Guillem Alsina Gonzàlez
Uma das tarefas mais tediosas que pode existir num escritório é, talvez, ter de redigir a ata de uma reunião a partir da sua gravação, algo que, felizmente, a inteligência artificial está a eliminar graças às aplicações de tomada de notas e resumo automático.
Os notetakers começaram por simular mais um assistente que se ligava à sala de videoconferência para acompanhar a reunião e, agora, já estão integrados na maioria das plataformas de videoconferência, além de estarem disponíveis como utilitários independentes, como, por exemplo, MeetGeek, ClickUp ou Krisp.
A sua presença tornou-se normal em ambientes de colaboração, mas o seu impacto para a organização que os adota transcende o técnico, pois pode afetar a segurança, as operações, a reputação e a estratégia, conforme explicam na Dark Reading os autores Gadi Evron (fundador e CEO da Knostic) e Joe Sullivan (CEO da Ukraine Friends e também CEO da Joe Sullivan Security LLC), ambos especialistas em cibersegurança.
Se operarem como serviços externos à margem dos sistemas internos, o risco aumenta, uma vez que ninguém na organização pode garantir que as transcrições sejam sempre geridas de forma adequada, ou acabem alojadas em serviços de terceiros que não cumprem as normas mínimas legais nem de cibersegurança.
Precisamente, a exposição do armazenamento na nuvem é um vetor central para os ataques: abundam fornecedores sem SOC 2, sem alinhamento com o GDPR e sem encriptação sólida, e é difícil controlar que nenhum deles seja selecionado pela empresa que coloca o bot de transcrição para armazenar as transcrições.
A isso se soma a fragilidade de alguns fornecedores de menor porte: se o produto for retirado ou mudar de mãos, a empresa pode ficar sem suporte e com dados sensíveis para gerenciar, como aconteceu com o fechamento da Novacy, explicado no artigo.
A adoção dessas ferramentas se espalha facilmente por meio de convites entre utilizadores; no artigo da Dark Reading, os autores explicam o caso de uma organização que chegou a detetar cerca de 800 contas em 90 dias por “invite sprawl”.
Muitas ferramentas não mostram claramente que estão em funcionamento, o que resulta em gravações não comunicadas. Em jurisdições que exigem o consentimento explícito de todos os participantes, a falta de aviso ou aprovação constitui uma violação e as transcrições já estão a aparecer em litígios. Alguns contratos transferem para o cliente a responsabilidade de obter o consentimento e incluem cláusulas de indemnização que transferem o risco.
A proteção exige um processo integral que abarca políticas, programas e todo o ciclo de vida da reunião, desde a convocatória até ao arquivo. É conveniente estabelecer um processo de aprovação para o uso de notetakers e exigir uma cópia quando clientes ou parceiros desejarem gravar os seus próprios funcionários. É necessário definir quem pode ativá-los, em que tipos de reuniões são permitidos, como as transcrições são armazenadas e retidas e como o acesso é auditado.
Não devem ser utilizados notetakers em sessões de estratégia jurídica, investigações de RH, avaliações de desempenho ou chamadas protegidas por privilégio profissional, e deve sempre haver uma revisão humana que contraste alucinações, omissões e possíveis vieses por “direção do registro”.
Na contratação, é fundamental rever e negociar a não utilização dos dados para formação, bem como as cláusulas de consentimento e indemnização.
Paralelamente, a política de compras e a gestão de riscos de terceiros devem ser atualizadas para cobrir resumidores e anotadores de IA, com monitorização e aplicação de configurações (retenção, encriptação) e de utilização (consentimento, entrada de anotadores externos).
A coordenação com a área jurídica permite alinhar os controlos com os requisitos de consentimento, as normas de privacidade e as obrigações contratuais e incorporar esses riscos no quadro global de gestão de riscos empresariais.
Na operação de cada reunião, convém validar se a tomada automática de notas é apropriada, confirmar que apenas são utilizadas ferramentas aprovadas e comunicar os requisitos de consentimento com antecedência. Também é recomendável tornar visível a presença do notetaker, utilizar uma linguagem padrão de aviso, monitorizar comportamentos de «direção do registo», aplicar retenção e controlos de acesso rigorosos após a reunião, armazenar as transcrições em sistemas aprovados pela empresa e definir claramente quem fecha e valida a ata final.
É importante ter em conta que, de acordo com os autores do artigo, quando os resumos gerados por IA são assumidos como registo «oficial», os participantes tendem a modular o seu discurso para que conste na transcrição, o que introduz um risco de governação ao dar prioridade à influência sobre o consenso.
Os notetakers reproduzem padrões conhecidos de BYOD (Bring Your Own Device) e “shadow SaaS”, com duas diferenças relevantes: maior exposição legal e contratos que transferem o risco para o cliente, além da fragilidade do fornecedor. Estabelecer regras agora evita que as transcrições acabem como prova em um litígio ou que a organização acumule contas não controladas que transformem a agenda em um “campo de bots”.
