AI телефонен асистент и GDPR: какво е законово допустимо (2026)

Знаете сметката. Приблизително 30% от обажданията към малки и средни фирми остават без отговор, а всяко пропуснато обаждане струва между 80 и 150 евро пропуснати приходи. AI телефонен агент, който вдига всеки път — в пиковите часове, извън работно време, през уикендите — изглежда като очевидното решение. И все пак много собственици се колебаят, не заради цената или технологията, а заради една конкретна тревога: „Изобщо разрешено ли е това по GDPR — и мога ли да бъда глобен?“

Тази статия отговаря на въпроса директно и по-задълбочено, отколкото обикновено предлагат чисто правните обяснения или продуктовите страници на доставчиците. Кратката версия в началото: да, AI телефонен агент по принцип е GDPR съвместим и разрешен в Германия, Австрия и Швейцария. Съответствието не е свойство на софтуера — то е резултат от начина, по който го настроите: правното основание, на което се позовавате, колко прозрачни сте, къде се хостват данните и дали получавате съгласие за записване.

Най-важното накратко:

Изисква се правно основание по чл. 6 от GDPR — обикновено изпълнение на договор или легитимен интерес, и съгласие за записване.
Трябва да обозначите AI като AI. Задължението за прозрачност по чл. 50 от Регламента за ИИ на ЕС се прилага от 2 август 2026 г.
Споразумение за обработка на данни по чл. 28 е задължително винаги, когато външен доставчик обработва данни от ваше име.
Хостингът в ЕС изцяло премахва проблема с трансфера към трета държава — най-простият път към съответствие.
Съгласие е необходимо само за записване или пълна транскрипция, не за обработка на живо.
Никакви напълно автоматизирани обвързващи решения: агентът не бива да сключва обвързващ договор самостоятелно (чл. 22).

Едно уточнение, ясно и рано: тази статия е добре проучена ориентация, а не правен съвет за вашия конкретен случай. При съмнение се консултирайте с вашето длъжностно лице по защита на данните (DPO) или с юрист. Това, което тя ви дава и което чисто правните сайтове и страниците на доставчиците пропускат: готови за копиране скриптове за поздрав и съгласие, списък за пускане в експлоатация и неутрален каталог за проверка на доставчици. Можете също така да създадете агент безплатно и сами да тествате съвместима с ЕС настройка, без кредитна карта.

Да. AI телефонен агент обработва лични данни — гласа, името, запитването и телефонния номер на обаждащия се — по съвместим с GDPR начин, при условие че има правно основание, обаждащият се е прозрачно информиран, налице е споразумение за обработка на данни и данните се обработват с оглед на минимизиране и в рамките на ЕС.

Тук трябва да се изясни често срещано объркване. „GDPR съвместим“ не е сертификат, поставен върху даден софтуер. Точно същият софтуер може да бъде използван по съвместим или несъвместим начин, в зависимост от вашата конфигурация и настройката на доставчика ви. Съответствието е резултат, а не характеристика на продукта.

Отговорността също заслужава да бъде уточнена. Вие — фирмата, която внедрява агента — сте „администраторът“ по смисъла на чл. 4, т. 7 от GDPR. Доставчикът на AI действа като ваш „обработващ“. Именно тази връзка е причината да се изисква споразумение за обработка на данни, върху което се спираме подробно по-долу.

В момента, в който се обработват лични данни. За телефонен агент това е практически винаги: само телефонният номер е личните данни, а изговореното запитване обикновено също. Фактът, че обработката се извършва от „AI“ или „автоматизирани системи“, не променя нищо в този праг — правилата са същите както за всеки друг инструмент, който борави с лични данни.

Останалата част от статията разглежда четирите лоста, които всъщност определят съответствието: правното основание, прозрачността и Регламента за ИИ, записването и съгласието, и хостинга и трансферите към трети държави. Приемете следващите раздели като карта. Ако искате техническия и защитния контекст успоредно, вижте нашия преглед на сигурността.

