Due testi, e soltanto due
Quando un'IA risponde alle sue chiamate, si applicano due testi europei, che si completano senza sovrapporsi.
Il regolamento sull'intelligenza artificiale, detto AI Act, regolamento (UE) 2024/1689, riguarda il sistema di IA in sé: ciò che ha il diritto di fare, e ciò che le persone devono sapere quando vi hanno a che fare. È entrato in vigore il 1° agosto 2024 e si applica per gradi. Le pratiche vietate lo sono dal 2 febbraio 2025. Gli obblighi di trasparenza, quelli che la riguardano, si applicano dal 2 agosto 2026.
Il GDPR riguarda i dati: il nome, il numero, il motivo della chiamata, l'eventuale registrazione della voce. Si applica dal 2018, a tutti, IA o no. Non cambia perché la segretaria è un programma; si applica semplicemente a un trattamento in più.
Nessuno di questi testi vieta a una microimpresa di affidare il proprio telefono a un'IA. Fissano delle condizioni, e sono ragionevoli.
L'AI Act: dire che è un'IA
L'obbligo di trasparenza
L'articolo 50 del regolamento chiede che i sistemi di IA destinati a interagire direttamente con le persone siano progettati in modo che queste persone siano informate di interagire con un'IA, salvo che ciò risulti evidente per una persona ragionevolmente attenta, tenuto conto delle circostanze. Al telefono, nulla è evidente: una voce sintetica di oggi può passare per una voce umana. L'agente deve quindi dirlo, chiaramente, all'inizio della chiamata.
Questo obbligo ricade anzitutto sul fornitore del sistema, che deve progettarlo così. Riguarda anche lei, come utilizzatore: scelga un agente che si presenti come IA, e non lo configuri mai perché si faccia passare per un essere umano. Basta una frase, per esempio: «Studio Martin, buongiorno, sono l'assistente vocale dello studio, posso fissarle un appuntamento o prendere un messaggio.»
Cosa è vietato
L'articolo 5 vieta alcune pratiche, tra cui la manipolazione con tecniche subliminali o ingannevoli e lo sfruttamento delle vulnerabilità legate all'età o alla disabilità per distorcere un comportamento. Per un agente di segreteria, la regola pratica è semplice: l'agente informa, propone, fissa appuntamenti; non mette fretta, non insiste, non fa leva sulla paura o sull'urgenza per ottenere qualcosa. Il tono che gli dà conta.
Alto rischio o no?
Il regolamento riserva gli obblighi più pesanti ai sistemi «ad alto rischio», elencati nei suoi allegati: selezione del personale, concessione di credito, istruzione, gestione di infrastrutture critiche, giustizia, migrazione, tra gli altri. Un agente che fissa appuntamenti e prende messaggi per un artigiano, uno studio o un negozio non vi figura. Non deve quindi prevedere né valutazione di conformità né registrazione in una banca dati europea. Resti attento se gli affida altro, per esempio una preselezione telefonica di candidati: lì si cambia categoria.
Il GDPR: i suoi dati, i suoi obblighi
Chi è chi
Lei, l'azienda il cui telefono squilla, è titolare del trattamento: decide perché e come vengono trattate le chiamate. Il fornitore dell'agente vocale è il suo responsabile del trattamento: tratta i dati per suo conto, secondo le sue istruzioni. Questa ripartizione ha due conseguenze: lei deve poter giustificare ogni trattamento, e deve avere con il fornitore un contratto che lo vincoli, previsto dall'articolo 28 del GDPR. Questo contratto, spesso chiamato accordo sul trattamento dei dati (DPA), deve esistere prima della prima chiamata. Lo chieda, lo legga, lo conservi.
La base giuridica
Rispondere a una chiamata, annotare dei recapiti, fissare un appuntamento: questi trattamenti si basano sull'esecuzione del contratto con il cliente, o sul suo legittimo interesse a gestire la sua attività. Non ha bisogno di chiedere il consenso di chi chiama per rispondergli. Il consenso torna necessario per usi che vanno oltre la richiesta: inviare offerte commerciali, per esempio.
L'informativa ai chiamanti
È l'obbligo più visibile. Le persone devono sapere chi tratta i loro dati, perché, su quale base, chi li riceve, per quanto tempo vengono conservati e quali sono i loro diritti. Al telefono, la CNIL, l'autorità francese di protezione dei dati, ammette un'informativa in due tempi: una menzione breve durante la chiamata, e il dettaglio su un supporto accessibile, per esempio il suo sito. In concreto:
- l'agente indica all'inizio della chiamata di essere un'IA e, se è il caso, che la conversazione viene registrata o trascritta;
- una pagina del suo sito descrive il trattamento: finalità, fornitore, luogo di hosting, durata di conservazione, diritti e contatto;
- la sua segreteria telefonica, per le linee che ne mantengono una, rimanda a questa pagina.
