Kontaktcentret är just den typ av arbetsbelastning som ramverket för molnsuveränitet utformades för

Om man medvetet skulle utforma en arbetsbelastning som inte uppfyller kommissionens ramverk för molnsuveränitet, skulle man bygga ett modernt kontaktcenter. Röstinspelningar av kunder. PCI-data i betalningsflödet. Hälsorelaterad information på hälsolinjen. Uppgifter om förmåner på myndighetslinjen. Transkriptioner av varje samtal. AI-genererade sammanfattningar. Förslag på nästa bästa åtgärd, tränade på allt ovanstående.

Det är därför CC är den typ av arbetsbelastning där ramverket kommer att slå till först, och där de AI-funktioner som lagts till under de senaste två åren i tysthet har sänkt de poäng som tidigare räckte för att klara testet.

Hur CC-fastigheterna ser ut idag

En generalisering, men en användbar sådan.

• En molnbaserad CC-plattform med huvudkontor i USA, som är hostad i en EU-region och använder sina standardfunktioner för AI för transkription och sammanfattning, får betyget SEAL-1. Data kan visserligen finnas i Frankfurt, men modellinferensen och kundadministrationen sker inte där.
• Samma plattform, med AI-funktionerna inaktiverade och supporten hanterad av ett EU-baserat supportteam, övergår till SEAL-2.
• En EU-baserad CC-plattform, med förvaring av nycklar inom EU, EU-baserad inferens för tal- och text-AI samt en dokumenterad raderingsprocess, kan uppnå SEAL-3.
• SEAL-4 i CC är i stort sett en teoretisk lösning utanför myndigheternas kontaktcenter och kräver att hela systemet, inklusive telefoner och nätverksgränssnitt, står under EU:s kontroll.

De SOV-mål som väger tyngst i CC-poängsättningen

SOV-3, data och AI

CC genererar två dataströmmar som aldrig tidigare funnits i denna skala: fullständiga transkriptioner av samtal och modellgenererade sammanfattningar. Båda utgör personuppgifter. Många av dem tillhör särskilda kategorier av personuppgifter. Om någon av strömmarna bearbetas av en modell utanför EU har arbetsflödet just misslyckats med att uppfylla den strängaste tolkningen av SOV-3, oavsett var själva ljudfilen lagras.

Ramverket ställer fyra specifika krav:

• kundens kontroll över krypteringsnycklar,
• insyn i när och av vem uppgifterna hämtas,
• verifierbar radering,
• och EU:s kontroll över AI-processen.

De flesta AI-funktioner för textkorrigering i molntjänster har för närvarande brister i minst två av dessa avseenden.

SOV-2, rättsliga och jurisdiktionsmässiga frågor

Inspelningar och utskrifter är den vanligaste typen av bevismaterial som efterfrågas i tillsynsutredningar, arbetsrättsliga tvister och straffrättsliga förfaranden. Om en myndighet utanför EU kan tvinga fram tillgång via moderbolaget är risken inte bara teoretisk. För de flesta globala CC-plattformar är detta för närvarande fallet.

SOV-7, säkerhet och efterlevnad

Ramverket vill veta var SOC:en är belägen, vem som ansvarar för incidenthanteringen och enligt vilken lagstiftning processen för incidenthantering redovisas. Ett SOC som är i drift dygnet runt och som överlämnar ansvaret till ett team i USA eller Indien under natten kan inte betraktas som EU-kontrollerat.

SOV-4, i drift

CC är en affärskritisk plattform som fungerar i realtid. Om leverantören drar tillbaka sitt stöd eller ändrar sina affärsvillkor, kan systemet då drivas av EU-personal, med EU-dokumentation och på EU:s infrastruktur? För många stora installationer är det ärliga svaret idag nej.

AI-fällan, och hur man behåller värdet utan att tappa poäng

Den vanligaste inställningen bland CIO:er är att AI-funktioner är något som läggs till. Man aktiverar dem, drar nytta av produktivitetsvinsten och tar itu med frågan om suveränitet senare. Ramverket behandlar dem som en integrerad del av arbetsbelastningen. När AI-funktionen väl är aktiverad blir dess dataflöde en del av arbetsbelastningens dataflöde.

Det finns tre sätt att behålla AI-värdet samtidigt som man försvarar SEAL-poängen:

1. Kräv att varje AI-funktion endast baseras på data från EU. Om leverantören inte kan bekräfta detta skriftligen ska du inaktivera funktionen.
2. Separera träningsprocessen från inferensprocessen. Även om inferensen endast sker inom EU, behöver inte träningen på kunddata nödvändigtvis ske där. Båda måste omfattas av tillämpningsområdet.
3. Logga varje AI-interaktion på samma sätt som du loggar varje interaktion med en mänsklig handläggare. Spårbarhet är ett SOV-3-kriterium. Leverantörer som inte kan tillhandahålla en granskningslogg för varje AI-samtal får låga poäng enligt ramverket.

Här är ett utmärkt exempel. En kundbas inom detaljhandeln såg ut att vara hostad inom EU och hade klarat en översiktlig granskning av SecNumCloud. Vid en noggrann genomläsning av AI-funktionerna visade det sig att transkriptioner skickades till en sammanfattningsmodell som var hostad i USA, och kunden hade ingen möjlighet att kontrollera nycklarna till dessa transkriptioner. Åtgärden bestod inte i ett byte av plattform. Det handlade istället om en omkonfigurering av AI-funktionerna, en ändring av inferensvägen och ett tillägg till avtalet. Arbetsbelastningen flyttades från SEAL-1 till SEAL-2 under ett kvartal.

Åtta frågor om CC som du bör ställa inför din nästa förnyelse

1. Var lagras de olika kategorierna av CC-data: ljud, transkription, handläggarens anteckningar, skärminspelning, AI-sammanfattning och CRM-uppdatering?
2. Vilka AI-funktioner är aktiverade, på vilken infrastruktur, i vilken jurisdiktion och enligt vems avtal?
3. Används kundinnehåll någonsin för att träna, finjustera eller utvärdera en modell, och kan vi välja bort detta genom att lägga fram bevis?
4. Vem förfogar över krypteringsnycklarna, och kan vi själva förfoga över dem, per datakategori?
5. Vilka bevis finns det för att uppgifterna i respektive datakategori har raderats, och hur verifieras detta?
6. Var är SOC beläget, och vem ansvarar för incidenthanteringsprocessen?
7. Hur ser den exakta uppdelningen ut för varje supportnivå, och vilka uppgifter har respektive nivå tillgång till?
8. Hur ser utträdesprocessen ut om suveränitetsläget försämras under avtalets giltighetstid, och vad kostar ett sådant utträde idag?

Vad detta innebär för köpare

Kundtjänsten är det arbetsområde där SEAL-poängen syns tydligast för tillsynsmyndigheter, kunder och pressen, och där AI-funktioner i det tysta sänker ditt betyg mellan förnyelserna. Vänta inte på att anbudshandlingarna ska hinna ikapp. Utvärdera din kundtjänstmiljö utifrån ramverket redan nu och använd bristerna som utgångspunkt för nästa affärssamtal med din leverantör.

Damovo har sitt huvudkontor i EU, bedriver sin verksamhet inom EU och är uppbyggt på ett sätt som gör att vi kan utvärderas utifrån ramverket, snarare än att inta en defensiv hållning gentemot det. Vi mäter våra egna SEAL-positioner per verksamhetsområde, accepterar omvärdering under avtalets löptid och betraktar ramverket som den typ av avtalsvillkor som vi själva skulle vilja se på den andra sidan av förhandlingsbordet.