Всяка обработка на лични данни се нуждае от правно основание по чл. 6, ал. 1 от GDPR. За телефонен агент на рецепцията три са релевантни на практика.

Изпълнение на договор или преддоговорни стъпки (чл. 6, ал. 1, б. „б“) — за входящи запитвания като резервация на час или подготовка на оферта. Обаждащият се иска нещо, което води до или изпълнява договор, така че обработката е обоснована.
Легитимен интерес (чл. 6, ал. 1, б. „е“) — за обща достъпност и качество на услугата, например приемане на заявка за обратно обаждане. Това изисква тест за балансиране, който претегля вашия интерес срещу правата на обаждащия се, и следва да го документирате.
Съгласие (чл. 6, ал. 1, б. „а“) — задължително за записване или транскрипция и за всякакви маркетингови изходящи обаждания.

Едно просто съпоставяне помага да се избегнат типичните капани:

Случай на употреба	Правно основание	Внимавайте за
Входяща резервация на час	чл. 6, ал. 1, б. „б“	Само данните, необходими за резервацията
Общо приемане на обратно обаждане	чл. 6, ал. 1, б. „е“	Документирайте теста за балансиране
Записване на разговора	чл. 6, ал. 1, б. „а“	Изисква се активно, доказуемо съгласие

Има и специална категория, която да отбележим. Чл. 9 от GDPR обхваща чувствителни данни — здраве, религия, членство в синдикат. Медицинска практика например може да приема информация, свързана със здравето, и тогава допълнително се нуждаете от изключение по чл. 9, ал. 2. Повече за отрасловите особености по-долу.

Един спорен въпрос заслужава ясен отговор, защото правните обяснения и сайтовете на доставчиците обикновено се разминават тук. Гласовият запис не е автоматично биометрични данни по чл. 4, т. 14. Той става данни по чл. 9 само когато гласът е умишлено обработен, за да идентифицира еднозначно дадено лице — гласов отпечатък, удостоверяване на говорещия. Простото разбиране на това, което обаждащият се иска (реч в текст без намерение за идентификация), по правило не задейства чл. 9.

Практическият извод: ако не използвате гласови отпечатъци или удостоверяване на говорещия, не се нуждаете от съгласие по чл. 9 за обработката на реч като такава. Възможно е все пак да се нуждаете от съгласие за записване — но това е отделен въпрос с отделно основание. Каквото и основание да изберете, документирайте го; принципът на отчетност очаква да можете да покажете разсъжденията си.

Да. Трябва ясно и недвусмислено да информирате обаждащите се в началото на разговора, че разговарят с AI система. Това следва от задължението за прозрачност по чл. 50 от Регламента за ИИ на ЕС — който се прилага от 2 август 2026 г. — и от задълженията за информиране по чл. 13 и 14 от GDPR.

Какво изисква всъщност чл. 50, конкретно? Че взаимодействието с AI е разпознаваемо за физическо лице и че изкуствено генерираното или синтетично гласово съдържание е обозначено като такова. С прости думи, това отговаря на въпроса, който мнозина обаждащи се задават: „Как да разпозная AI по телефона?“ Разпознавате го, защото съвместим оператор ви казва, предварително.

Дума срещу нагнетяването на страх: обикновен AI телефонен агент за рецепция или резервация на часове по правило не е високорискова система по Регламента за ИИ на ЕС. Прилага се само задължението за прозрачност — не тежкият високорисков режим. Доставчиците, които размахват предупреждения за висок риск, за да създадат неотложност, преувеличават положението.

От страна на GDPR разкриването отива малко по-нататък от просто „Аз съм AI“. Обаждащият се следва да бъде насочен и към обработката на данни и къде да намери повече информация — вашата политика за поверителност. По телефона това се решава с кратко изговорено съобщение, препращащо към уебсайта, и връзка от вашата страница за поверителност.

