rozmów dziennie generuje około 2 400 nagrań dziennie i ponad 50 000 miesięcznie. Przy 12-miesięcznej retencji to ponad 600 000 plików, z których każdy podlega prawom osób: dostępu (art. 15 RODO), sprostowania (art. 16) i usunięcia (art. 17). Pytanie „czy potrafimy odszukać i usunąć wszystkie rozmowy jednego klienta?” lepiej zadać przed wdrożeniem niż po pierwszym wniosku. Stawka: za naruszenia grozi kara do 20 mln euro lub 4% rocznego światowego obrotu (art. 83 RODO).

Podstawa prawna nagrywania rozmów z klientami: zgoda nie zawsze jest potrzebna

Wbrew intuicji zgoda klienta rzadko jest właściwą podstawą nagrywania — można ją w każdej chwili wycofać, co przy setkach tysięcy nagrań tworzy operacyjny chaos. W większości call center podstawą jest prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO): zabezpieczenie dowodów, obsługa reklamacji, kontrola jakości. Warunkiem jest udokumentowany test równowagi wykazujący, że interes firmy nie narusza nadmiernie praw i wolności osoby dzwoniącej.

Osobną warstwą jest tajemnica komunikacji elektronicznej z ustawy z 12 lipca 2024 r. — Prawo komunikacji elektronicznej (PKE), która zastąpiła Prawo telekomunikacyjne. Utrwalanie treści komunikatów wymaga podstawy, m.in. zgody nadawcy lub odbiorcy komunikatu. Stąd standardowy komunikat „rozmowa jest nagrywana” na początku połączenia — a osoba, która nagrania sobie nie życzy, powinna mieć alternatywny kanał kontaktu.

Cel przetwarzania, podstawa prawna, uwagi — krótka mapa

To orientacyjna mapa — konkretną podstawę dla każdego celu dobiera administrator razem z IOD, osobno dla klientów i konsultantów.

Obowiązek informacyjny: klient słyszy komunikat, konsultant dostaje dokument

Wobec klientów sprawdza się informacja warstwowa. Warstwa pierwsza to krótki komunikat na początku połączenia: kto nagrywa, w jakim celu i gdzie znaleźć pełną informację. Warstwa druga to kompletna klauzula z art. 13 RODO — administrator, cele i podstawy, okresy retencji, odbiorcy danych, prawa osoby — dostępna na stronie internetowej lub przekazywana na żądanie. Komunikat, który mówi wyłącznie „rozmowa może być nagrywana w celach szkoleniowych”, tego obowiązku nie wyczerpuje.

Wobec konsultantów obowiązki idą dalej, bo analiza rozmów to monitoring pracowników. Art. 22³ Kodeksu pracy wymaga ustalenia celów, zakresu i sposobu monitoringu w układzie zbiorowym, regulaminie pracy albo obwieszczeniu — i poinformowania pracowników nie później niż 2 tygodnie przed jego uruchomieniem. Jeżeli rozmowy ocenia system AI, dochodzi art. 26 ust. 7 AI Act: pracodawca informuje pracowników i ich przedstawicieli przed oddaniem systemu do użytku.

Checklista: 10 pytań do dostawcy analizy rozmów

1. Gdzie fizycznie stoją serwery? „Chmura europejska” bywa marketingowym skrótem. Zapytaj o konkretne regiony i kraje, w których przechowywane są nagrania i transkrypcje.
2. Gdzie działa transkrypcja i modele AI? To najczęstsza pułapka: dane są przechowywane w UE, ale do transkrypcji lub oceny wysyłane do API poza Europą. Cały pipeline — nie tylko storage — powinien działać w regionie EU.
3. Czy Twoje dane trenują modele dostawcy? Upewnij się, że nagrania i transkrypcje nie są wykorzystywane do trenowania modeli udostępnianych innym klientom.
4. Jak wygląda umowa powierzenia (DPA)? Lista podprocesorów, lokalizacje, okresy retencji i procedura usunięcia danych powinny być jawne i częścią umowy.
5. Kto ma dostęp do nagrań po stronie platformy? Sprawdź model uprawnień: kto w Twojej organizacji widzi które kampanie, rozmowy i wyniki.
6. Jak długo przechowywane są nagrania, transkrypcje i wyniki? Retencja powinna być rozdzielona per typ danych — audio nie musi żyć tak długo jak wynik oceny. Dopytaj też o procedurę usunięcia danych po zakończeniu umowy.
7. Jak zrealizujesz wniosek o dostęp lub usunięcie danych? Platforma powinna pozwolić odszukać wszystkie rozmowy danej osoby (np. po numerze telefonu) i trwale je usunąć — inaczej art. 15–17 RODO staną się ręczną, wielodniową pracą.
8. Czy dostawca dostarczy dane do DPIA? Diagram przepływu danych, lista podprocesorów, lokalizacje, środki techniczne i organizacyjne — bez tego nie zamkniesz oceny skutków (art. 35 RODO, art. 26 ust. 9 AI Act).
9. Czy system analizuje emocje lub ton głosu konsultantów? Prawidłowa odpowiedź brzmi: nie, i jest to technicznie niemożliwe. Wnioskowania o emocjach pracowników w miejscu pracy zakazuje art. 5 AI Act.
10. Jak dostawca klasyfikuje swój system pod AI Act? System oceniający pracowników to system wysokiego ryzyka (Załącznik III, pkt 4(b)). Dostawca, który temu zaprzecza, przerzuca ryzyko regulacyjne na Ciebie.

