Het contactcentrum is precies de werklast waarvoor het Cloud Sovereignty Framework is ontwikkeld

Als je een workload zou ontwerpen die erop gericht is om opzettelijk niet te voldoen aan het Cloud Sovereignty Framework van de Commissie, dan zou je een modern contactcentrum opzetten. Spraakopnames van klanten. PCI-gegevens in het betalingsproces. Gezondheidsgerelateerde informatie via de gezondheidslijn. Gegevens over uitkeringen via de overheidslijn. Transcripties van elk gesprek. Door AI gegenereerde samenvattingen. Aanbevelingen voor de ‘next-best-action’, getraind op basis van al het bovenstaande.

Daarom is CC de werkbelasting waarbij het framework als eerste zijn tanden laat zien, en waarbij de AI-functies die de afgelopen twee jaar zijn toegevoegd stilletjes de scores hebben aangepast die voorheen nog voldeden.

De huidige stand van zaken bij CC-landgoederen

Een generalisatie, maar wel een nuttige.

• Een cloud-gebaseerd CC-platform met hoofdkantoor in de VS, dat wordt gehost in een EU-regio en gebruikmaakt van de standaard AI-functies voor transcriptie en samenvatting, krijgt de score SEAL-1. De gegevens bevinden zich weliswaar in Frankfurt, maar de modelinferentie en het beheer van de tenants vinden daar niet plaats.
• Hetzelfde platform, waarbij de AI-functies zijn uitgeschakeld en de ondersteuning wordt verzorgd door een EU-leveringsteam, wordt overgeheveld naar SEAL-2.
• Een in de EU gevestigd CC-platform, met opslag van sleutels binnen de EU, EU-interferentie voor spraak- en tekst-AI en een gedocumenteerd verwijderingsproces, kan aan SEAL-3 voldoen.
• SEAL-4 in CC is buiten de contactcentra van de overheid grotendeels theoretisch en vereist dat de volledige stack, inclusief handsets en de netwerkrand, onder EU-controle staat.

De SOV-doelstellingen die bepalend zijn voor de CC-score

SOV-3, gegevens en AI

CC genereert twee gegevensstromen die op deze schaal nog nooit eerder hebben bestaan: volledige transcripties van gesprekken en door modellen gegenereerde samenvattingen. Beide zijn persoonsgegevens. Veel daarvan behoren tot de bijzondere categorieën van persoonsgegevens. Als een van beide gegevensstromen wordt verwerkt door een model buiten de EU, voldoet de verwerking niet aan de strengste interpretatie van SOV-3, ongeacht waar het audiobestand zelf is opgeslagen.

Het kader stelt vier specifieke eisen:

• controle door de klant over de versleutelingssleutels,
• inzicht in wanneer en door wie er toegang tot gegevens wordt verkregen,
• aantoonbare verwijdering,
• en de controle van de EU over de AI-pijplijn.

De meeste AI-functies voor cloud-gebaseerde CC schieten momenteel op ten minste twee van deze punten tekort.

SOV-2, juridische en bevoegdheidskwesties

Opnames en transcripties zijn veruit het meest gevraagde bewijsmateriaal bij toezichtsonderzoeken, arbeidsgeschillen en strafrechtelijke procedures. Als een autoriteit buiten de EU via de moedermaatschappij toegang kan afdwingen, is het risico geen theoretische aangelegenheid. Voor de meeste wereldwijde CC-platforms is dit momenteel het geval.

SOV-7, beveiliging en naleving

Het raamwerk wil weten waar het SOC is gevestigd, wie de incidentrespons coördineert en onder welke wetgeving het incidentresponsproces wordt geregeld. Een 24/7 ‘follow-the-sun’-SOC dat ’s nachts de taken overdraagt aan een team in de VS of India, kan niet worden aangemerkt als onder EU-toezicht staand.

SOV-4, operationeel

CC is een bedrijfskritisch realtimeplatform. Als de leverancier de ondersteuning intrekt of de commerciële voorwaarden wijzigt, kan het systeem dan door EU-personeel worden beheerd, met EU-documentatie en op EU-infrastructuur? Voor veel grote implementaties is het eerlijke antwoord op dit moment ‘nee’.