Това е свързано с правото на достъп до човек. Сериозното решение винаги предлага човешко превключване — „да говоря със служител“ по всяко време. Това само по себе си е добра практика, а също така подкрепя чл. 22 (разгледан по-долу). За пример как съвместим оператор подхожда към това: платформи като Hanc.AI са изрично изградени около чл. 50 от Регламента за ИИ на ЕС и се идентифицират като AI в началото на разговора. Можете сами да конфигурирате тези поздрави, когато настройвате роля на агент.

Кратка представа за готовите за копиране скриптове, които следват: „Здравейте, това е дигиталният асистент на [Фирма]. Аз съм AI и с удоволствие ще ви помогна.“

Записване, транскрипция и съгласие: кога става рисково?

Ето разграничението, което има най-голямо значение, и това, което повечето обяснения размиват. Обработката на живо — при която AI разбира и отговаря, без да съхранява постоянно аудио — е далеч по-лесна за обосноваване от постоянен аудиозапис или пълна транскрипция. Последните по принцип изискват активно съгласие.

Мислете за това като за светофар:

Светлина	Сценарий	Статус
Зелена	Разбиране на живо, бележка или резюме на валидно правно основание	По принцип добре
Жълта	Съхраняване на пълна транскрипция	Препоръчва се съгласие
Червена	Тайно аудиозаписване	Недопустимо, потенциално престъпно

Червената светлина не е преувеличение. В Германия тайното записване на изговорена дума, която не е била предназначена за публична, е престъпление по § 201 от Наказателния кодекс — и това включва тихото записване на телефонен разговор, и може да обхваща транскрипциите. Изводът е прост: никога не записвайте без предварително уведомление и съгласие.

Има три механизма за съгласие по телефона и си струва да видите и трите един до друг, защото обикновено никой не ги излага изчерпателно:

Натискане на DTMF клавиш — „За да разрешите записване, натиснете 2.“
Изговорено „да“ в отговор на ясен въпрос.
Мълчаливо съгласие — „останете на линия, ако сте съгласни.“

Сега да уредим един истински спор между източниците. Някои твърдят, че „останете на линия“ е защитимо; други казват, че не е достатъчно. Честният отговор: мълчаливото съгласие е правно оспорвано и не е одитоустойчиво. Безопасната настройка по подразбиране е активно потвърждение — изговорено „да“ или натискане на DTMF клавиш — което има допълнителното предимство да може да бъде записано в журнал.

Минимизирането на данните е най-добрата ви стратегия по подразбиране тук (чл. 5, ал. 1, б. „в“). Съхранявайте само резюме или структурирана бележка, а не пълен аудио архив. Този единствен избор едновременно намалява както риска ви, така и нуждата от съгласие. И една граница: изходящите маркетингови обаждания са отделна, по-строга тема (съгласие по правото срещу нелоялната конкуренция и GDPR) и не са предмет на тази статия, фокусирана върху рецепцията.

Готови за копиране скриптове за поздрав и съгласие в началото на разговора (шаблони)

Това е частта, която конкурентите рядко предоставят — пълни, използваеми градивни блокове, а не едно примерно изречение. Адаптирайте ги към вашия случай и вашето длъжностно лице по защита на данните.

Блок 1 — Поздрав с разкриване на AI (чл. 50), без записване. Използвайте това, когато обработвате само на живо.

„Здравейте, това е дигиталният асистент на [Фирма]. Аз съм AI и мога да ви помогна да резервирате час или да отговоря на въпросите ви. Как мога да помогна?“

Блок 2 — Поздрав плюс GDPR уведомление (чл. 13), препращащо към вашата политика за поверителност.

„Здравейте, това е AI асистентът на [Фирма]. За да ви помогна, ще обработя данните, които ми предоставите. Ще намерите повече за защитата на данните на [уебсайт]. Как мога да помогна?“

Блок 3 — Активно съгласие за записване (изговорено „да“).

„Този разговор може да бъде записан, за да обработим вашето запитване. Съгласни ли сте с записването? Моля, отговорете с „да“ или „не“.“ Ако не: „Разбрано, няма да записвам. Как мога да помогна?“ — и обработката продължава само на живо.

Блок 4 — Съгласие чрез натискане на DTMF клавиш.