DPIA przed startem: kiedy analiza rozmów wymaga oceny skutków (art. 35 RODO)

Ocena skutków dla ochrony danych (DPIA) jest obowiązkowa, gdy przetwarzanie może powodować wysokie ryzyko dla praw i wolności osób — w szczególności przy systematycznej, kompleksowej ocenie czynników osobowych opartej na zautomatyzowanym przetwarzaniu (art. 35 ust. 3 lit. a RODO). Prezes UODO doprecyzował to w wykazie z 17 czerwca 2019 r. (M.P. 2019 poz. 666), wymieniającym 12 kategorii operacji; przyjmuje się, że spełnienie co najmniej dwóch kryteriów oznacza obowiązek przeprowadzenia DPIA.

Automatyczna analiza rozmów zwykle spełnia trzy naraz:

• ocena i punktacja osób — system ocenia konsultantów i buduje ich profile jakościowe,
• systematyczne monitorowanie — analizie podlega 100% rozmów, dzień po dniu,
• innowacyjne wykorzystanie technologii — transkrypcja i ocena przez modele AI.

Wniosek praktyczny: DPIA traktuj jako stały element wdrożenia, nie wyjątek. Przeprowadza ją Twoja organizacja jako administrator, ale bez materiałów od dostawcy jej nie zamkniesz — dlatego diagram przepływu danych, lista podprocesorów i okresy retencji z checklisty powyżej to nie formalności, tylko dane wejściowe do dokumentu.

EU AI Act: nowy poziom wymagań

Od wejścia w życie EU AI Act systemy AI stosowane w pracy — w tym oceniające pracowników — podlegają dodatkowym wymogom: przejrzystości działania, nadzoru człowieka nad decyzjami i dokumentacji. Załącznik III w punkcie 4(b) wymienia wprost systemy monitorowania i oceny wydajności osób w stosunku pracy — automatyczna ocena rozmów konsultantów mieści się w tej definicji. Dla szefa call center oznacza to w praktyce dwa pytania: czy wiadomo, dlaczego AI oceniło rozmowę tak, a nie inaczej, i czy człowiek może tę ocenę zweryfikować i skorygować.

Druga twarda granica to emocje. Art. 5 ust. 1 lit. f AI Act — stosowany od 2 lutego 2025 r. — zakazuje systemów wnioskujących o emocjach osób w miejscu pracy. Głos analizowany technicznie przez system AI stanowi daną biometryczną, więc analiza tonu głosu czy „nastawienia emocjonalnego” konsultanta to nie szara strefa, tylko praktyka zakazana. Pełną listę obowiązków pracodawcy jako deployera opisujemy w tekście o EU AI Act w call center.

Dlatego tak istotna jest możliwość zejścia z każdego wyniku do konkretnej rozmowy i cytatu z transkrypcji — ocena przestaje być „czarną skrzynką”, a staje się weryfikowalnym wskazaniem.

Jak rozwiązuje to CallSea

• Serwery w Niemczech — nagrania, transkrypcje i wyniki nie opuszczają centrów danych w UE.
• Transkrypcja rozmów i modele AI w regionie EU — cały pipeline przetwarzania działa w europejskiej infrastrukturze, bez wysyłania danych za ocean.
• Nagrania audio nie są trwale przechowywane — po transkrypcji i ocenie pracujesz na tekście i wynikach, co zmniejsza powierzchnię ryzyka i upraszcza retencję.
• Kontrolowany przepływ nagrań — pliki trafiają na platformę automatycznie przez SFTP lub API, z uprawnieniami na poziomie osobistym, kampanii i organizacji.
• Architektura gotowa na EU AI Act — każda ocena jakości rozmowy jest powiązana z rozmową i cytatem z transkrypcji, a wnioskowanie o emocjach konsultantów jest technicznie zablokowane: modele czytają wyłącznie tekst.
• Pakiet wdrożeniowy — DPA, wzorzec informacji dla pracowników, dane do DPIA i materiały AI literacy skracają pracę Twojego IOD.

Najczęstsze pytania o RODO i analizę rozmów AI