De AI-valkuil, en hoe je de waarde behoudt zonder punten te verliezen

Het verhaal dat de meeste CIO’s zichzelf wijsmaken, is dat AI-functies een aanvulling vormen. Schakel ze in, profiteer van de productiviteitswinst en maak je later maar zorgen over soevereiniteit. Het raamwerk behandelt ze alsof ze een integraal onderdeel van de workload zijn. Zodra de AI-functie is ingeschakeld, maakt de gegevensstroom ervan deel uit van de gegevensstroom van de workload.

Er zijn drie manieren om de AI-waarde te behouden en tegelijkertijd de SEAL-score te verdedigen:

1. Sta erop dat elke AI-functie uitsluitend op EU-gegevens is gebaseerd. Als de leverancier dit niet schriftelijk kan toezeggen, schakel de functie dan uit.
2. Scheid de trainingspijplijn van de inferentiepijplijn. Zelfs als de inferentie uitsluitend binnen de EU plaatsvindt, geldt dat mogelijk niet voor de training op basis van klantgegevens. Voor beide moet het toepassingsgebied worden afgebakend.
3. Registreer elke interactie met AI op dezelfde manier als elke interactie met een menselijke medewerker. Controleerbaarheid is een SOV-3-criterium. Leveranciers die geen AI-auditlogboek per gesprek kunnen overleggen, scoren slecht binnen het raamwerk.

Hier is een mooi voorbeeld. Een CC-omgeving voor de detailhandel leek in de EU te zijn gehost en had een ‘light-touch’-beoordeling van SecNumCloud doorstaan. Bij nadere bestudering van de AI-functies bleek dat transcripties werden verzonden naar een in de VS gehost samenvattingsmodel, en dat de klant geen mogelijkheid had om de sleutels voor die transcripties in eigen beheer te houden. De oplossing bestond niet uit een platformwissel. Het betrof een herconfiguratie van de AI-functies, een wijziging van de inferentieroute en een aanvulling op het contract. De workload werd binnen een kwartaal verplaatst van SEAL-1 naar SEAL-2.

Acht vragen van CC die je moet stellen vóór je volgende verlenging

1. Waar worden alle soorten CC-gegevens opgeslagen: audio, transcriptie, aantekeningen van medewerkers, schermopnames, AI-samenvattingen en CRM-updates?
2. Welke AI-functies zijn ingeschakeld, op welke infrastructuur, in welk rechtsgebied en op basis van wiens contract?
3. Wordt content van klanten wel eens gebruikt om een model te trainen, te verfijnen of te evalueren, en kunnen we ons hiertegen verzetten door bewijs aan te voeren?
4. Wie beheert de versleutelingssleutels, en kunnen we die per gegevenscategorie zelf beheren?
5. Wat is het bewijs van verwijdering voor elke gegevenscategorie, en hoe wordt dit gecontroleerd?
6. Waar is de SOC gevestigd en wie leidt het incidentresponsproces?
7. Wat is de precieze indeling van elk ondersteuningsniveau, en welke gegevens zijn voor elk niveau zichtbaar?
8. Hoe verloopt het uittredingsproces als de soevereiniteitspositie tijdens de looptijd van het contract verslechtert, en wat zijn de kosten van die uittreding op dit moment?

Wat dit voor kopers betekent

CC is het werkgebied waar de SEAL-score het meest in het oog springt bij toezichthouders, klanten en de pers, en waar AI-functies je tussen twee verlengingen door stilletjes een lagere score geven. Wacht niet tot de aanbestedingsdocumenten hierop zijn aangepast. Beoordeel je CC-omgeving nu aan de hand van het raamwerk en gebruik de tekortkomingen als agendapunt voor het volgende zakelijke gesprek met je leverancier.

Damovo heeft zijn hoofdkantoor in de EU, wordt vanuit de EU geleid en is zo gestructureerd dat het zich aan het raamwerk laat toetsen in plaats van zich ertegen te verzetten. We meten onze eigen SEAL-posities per praktijkgebied, we staan herbeoordeling tijdens de looptijd van het contract toe en we beschouwen het raamwerk als de contractbepalingen die we zelf zouden willen zien als we aan de andere kant van de onderhandelingstafel zouden zitten.