„Ако сте съгласни този разговор да бъде записан, моля натиснете 2 сега. Ако предпочитате да не бъде, просто не натискайте нито един клавиш и ще ви помогна без запис.“ (Записвайте натискането на клавиша с времеви печат.)

Блок 5 — Човешко превключване.

„Можете да говорите със служител по всяко време — просто кажете „оператор“.“ (Подкрепя чл. 22 и прозрачността.)

Три пълни отраслови поздрава, тъй като това липсва навсякъде:

Медицинска практика (здравни данни, чл. 9): „Здравейте, това е дигиталният асистент на [Практика]. Аз съм AI. Мога да резервирам часове и да приема вашите данни. Моля, не споделяйте диагнози или чувствителна здравна информация — служител ще се погрижи за това лично.“
Адвокатска кантора (поверителност, § 203 от Наказателния кодекс): „Здравейте, свързахте се с AI асистента на [Кантора]. Аз съм AI и мога да приема вашите данни за контакт и вашия въпрос в общи линии. За поверителни детайли ще ви свържа с член на екипа.“
Занаяти (приемане на заявка / обратно обаждане): „Здравейте, това е дигиталният асистент на [Фирма]. Аз съм AI. Мога да приема вашата заявка и да уредя обратно обаждане. С какво можем да ви бъдем полезни?“

Ако работите на повече от един език, поздравът и съгласието трябва да бъдат предоставени на езика на обаждащия се — съгласието е валидно само ако е информирано. Решения, които превключват езика по време на разговора и покриват много езици, правят това много по-лесно. Както и преди: това са шаблони, които да бъдат адаптирани към вашия случай и вашето длъжностно лице по защита на данните.

Споразумение за обработка на данни (DPA) и хостинг в ЕС: доставчикът като риск за поверителността

Споразумение за обработка на данни по чл. 28 от GDPR е задължително. В момента, в който външен доставчик на AI обработва лични данни от ваше име, трябва да сключите споразумение с него. Без такова внедряването е формално незаконно — независимо колко добра е технологията.

Като минимум споразумението следва да обхваща: предмета и целта на обработката, изискването да се действа само по ваши инструкции, поверителността, техническите и организационните мерки, боравенето с подизпълнители и заличаването или връщането на данните в края.

Точката за подизпълнителите често се прескача. Сериозен доставчик разкрива кои подизпълнители участват — телефония, речеви модел, хостинг — и къде се намират. Това има най-голямо значение, когато във веригата участва доставчик на модел, базиран в САЩ.

Далеч най-простият път е местоположение на сървъра в ЕС или Германия. Ако обработката се извършва изцяло в рамките на ЕС, проблемът с третата държава напълно изчезва. Няма какво да се оценява и няма какво да се документира относно трансферите, защото такива няма.

Ако участва доставчик от САЩ, се нуждаете от механизъм за трансфер: или Рамката за поверителност на данните ЕС–САЩ (в сила от юли 2023 г.), или Стандартните договорни клаузи (SCC) плюс оценка на въздействието на трансфера. Без някой от тези, трансферът е изложен на риск. И има един въпрос, който да зададете на всеки доставчик, в писмен вид: използват ли се данните от моите разговори за обучение на вашите AI модели? Съвместим доставчик изключва това договорно.

Като положителен пример: Hanc.AI се управлява от Good Point GmbH (FN 618845t, Виена, проверимо на firmenbuch.at), хоства на Microsoft Azure ЕС (Западна Европа) и не прехвърля данни извън ЕС — така че въпросът за трета държава никога не възниква. Налично е споразумение за обработка на данни, а настройката е съвместима с GDPR, австрийския DSG и швейцарския revDSG. Техническите детайли по сигурността (криптиране и т.н.) следват; можете също да прегледате интеграциите, които определят накъде текат данните.

Минимизиране на данните, съхранение и мерки за сигурност на практика

Минимизирането на данните (чл. 5, ал. 1, б. „в“) означава да събирате само това, което целта изисква. Телефонен номер и запитването на обаждащия се — да. Ненужен аудио архив — не. Където е възможно, редактирайте или псевдонимизирайте личните идентификатори.

