AI agent, GDPR και ηχογράφηση κλήσεων: τι ισχύει για μια ελληνική επιχείρηση

Τι ισχύει για την ηχογράφηση κλήσεων στην Ελλάδα;

Ο βασικός κανόνας είναι το απόρρητο των επικοινωνιών. Το άρθρο 4 παρ. 3 του ν. 3471/2006 επιτρέπει την καταγραφή συνδιαλέξεων όταν γίνεται κατά τη νόμιμη επαγγελματική πρακτική, για την απόδειξη εμπορικής συναλλαγής ή άλλης επαγγελματικής επικοινωνίας.

Σύμφωνα με την ΑΠΔΠΧ, η εξαίρεση ερμηνεύεται περιοριστικά: η καταγραφή είναι επιτρεπτή όταν είναι αναγκαία για να αποδειχθεί ότι μια συγκεκριμένη συνομιλία έγινε και είχε συγκεκριμένο περιεχόμενο, όχι γενικά σε κάθε επαγγελματική επικοινωνία. Ο νόμος μιλά για συγκατάθεση μετά από ενημέρωση, ενώ η Αρχή αναφέρει ότι, όπου η καταγραφή είναι νόμιμη, αρκεί η προηγούμενη ενημέρωση του μέρους που δεν είχε την πρωτοβουλία, και μπορεί να γίνει με ηχογραφημένο μήνυμα πριν ξεκινήσει η συνομιλία.

Το γνωστό «η κλήση καταγράφεται για λόγους ποιότητας» δεν είναι από μόνο του ασφαλής νομική βάση στην Ελλάδα. Ορίστε συγκεκριμένο σκοπό για κάθε ροή κλήσης και ζητήστε τη γνώμη του νομικού σας συμβούλου ή του DPO.

Η μεταγραφή και η περίληψη χρειάζονται επίσης προσοχή. Ακόμη και χωρίς αρχείο ήχου, περιέχουν προσωπικά δεδομένα και εφαρμόζεται ο ΓΚΠΔ. Το αν και πώς εφαρμόζεται το άρθρο 4 παρ. 3 σε μεταγραφές ενός AI agent είναι ζήτημα που αξίζει να εξετάσει ο νομικός σας σύμβουλος για τη δική σας χρήση.

Τι αλλάζει ο AI Act από τις 2 Αυγούστου 2026;

Το άρθρο 50 του AI Act ορίζει ότι τα συστήματα που αλληλεπιδρούν απευθείας με ανθρώπους σχεδιάζονται έτσι ώστε ο άνθρωπος να ενημερώνεται ότι μιλά με AI, εκτός αν αυτό είναι προφανές. Η ενημέρωση πρέπει να είναι σαφής και να δίνεται το αργότερο κατά την πρώτη αλληλεπίδραση.

Σύμφωνα με ανάλυση της Baker Botts, οι υποχρεώσεις έγιναν εφαρμοστέες στις 2 Αυγούστου 2026 και ο Κανονισμός (ΕΕ) 2026/1744 (Omnibus) δεν μετέθεσε αυτή την ημερομηνία. Μετέθεσε όμως τις απαιτήσεις για τα συστήματα υψηλού κινδύνου στον Δεκέμβριο του 2027. Το πρόστιμο για παραβίαση φτάνει τα 15 εκατ. ευρώ ή το 3% του παγκόσμιου τζίρου.

Η υποχρέωση του άρθρου 50 παρ. 1 βαρύνει τυπικά τον πάροχο του συστήματος. Στην πράξη όμως οι συμβάσεις των παρόχων συνήθως αναθέτουν τη διαμόρφωσή της στον πελάτη, και η φράση ακούγεται στη δική σας γραμμή, οπότε βεβαιωθείτε ότι υπάρχει και ότι δεν αφαιρέθηκε κατά την προσαρμογή του χαιρετισμού. Για παράδειγμα:

«Γεια σας, είμαι ο ψηφιακός βοηθός του ιατρείου, ένα σύστημα τεχνητής νοημοσύνης. Μπορώ να κλείσω ή να αλλάξω το ραντεβού σας, ή να σας συνδέσω με τη γραμματεία. Πώς μπορώ να βοηθήσω;»

Τι ισχύει για τον ΓΚΠΔ και ποιος ευθύνεται;

Στη συνηθισμένη διάταξη, η επιχείρησή σας είναι υπεύθυνη επεξεργασίας και ο πάροχος του agent εκτελών. Αυτό σημαίνει ότι η επιχείρηση αποφασίζει τον σκοπό και ενημερώνει τους πελάτες. Τα βασικά που χρειάζεστε:

• Σύμβαση επεξεργασίας (άρθρο 28 ΓΚΠΔ) με τον πάροχο, με σαφήνεια για υπεργολάβους και τόπο αποθήκευσης.
• Ενημέρωση (άρθρο 13 ΓΚΠΔ): ποιος επεξεργάζεται τα δεδομένα, γιατί, για πόσο, με ποια δικαιώματα. Η πολιτική απορρήτου πρέπει να αναφέρει τον agent.
• Χρόνος διατήρησης: ορίστε συγκεκριμένο χρόνο για ηχογραφήσεις και μεταγραφές, όχι «όσο χρειαστεί».
• Ελαχιστοποίηση: ο agent ζητά μόνο ό,τι χρειάζεται για τη δουλειά.
• Εκτίμηση αντικτύπου (DPIA): αξιολογήστε αν χρειάζεται, ειδικά αν ηχογραφείτε μεγάλο όγκο κλήσεων ή επεξεργάζεστε δεδομένα υγείας.

Τα ιατρεία θέλουν ιδιαίτερη προσοχή, γιατί τα δεδομένα υγείας ανήκουν στις ειδικές κατηγορίες του άρθρου 9 ΓΚΠΔ. Σχεδιάστε τον agent ώστε να κλείνει το ραντεβού χωρίς να ζητά περιγραφή συμπτωμάτων και να περνά σε άνθρωπο ό,τι αφορά την υγεία.

Ποιος κανόνας ισχύει για τις εξερχόμενες κλήσεις;

Το άρθρο 11 του ν. 3471/2006 ορίζει ότι οι αυτοματοποιημένες κλήσεις για απευθείας εμπορική προώθηση επιτρέπονται μόνο με προηγούμενη ρητή συγκατάθεση. Με την απόφαση 56/2021 η ΑΠΔΠΧ επέβαλε πρόστιμο 30.000€ σε εταιρεία που δεν μπορούσε να αποδείξει τη συγκατάθεση, τονίζοντας ότι ο κανόνας ισχύει και όταν ο αριθμός δεν είναι στο μητρώο όσων έχουν αρνηθεί τέτοιες κλήσεις.

Άρα ένας agent που καλεί μια λίστα για να προωθήσει προϊόντα χρειάζεται ρητή συγκατάθεση από κάθε παραλήπτη, με απόδειξη. Μια υπενθύμιση ραντεβού σε υπάρχοντα πελάτη είναι διαφορετική περίπτωση, αλλά το περιεχόμενό της πρέπει να μένει καθαρά ενημερωτικό.

Τι πρέπει να ελέγξετε πριν ανοίξετε τη γραμμή;

1. Ο χαιρετισμός λέει ότι ο συνομιλητής μιλά με σύστημα AI.
2. Η ηχογράφηση είναι κλειστή, εκτός αν έχετε γραπτό, συγκεκριμένο σκοπό.
3. Αν είναι ανοιχτή, το μήνυμα ενημέρωσης ακούγεται πριν από τη συνομιλία και αναφέρει τον σκοπό.
4. Έχετε ορίσει χρόνο διατήρησης για ήχο, μεταγραφές και περιλήψεις.
5. Υπάρχει υπογεγραμμένη σύμβαση επεξεργασίας με τον πάροχο.
6. Η πολιτική απορρήτου αναφέρει τον agent και τον πάροχο ή την κατηγορία του.
7. Ο agent δίνει εύκολα τη γραμμή σε άνθρωπο και δεν ζητά περιττά στοιχεία.
8. Δεν κάνει εξερχόμενες κλήσεις προώθησης χωρίς αποδεδειγμένη ρητή συγκατάθεση.
9. Τα στοιχεία παραγγελίας ή ραντεβού δίνονται μόνο μετά από επιβεβαίωση ταυτότητας.
10. Ο νομικός σύμβουλος ή ο DPO έχει δει τη ροή.

Στο HiNewton η ηχογράφηση είναι προαιρετική και ανοίγει ανά agent, με ενημέρωση του καλούντος πριν από τη συνομιλία, η κύρια φιλοξενία είναι εντός ΕΕ, ορισμένοι πάροχοι AI ενδέχεται να επεξεργάζονται δεδομένα εκτός ΕΟΧ με τις εγγυήσεις του ΓΚΠΔ, και λειτουργούμε ως εκτελών την επεξεργασία. Ο σκοπός και η νομική βάση παραμένουν απόφαση της επιχείρησής σας.

Το κείμενο είναι γενική ενημέρωση με βάση τις πηγές που αναφέρονται στις 31 Οκτωβρίου 2026 και δεν αποτελεί νομική συμβουλή.