La durata di conservazione
I dati non si conservano «per ogni evenienza». Fissi una durata per ogni tipo di dato: il riepilogo di una chiamata, l'appuntamento in agenda, la registrazione audio se esiste. La durata giusta è quella che serve la finalità: gestire la richiesta, onorare l'appuntamento, gestire un reclamo. La CNIL, l'autorità francese di protezione dei dati, pubblica riferimenti sulle durate, e il suo registro dei trattamenti deve indicare quella che lei ha scelto. Il suo fornitore deve applicarla, o permetterle di applicarla.
La registrazione delle conversazioni
Trascrivere una chiamata per ricavarne un riepilogo e conservare l'audio sono due cose diverse. La registrazione audio non è necessaria perché un agente funzioni. Se la pratica, per esempio per verificare la qualità delle risposte all'inizio, la CNIL, l'autorità francese di protezione dei dati, impone di informarne le persone, di permettere loro di opporsi, di limitare la durata di conservazione e di restringere l'accesso alle registrazioni. Se non le serve, la disattivi: è l'impostazione più semplice da difendere.
I diritti delle persone
Chi chiama può chiedere quali dati lei detiene su di lui, chiederne la rettifica o la cancellazione, opporsi a determinati trattamenti. Preveda come risponderà: dove si trovano i riepiloghi, chi può cancellarli, entro quale termine. Un mese è il termine di riferimento per rispondere.
Sicurezza e hosting
Deve proteggere i dati, e scegliere un responsabile del trattamento che li protegga. Chieda dove sono ospitati, da chi e come vengono cifrati. Un hosting in Francia o nell'Unione europea evita le questioni di trasferimento fuori dall'UE, che altrimenti richiedono garanzie particolari. Se dei sub-responsabili del suo fornitore, per esempio un fornitore di modelli linguistici, si trovano fuori dall'UE, il contratto deve dirlo e regolarlo.
Il caso particolare dei dati sanitari
Uno studio medico, dentistico, di fisioterapia o di logopedia raccoglie, fin dalla prenotazione dell'appuntamento, informazioni che riguardano la salute: il motivo della visita, a volte il nome di uno specialista. Questi dati sono «particolari» ai sensi del GDPR, e il loro hosting per conto di un professionista sanitario è riservato, in Francia, ai fornitori certificati HDS. Prima di ogni altro criterio, verifichi che il suo fornitore ospiti i dati presso un fornitore di questo tipo, e gli chieda di scriverlo nel contratto.
Tre regole di buon senso completano la certificazione:
- l'agente fissa l'appuntamento e raccoglie le informazioni pratiche, mai un parere medico;
- non conferma a terzi né che una persona è paziente dello studio, né il motivo di una visita;
- il professionista ha l'ultima parola su ciò che viene annotato e trasmesso.
La guida «segretaria medica o IA» descrive l'organizzazione di uno studio con un agente vocale, e la guida completa alla segreteria telefonica con IA inquadra tutto questo nella configurazione.
Il segreto professionale
Avvocati, notai, commercialisti, professionisti sanitari: il segreto professionale non si ferma all'accoglienza telefonica. L'agente deve essere impostato per non confermare mai l'esistenza di una pratica, di un cliente o di un appuntamento a qualcuno che non sia la persona interessata, e per prendere un messaggio anziché rispondere quando ha un dubbio. Questa impostazione si fa nella scheda attività, e va testata: chiami fingendosi un terzo e verifichi cosa risponde l'agente.
La lista di controllo, in dieci punti
- L'agente si presenta come un'IA all'inizio di ogni chiamata.
- Non è mai impostato per farsi passare per un essere umano.
- Il suo sito contiene una pagina informativa sul trattamento delle chiamate, con il nome del fornitore.
- Con il fornitore è firmato un contratto di trattamento dei dati conforme all'articolo 28.
- Sa dove sono ospitati i dati, e da chi.
- Le durate di conservazione sono fissate, scritte e applicate.
- La registrazione audio è disattivata, oppure regolamentata se è attivata.
- Il trattamento figura nel suo registro delle attività di trattamento.
- Sa come rispondere a una richiesta di accesso o di cancellazione.
- Per la sanità: hosting certificato HDS (obbligatorio in Francia), nessun parere medico, nessuna conferma a terzi.
Cosa fa Sayelo
Abbiamo progettato l'agente perché queste regole siano rispettate per impostazione predefinita: l'IA viene annunciata all'inizio di ogni chiamata, i dati sono ospitati in Francia presso un fornitore certificato HDS, un accordo sul trattamento dei dati viene fornito a ogni cliente. I numeri e la telefonia sono forniti da un operatore partner registrato presso l'ARCEP (l'autorità francese di regolamentazione delle telecomunicazioni). L'impostazione del segreto, delle durate e della registrazione resta nelle sue mani, perché è il suo trattamento. La pagina sicurezza e GDPR descrive i dettagli, e la guida tecnica spiega da dove passano i dati durante una chiamata.