Концепцията за заличаване е частта, която повечето обяснения само повърхностно засягат. Определете ясни срокове за съхранение на данните от разговори и контакти и ги прилагайте автоматично — например автоматично заличаване след определен брой дни. Сроковете варират по отрасъл и по припокриващи се задължения (данъчни, професионални правила), затова ги задавайте съзнателно, а не по подразбиране.

Конкретните технически мерки, които отличават сериозен доставчик, до голяма степен са пазарен стандарт и трябва да можете да ги потвърдите: криптиране в покой (например AES-256) и при пренос (TLS 1.3), контрол на достъпа, автоматични задачи за заличаване и, където е налична, външна атестация като SOC 2.

Най-добрата единична настройка по подразбиране е „резюме вместо аудио“. Структурирана бележка от разговора вместо необработено аудио едновременно намалява обема на данните, риска и нуждата от съгласие. И проверете фабричните настройки по подразбиране: включено ли е записването или е изключено при доставка? Поверителност по подразбиране (чл. 25) очаква настройката за минимизиране на данните да бъде предварително зададена. Всичко това се влива директно в списъка за проверка на доставчици, който следва. За по-пълна картина на действащите предпазни мерки вижте прегледа на сигурността.

Кои AI системи са GDPR съвместими? Тези, които преминават точките по-долу. Страниците на доставчиците се хвалят сами; почти никой не предлага неутрална таблица. Ето една, която можете да копирате и използвате. Преминете през нея доставчик по доставчик:

Местоположението на сървъра в ЕС или Германия ли е?
Прехвърлят ли се данни извън ЕС, или има подизпълнители от САЩ?
Налично ли е споразумение за обработка на данни по чл. 28, готово за подписване?
Разкрити ли са подизпълнителите?
Използват ли се данните от разговорите за обучение на модели — да или не?
Изключено ли е записването по подразбиране (поверителност по подразбиране)?
Конфигурируеми ли са сроковете за съхранение?
Поддържа ли се обозначаване на AI по чл. 50?
Възможно ли е човешко превключване?
Демонстрирано ли е криптиране — и в идеалния случай сертификат?
Достъпен ли е доставчикът правно (седалище в ЕС, проверимо в публичен регистър)?

Директният отговор на „кои AI системи са GDPR съвместими?“ е: тези, които покриват тези точки. Не модната дума на продуктовата страница решава — а хостингът, споразумението, настройките по подразбиране и договорното изключване на използването за обучение.

Червени флагове, обратно: не се предлага споразумение за обработка на данни, хостинг само в САЩ без механизъм за трансфер, записване, включено по подразбиране, липса на отговор относно обучението на модели и доставчик, който не е правно достъпен.

Като конкретен пример: Hanc.AI — хостинг в ЕС на Azure Западна Европа, без трансфер на данни от ЕС, налично споразумение за обработка на данни, обозначаване по чл. 50 от Регламента за ИИ на ЕС, оператор, проверим в търговския регистър. За пълната картина и усещане какво да претегляте, страницата с цени и прегледът на функциите допълват гледната точка при покупка.

Истинска пошагова пътна карта, с посочен отговорник за всяка стъпка — защото конкуренцията обикновено остава абстрактна.

Определете случая на употреба и правното основание (чл. 6). Отговорник: управление / длъжностно лице по защита на данните.
Изберете доставчик спрямо каталога за проверка и подпишете споразумението за обработка на данни (чл. 28).
Изградете скрипта за поздрав и съгласие от шаблоните и интегрирайте обозначаването на AI (чл. 50).
Включете настройките за минимизиране на данните (резюме вместо аудио, записване само със съгласие) и задайте срокове за съхранение.
Актуализирайте политиката за поверителност на уебсайта, за да обхваща AI телефонията, и я посочете в изговореното съобщение.
Актуализирайте вашия регистър на дейностите по обработване (ROPA) и проверете дали е необходима DPIA (следващ раздел).
Създайте процес за правата на субектите на данни (достъп, изтриване, оттегляне трябва да са изпълними) и включете журналиране на съгласието.
Инструктирайте персонала си, тествайте човешкото превключване, след което пуснете в експлоатация — и коригирайте итеративно.

