AI receptionist and the law.
What you need to know.
EU AI Act Art. 50 takes effect in August 2026. But good practice is worth implementing today. ZvonAI is designed in compliance with this regulation from day one.
Art. 50
EU AI Act: disclosure obligation
Art. 9
GDPR: medical data
Art. 17
GDPR: right to erasure
What does EU AI Act Art. 50 say?
Regulation 2024/1689, Art. 50(1) (working translation):
"Operators of AI systems intended to interact directly with natural persons shall design and deploy those systems in such a way that natural persons are informed that they are interacting with an AI system, unless this is obvious to a reasonably well-informed, attentive and prudent natural person given the context and the circumstances."
What does this mean in practice for a clinic?
- A client calling your clinic MUST be informed they are speaking with AI. Even if the AI sounds very natural.
- The obligation applies to any AI system conducting voice or text conversations with clients.
- Failure to disclose can result in an administrative fine of up to €15 million or 3% of global annual turnover.
- The regulation applies directly: no transposition into national law is required.
GDPR and medical data: what does this mean for a dentist or doctor?
A conversation with a patient about an appointment, symptoms or treatment history is special category data under GDPR Art. 9. A general consent is not enough. A specific legal basis is required.
Data processing agreement (DPA)
ZvonAI is a data processor: it processes data only on your behalf. We sign a DPA during onboarding. Without a DPA, using any AI to process patient data is non-compliant with GDPR Art. 28.
Legal basis: healthcare
GDPR Art. 9(2)(h) permits processing medical data for healthcare or treatment purposes. Booking appointments and answering health questions falls under this basis. No separate patient consent is required.
Data within EU borders
Recordings, transcripts and the database are on Google Cloud servers in the europe-central2 region (Warsaw). Speech recognition runs in an EU region. The language model and voice synthesis also run outside the EEA, under Standard Contractual Clauses. The data processing agreement lists every provider and where it processes data.
Your obligation: entry in the Records of Processing Activities
As data controller, the clinic must record the use of ZvonAI in the Records of Processing Activities (RPA). We can provide a template entry on request.
Full list of requirements and how ZvonAI meets them
| Regulation | Requirement | How ZvonAI complies | Status |
|---|---|---|---|
| EU AI Act Art. 50(1) | AI identity disclosure | Every call starts with: '...AI assistant [name]'. Cannot be disabled. | Compliant |
| EU AI Act Art. 13 | AI system transparency | Technical documentation available on request. Model provider (Google Gemini) is identified in the DPA. | Compliant |
| GDPR Art. 6(1) | Legal basis for processing | Contract (appointment booking) or caller's consent. Choice of basis rests with the clinic owner. | Compliant |
| GDPR Art. 9 | Special category data (medical data) | Data processing agreement with ZvonAI. Data processed solely for appointment management (Art. 9(2)(h)). | Compliant |
| GDPR Art. 17 | Right to erasure | The dashboard allows deletion of a single call transcript or all data for a caller with one click. | Compliant |
| GDPR Art. 28 | Data processing agreement (DPA) | ZvonAI signs a DPA with every client during onboarding. The DPA template is available at /umowa-powierzenia-danych. | Compliant |
| GDPR Art. 5(1)(e) | Storage limitation | Transcripts deleted automatically after 90 days. Configurable up to 20 years for medical records. | Compliant |
| Patient Rights Act Art. 25 | Medical documentation | Call records can be included in medical documentation subject to statutory conditions. Requires separate legal assessment. | Requires assessment |
* This does not constitute legal advice. For data protection matters we recommend consulting a legal counsel or data protection officer (DPO).
What most AI solutions on the market are missing
- ✗No mandatory AI identity disclosure. A violation of Art. 50 right now.
- ✗Infrastructure outside the EU (servers in the US, Asia). Problematic for medical data.
- ✗No data processing agreement template. Clients must arrange their own DPA.
- ✗No mechanism for erasing data on request. A violation of GDPR Art. 17.
- ✗Recording calls without a consent gate. Potential regulatory violation.
Frequently asked questions: law and AI
Czy AI recepcjonistka musi informować klienta, że to AI?
Tak, bezwzględnie. EU AI Act Art. 50 ust. 1 (Rozporządzenie 2024/1689) nakłada na operatorów systemów AI wchodzących w interakcję głosową z ludźmi obowiązek poinformowania osoby fizycznej, że rozmawiają z AI. Chyba że jest to oczywiste z kontekstu. Dla telefonicznych AI recepcjonistek obowiązek ten jest bezwarunkowy.
Jak ZvonAI spełnia EU AI Act Art. 50?
ZvonAI automatycznie informuje każdego rozmówcę na początku połączenia, że rozmawia z asystentem AI. Komunikat brzmi: 'Dzień dobry, tutaj asystent AI [nazwa gabinetu]. Chętnie pomogę.' Ujawnienie jest obowiązkowe i nie można go wyłączyć w konfiguracji.
Czy AI recepcjonistka w gabinecie dentystycznym musi spełniać RODO Art. 9?
Tak. Dane medyczne (terminy wizyt, informacje o zdrowiu) to dane szczególnej kategorii objęte RODO Art. 9. Wymagana jest podstawa prawna przetwarzania (Art. 9 ust. 2 lit. h. Opieka zdrowotna) oraz umowa powierzenia przetwarzania z ZvonAI jako procesorem danych.
Czy nagranie rozmowy przez AI jest legalne bez zgody rozmówcy?
Prawo polskie (Ustawa o ochronie danych osobowych + RODO) wymaga podstawy prawnej do nagrywania. Najczęściej stosowana podstawa to zgoda (Art. 6 ust. 1 lit. a). ZvonAI implementuje bramkę zgody. AI pyta klienta, czy wyraża zgodę na nagranie przed jego uruchomieniem. Odmowa nie przerywa rozmowy, jedynie wyłącza nagranie.
Jak długo można przechowywać transkrypcje rozmów AI?
RODO wymaga ograniczenia przechowywania danych do niezbędnego minimum. ZvonAI domyślnie usuwa transkrypcje po 90 dniach. Gabinety medyczne mogą wydłużyć ten okres do 20 lat (zgodnie z ustawą o dokumentacji medycznej), jednak wymaga to oddzielnej podstawy prawnej i powinno być udokumentowane w Rejestrze Czynności Przetwarzania.
Czy ZvonAI jest klasyfikowany jako system wysokiego ryzyka wg EU AI Act?
Nie. ZvonAI to system AI do obsługi połączeń telefonicznych. Klasyfikowany jako system AI ogólnego zastosowania z obowiązkiem ujawnienia (Art. 50), nie jako system wysokiego ryzyka. Wysoki ryzyko dotyczy m.in. AI stosowanych do diagnozowania medycznego, oceny zdolności kredytowej lub rekrutacji. Recepcjonistka AI odbierająca telefony i umawiająca wizyty nie wchodzi w te kategorie.
Want to deploy AI legally and safely?
ZvonAI provides a DPA, a consent gate and complete compliance documentation. Join the waitlist. We'll get in touch to set everything up together.