GDPR i AI glasovni agenti: što restorani u EU moraju znati
AI telefonski agent snima glas, prepoznaje narudžbe i povezuje se s POS-om. Svaki od tih koraka je osobni podatak po GDPR-u. Evo što morate imati složeno prije nego što prvi poziv ide preko AI sustava — i zašto EU hosting nije samo marketing.
Andreas Juric je osnivač Stari Vuk AI Agency i od 2023. gradi Voice AI sustave za restorane u HR i DACH regiji.
Što točno GDPR smatra osobnim podatkom kod AI poziva
Glas je po mišljenju Europskog odbora za zaštitu podataka (EDPB) biometrijski podatak čim se koristi za identifikaciju osobe. Čak i ako ga ne koristite za identifikaciju, sam zvučni zapis i transkript su osobni podaci jer se mogu povezati s brojem telefona. To znači da čim AI digne slušalicu, obrađujete osobne podatke i morate imati pravnu osnovu.
Pravna osnova za većinu restorana je izvršenje ugovora (članak 6(1)(b) GDPR-a) — gost zove da naruči hranu i obrada je potrebna kako bi se narudžba isporučila. Za marketinške poruke ili analizu ponašanja trebate dodatno privolu, što je posebna priča.
Zašto EU hosting nije samo marketing nego nužnost
Ako AI model šalje zvuk ili transkript na servere izvan EU (npr. u SAD), automatski ulazite u zonu prijenosa podataka trećim zemljama. To po GDPR-u zahtijeva posebne mjere — standardne ugovorne klauzule, procjenu utjecaja, i obavijest gostu. Većina restorana nema ni vrijeme ni resurse za to.
Zato Restoran.team koristi isključivo EU hosting (Njemačka, Nizozemska, Hrvatska), EU modelske pružatelje i EU transkripciju. Podaci ne napuštaju EU ni u jednom trenutku. To je rješenje koje pravnicima štedi mjesece rada i daje gostu siguran osjećaj kad pita 'gdje idu moji podaci'.
Retencija — koliko dugo smijete čuvati snimke
GDPR članak 5(1)(e) zahtijeva da se podaci čuvaju samo onoliko koliko je nužno. Za telefonske narudžbe to znači dovoljno dugo da se narudžba isporuči i eventualno riješi prigovor — tipično 30 do 90 dana. Nakon toga snimke i transkripti se automatski brišu.
Izuzetak su računovodstveni zapisi (iznos, datum, PDV) koje hrvatski zakon traži čuvati i do 11 godina. Ali to nisu osobni podaci u smislu glasa — to su transakcijski podaci koje biste ionako imali u POS-u.
Obavještavanje gosta i transparentnost
Prvi put kad gost zove, AI mora jasno reći da razgovara s automatiziranim agentom. To je obvezno po EU AI Act-u koji je stupio na snagu 2024. Skrivanje činjenice da je s druge strane AI je kažnjivo i gubi povjerenje gosta čim to otkrije.
Druga stvar je obavijest o obradi — gost treba imati pristup politici privatnosti, informaciji koliko se čuva, kome se prenosi, i pravo na brisanje. Restoran.team automatski generira pravilnik za svakog klijenta i stavlja link u sve komunikacije.
DPIA — kada je potrebna procjena utjecaja
Procjena utjecaja na zaštitu podataka (DPIA) je obvezna kada obrada može dovesti do visokog rizika za prava pojedinaca. Za običan telefonski agent u restoranu to obično nije slučaj — obrada je minimalna, svrha jasna, podaci ne napuštaju EU.
DPIA postaje obvezna ako radite biometrijsku identifikaciju (npr. prepoznajete stalnog gosta po glasu), profiliranje za marketing, ili obradu na velikom razmjeru. Za pizzeriju s 200 poziva dnevno to nije slučaj. Za lanac s tisuću lokacija i CRM profiliranjem — jest.
Često postavljana pitanja
Moram li tražiti privolu za snimanje AI poziva?
Ne nužno. Za izvršenje narudžbe pravna osnova je ugovor, ne privola. Privolu trebate samo ako želite koristiti snimke za marketing, analitiku ili treniranje vlastitih modela izvan svrhe narudžbe.
Što ako gost traži brisanje svojih podataka?
Po članku 17 GDPR-a imate rok od 30 dana. Restoran.team ima automatski alat koji po broju telefona briše sve povezane snimke i transkripte jednim klikom.
Smije li AI prepoznati i pozdraviti stalnog gosta po imenu?
Samo ako taj gost ima povijest narudžbi u vašem POS-u i vi imate pravnu osnovu za CRM. Inače je to profiliranje koje zahtijeva privolu i DPIA.
Što s djecom koja zovu da naruče pizzu?
GDPR postavlja dobnu granicu za digitalne usluge na 16 (u HR 14). U praksi to rijetko dolazi na ispitivanje jer je obrada ograničena na izvršenje narudžbe, ali budite oprezni s marketingom prema mlađima.
Trebam li Data Protection Officer-a (DPO) zbog AI agenta?
Tipično ne. DPO je obvezan za velike obrade ili osjetljive kategorije. Mali i srednji restoran obično ga ne treba, ali se preporučuje imati kontakt osobu za zaštitu podataka.
Tko je voditelj obrade — mi ili Restoran.team?
Vi ste voditelj obrade (controller), Restoran.team je izvršitelj (processor). Potpisuje se ugovor o obradi (DPA) koji regulira sve obveze — to je standardni dio paketa.
Restoran.team — INDI vl. Monika Kunstek · Drašković 3 A-D, 42220 Novi Marof, Hrvatska · OIB: 66987567542