Практическа бележка: с настройка, която не изисква програмиране, техническата част е готова за 60 секунди. Грижата отива в настройката за защита на данните, а не в технологията. Можете да създадете агент безплатно, без кредитна карта, и да преминете през този списък върху реална настройка с хостинг в ЕС.

Документация и отчетност: DPIA, ROPA и одитоустойчиво журналиране на съгласието

Отчетността (чл. 5, ал. 2) означава, че трябва да можете да докажете съответствие — избраното правно основание, споразумението за обработка на данни, получените съгласия и концепцията за заличаване, всичко документирано.

Вашият регистър на дейностите по обработване (ROPA, чл. 30) следва да включва AI телефонията като дейност по обработване, включително цел, категории данни, получатели и срокове за съхранение.

Оценка на въздействието върху защитата на данните (DPIA, чл. 35) се задейства от определени фактори: истински нова технология, профилиране или анализ на настроението, биометрия или широкомащабен обхват. Прост асистент на рецепция без профилиране и без биометрия обикновено не задейства DPIA. Добавете анализ на настроението, гласови отпечатъци или голям мащаб, и може да я задейства — и тогава може да се изисква предварителна консултация (чл. 36).

Относно задължението за DPO: в Германия § 38 от BDSG задава праг за това кога трябва да назначите длъжностно лице по защита на данните; Австрия и Швейцария се различават, затова проверете вашата собствена юрисдикция.

За одитоустойчиво журналиране на съгласието — още нещо, което никой не шаблонизира — записвайте времевия печат, формулировката на въпроса за съгласие, отговора (да / DTMF) и идентификатора на разговора. Така съгласието става доказуемо (чл. 7, ал. 1).

Направете правата на субектите на данни истински приложими: достъп, включително копие от всеки запис (чл. 15), корекция на неправилно чути имена (чл. 16), изтриване (чл. 17), преносимост като JSON или CSV (чл. 20), оттегляне на съгласие дори по време на разговора (чл. 7, ал. 3) и възражение, когато се позовавате на легитимен интерес (чл. 21).

Накрая, включете чл. 22: никакво изцяло автоматизирано решение с правно действие. AI асистент не бива например да сключва обвързващ договор самостоятелно. Обезпечете това с човешко превключване и окончателно човешко одобрение там, където има значение.

Конкурентите остават неясни относно последиците. Числата не са неясни. Рамката за глоби по GDPR достига до 20 милиона евро или 4% от световния годишен оборот — което е по-високото — за сериозни нарушения. За формални нарушения, като липсващо споразумение за обработка на данни, е до 10 милиона евро или 2%.

Има и наказателен слой. Тайното аудиозаписване по § 201 от Наказателния кодекс е престъпление (лишаване от свобода или глоба) — и то достига до отделния човек, не само до фирмата.

Реалистична рамка за малкия и среден бизнес, без нагнетяване: екзистенциалните максимуми са насочени към големите корпорации. По-релевантни за малкия бизнес са предупрежденията, разпорежданията на надзорния орган, исковете за обезщетение (чл. 82) и репутационните вреди. Рискът е реален — и напълно избегаем.

Най-честите, избегаеми грешки, водещи до производства: липсващо споразумение за обработка на данни, тайно записване, липсващо обозначаване на AI, неуреден трансфер на данни към САЩ и липсваща политика за поверителност. Положителната формулировка е честната: при правилно внедряване (вижте списъка за пускане в експлоатация) този риск е напълно управляем. Съответствието е въпрос на часове работа, а не пречка. Детайлите живеят на страницата за поверителност.

Отраслови специални случаи: медицински, правни, финансови услуги и данни на служители

Отрасловата задълбоченост е там, където повечето материали спират — и там, където седят реалните разлики.

Медицински практики. Здравните данни са специална категория (чл. 9): по-строги изисквания, минимизирането на данните е особено важно, и задължението за медицинска поверителност. AI може да приема запитване и да резервира часове, но следва да избягва улавянето на чувствителни диагностични детайли. Разглеждаме това задълбочено в ръководството за лекарски кабинети, а има и специализирани настройки за лекари.

Адвокатски кантори и данъчни консултанти. Прилагат се професионалната поверителност и § 203 от Наказателния кодекс (нарушаване на тайна). Доставчикът трябва да е ясно обвързан като помощник по поверителността чрез споразумението за обработка на данни и да е с хостинг в ЕС; клиентските данни не отиват в трета държава. Вижте страниците за адвокати и данъчни консултанти.

Финансови услуги. Тук логиката може да се обърне: MiFID II може да изисква определени консултативни обаждания или обаждания за поръчки да бъдат записвани. Напрежението не е защита на данните срещу записване — записването е задължението, по различна правна рамка. Дръжте двете разделени.

Занаяти. Обикновено най-малко чувствителни — приемане на заявки по чл. 6, ал. 1, б. „б“, обратни обаждания — което ги прави добра начална вертикала. Настройката за занаяти е стартова точка с ниска бариера.

Данни на служители. Често пренебрегвано: за ролите, насочени към управлението (вътрешна помощ, въпроси на човешките ресурси), е релевантен § 26 от BDSG. Информирайте служителите за използването на AI и спазвайте съвместното вземане на решения там, където съществува работнически съвет. Те се съотнасят към насочените към управлението роли на агенти.

Още едно указание: наред с GDPR, германският TDDDG (защита на данните в далекосъобщенията и телемедиите) също може да се прилага за далекосъобщения и крайно оборудване. Струва си да се знае, без да претоварва картината.

Преглед за DACH: допълнителни правила в Австрия (DSG) и Швейцария (revDSG)

Никой конкурент не предлага истинска широта за DACH, затова ето ясната добавена стойност за австрийски и швейцарски читатели.

Австрия. GDPR се прилага директно, допълнен от австрийския Закон за защита на данните (DSG). Надзорният орган е Datenschutzbehörde. Наказателната защита срещу тайно записване съществува аналогично, а обозначаването на AI и изискването за споразумение за обработка на данни се прилагат по същия начин.

Швейцария. Швейцария не е член на ЕС. Прилага се преработеният Закон за защита на данните (revDSG, в сила от 1 септември 2023 г.) — сходни принципи на прозрачност, пропорционалност и възложена обработка, но със собствена терминология и без таваните на глобите на GDPR. От гледна точка на ЕС трансферите към Швейцария са обхванати от решение за адекватност.

Практическата последица: ако сте с хостинг в ЕС и GDPR съвместими, по принцип удовлетворявате и австрийския DSG, и сте на сигурна страна за швейцарския revDSG. Един общ стандарт покрива целия DACH. Hanc.AI например е изрично изграден за GDPR, австрийския DSG и швейцарския revDSG — една настройка за целия регион.

Бележка за Регламента за ИИ на ЕС: той се прилага директно в целия ЕС, включително Австрия. Швейцария се съобразява с него, но не е директно обвързана — но прозрачността остава добра практика. За техническите основи вижте прегледа на сигурността.

Често задавани въпроси

GDPR съвместим ли е AI телефонният агент? Да, когато е внедрен правилно. Това означава валидно правно основание по чл. 6, прозрачно уведомяване на обаждащия се, споразумение за обработка на данни, хостинг в ЕС и съгласие там, където записвате или транскрибирате. Съответствието е резултат от вашата настройка, а не фиксирано свойство на софтуера.

Трябва ли да казвам на обаждащите се, че разговарят с AI? Да. Задължението за прозрачност по чл. 50 от Регламента за ИИ на ЕС (от 2 август 2026 г.) и чл. 13 от GDPR изискват ясно уведомление в началото на разговора. Кратко изговорено съобщение, което идентифицира агента като AI, с препратка към вашата политика за поверителност, е достатъчно.

Кога GDPR се прилага за AI системи? В момента, в който се обработват лични данни — което при телефонни разговори е практически винаги. Само телефонният номер е личните данни, а изговореното запитване обикновено също. Етикетът „AI“ не променя този праг; прилагат се същите правила както за всеки друг инструмент.

Кои AI системи са GDPR съвместими? Тези с хостинг в ЕС, налично споразумение за обработка на данни, настройки по подразбиране за минимизиране на данните и договорно изключване на използването на вашите данни за обучение на модели. Използвайте списъка за проверка на доставчици по-горе — хостингът, споразумението, настройките по подразбиране и изключването на обучението решават, а не маркетинговото твърдение.

Мога ли да записвам телефонни разговори с AI? Само с предварително съгласие. Тайното записване е престъпление по § 201 от Наказателния кодекс. Безопасният подход е активно съгласие — изговорено „да“ или натискане на DTMF клавиш — което освен това може да бъде записано в журнал. За повечето случаи на рецепция резюме вместо пълно аудио изцяло избягва проблема.

Гласът биометрични данни ли е? Не автоматично. Гласов запис става биометрични данни по чл. 9 само когато е умишлено обработен, за да идентифицира еднозначно дадено лице — гласов отпечатък или удостоверяване на говорещия. Обикновено преобразуване на реч в текст, за да се разбере запитването, без намерение за идентификация, по правило не задейства чл. 9.

Нужна ли ми е DPIA? Обикновено не за прост асистент на рецепция. Оценка на въздействието върху защитата на данните се задейства от фактори като профилиране, анализ на настроението, биометрия или широкомащабен обхват. Ако вашата настройка включва такива, извършете DPIA и, където се изисква, предварителна консултация по чл. 36.

Разрешени ли са доставчици от САЩ? Само с механизъм за трансфер — Рамката за поверителност на данните ЕС–САЩ или Стандартните договорни клаузи плюс оценка на въздействието на трансфера. Най-простият и безопасен път е доставчик с хостинг в ЕС, който изцяло премахва въпроса за трета държава.

Заключение: съвместимите AI обаждания са за това как, а не дали

AI телефонен агент е разрешен и практичен в Германия, Австрия и Швейцария. Това, което решава въпроса, е внедряването: стабилно правно основание, прозрачност по чл. 50, споразумение за обработка на данни, хостинг в ЕС, съгласие там, където записвате, и минимизиране на данните навсякъде.

Няма преувеличение в призива за действие. Със списъка за пускане в експлоатация и каталога за проверка на доставчици по-горе можете да постигнете съответствие в управляем срок. Ако искате да го видите на практика, създайте агент безплатно и сами тествайте настройка с хостинг в ЕС — без нужда от кредитна карта; детайлите за цените са на страницата с цени.

Едно последно уточнение: това е ориентация, а не правен съвет. При съмнение привлечете вашето длъжностно лице по защита на данните или юрист. И заключителна бележка за доверието — за пример на проверим оператор с хостинг в ЕС, Hanc.AI се управлява от Good Point GmbH във Виена (FN 618845t), потвърдимо на firmenbuch.at.

Свързани статии

Какво е AI телефонен агент? — основополагащото ръководство за ориентиране.
Колко струва AI телефонен агент? — единственото място с конкретни ценови данни.
AI телефонни агенти за лекарски кабинети — задълбоченият анализ за настройки, чувствителни към здравни данни.
Струва ли си AI телефонен агент за малкия бизнес? — разглеждане на честите възражения.
Денонощно AI обслужване на клиенти — постоянно покритие без нощен персонал.

AI телефонен асистент и GDPR: какво е законово допустимо (2026)

GDPR съвместим ли е AI телефонният агент? Краткият и дългият отговор

Кога GDPR се прилага за AI системи?

На какво правно основание може AI телефонен агент да обработва данни? (чл. 6 от GDPR)

Трябва ли да казвам на обаждащите се, че разговарят с AI? (чл. 50 от Регламента за ИИ на ЕС и чл. 13 от GDPR)