Dois textos, e apenas dois
Quando uma IA atende as suas chamadas, aplicam-se dois textos europeus, que se complementam sem se sobreporem.
O regulamento sobre a inteligência artificial, conhecido como AI Act, Regulamento (UE) 2024/1689, ocupa-se do próprio sistema de IA: o que tem o direito de fazer e o que as pessoas devem saber quando lidam com ele. Entrou em vigor a 1 de agosto de 2024 e aplica-se por etapas. As práticas proibidas estão proibidas desde 2 de fevereiro de 2025. As obrigações de transparência, as que lhe dizem respeito, aplicam-se a partir de 2 de agosto de 2026.
O RGPD ocupa-se dos dados: o nome, o número, o motivo da chamada, a eventual gravação da voz. Aplica-se desde 2018, a todos, com ou sem IA. Não muda pelo facto de a secretária ser um programa; aplica-se simplesmente a mais um tratamento.
Nenhum destes textos proíbe uma microempresa de confiar o telefone a uma IA. Fixam condições, e são razoáveis.
O AI Act: dizer que é uma IA
A obrigação de transparência
O artigo 50.º do regulamento exige que os sistemas de IA concebidos para interagir diretamente com pessoas sejam concebidos de forma a que essas pessoas sejam informadas de que estão a interagir com uma IA, salvo se isso for óbvio para uma pessoa razoavelmente atenta, tendo em conta as circunstâncias. Ao telefone, nada é óbvio: uma voz sintética atual pode passar por uma voz humana. O agente tem, portanto, de o dizer, claramente, no início da chamada.
Esta obrigação recai primeiro sobre o fornecedor do sistema, que o deve conceber assim. Também lhe diz respeito a si, enquanto utilizador: escolha um agente que se anuncie e nunca o configure para se fazer passar por um humano. Basta uma frase, por exemplo: «Consultório Martin, bom dia, sou a assistente de voz do consultório, posso fazer a sua marcação ou anotar uma mensagem.»
O que é proibido
O artigo 5.º proíbe determinadas práticas, entre as quais a manipulação através de técnicas subliminares ou enganosas e a exploração de vulnerabilidades ligadas à idade ou à deficiência para distorcer um comportamento. Para um agente de secretariado, a regra prática é simples: o agente informa, propõe, faz marcações; não pressiona, não insiste, não joga com o medo ou a urgência para obter algo. O tom que lhe dá conta.
Risco elevado ou não?
O regulamento reserva as obrigações mais pesadas para os sistemas de «risco elevado», enumerados nos seus anexos: recrutamento, concessão de crédito, educação, gestão de infraestruturas críticas, justiça, migração, entre outros. Um agente que faz marcações e anota mensagens para um técnico, um consultório ou uma loja não consta dessa lista. Não tem, portanto, de prever avaliação da conformidade nem registo numa base de dados europeia. Mantenha-se atento se lhe confiar outra coisa, por exemplo uma pré-seleção de candidatos por telefone: aí, muda-se de categoria.
O RGPD: os seus dados, as suas obrigações
Quem é quem
Você, a empresa cujo telefone toca, é o responsável pelo tratamento: decide porquê e como as chamadas são tratadas. O prestador do agente de voz é o seu subcontratante: trata os dados por sua conta, segundo as suas instruções. Esta repartição tem duas consequências: tem de poder justificar cada tratamento, e tem de ter com o prestador um contrato que o vincule, previsto no artigo 28.º do RGPD. Este contrato, muitas vezes chamado acordo de tratamento de dados, tem de existir antes da primeira chamada. Peça-o, leia-o, guarde-o.
O fundamento de licitude
Atender uma chamada, anotar contactos, fazer uma marcação: estes tratamentos assentam na execução do contrato com o cliente ou no seu interesse legítimo em gerir a sua atividade. Não precisa de pedir o consentimento de quem liga para lhe responder. O consentimento volta a ser necessário para utilizações que vão além do pedido: enviar ofertas comerciais, por exemplo.
A informação a quem liga
É a obrigação mais visível. As pessoas devem saber quem trata os seus dados, porquê, com que fundamento, quem os recebe, durante quanto tempo são conservados e quais são os seus direitos. Ao telefone, a CNIL, a autoridade francesa de proteção de dados, admite uma informação em dois tempos: uma menção curta durante a chamada e o detalhe num suporte acessível, o seu site, por exemplo. Concretamente:
- o agente indica no início da chamada que é uma IA e, se for o caso, que a conversa é gravada ou transcrita;
- uma página do seu site descreve o tratamento: finalidade, prestador, local de alojamento, prazo de conservação, direitos e contacto;
- o seu atendedor de chamadas, nas linhas que ainda o têm, remete para essa página.
O prazo de conservação
Os dados não se guardam «para o caso de». Fixe um prazo para cada tipo de dado: o resumo de uma chamada, a marcação na agenda, a gravação áudio, se existir. O prazo certo é o que serve a finalidade: tratar o pedido, cumprir a marcação, gerir uma reclamação. Em França, a CNIL publica referências sobre os prazos, e o seu registo das atividades de tratamento deve mencionar o prazo que escolheu. O seu prestador deve aplicá-lo, ou permitir-lhe aplicá-lo.
A gravação das conversas
Transcrever uma chamada para tirar um resumo e conservar o áudio são duas coisas diferentes. A gravação áudio não é obrigatória para que um agente funcione. Se a praticar, por exemplo para verificar a qualidade das respostas no início, a CNIL, em França, exige que as pessoas sejam informadas, que se possam opor, que o prazo de conservação seja limitado e que o acesso às gravações seja restrito. Se não precisar dela, desative-a: é a configuração mais fácil de defender.
Os direitos das pessoas
Quem liga pode pedir acesso aos dados que tem sobre ele, pedir a sua retificação ou o seu apagamento, opor-se a determinados tratamentos. Preveja como vai responder: onde estão os resumos, quem os pode apagar, em que prazo. Um mês é o prazo de referência para responder.
A segurança e o alojamento
Tem de proteger os dados e escolher um subcontratante que os proteja. Pergunte onde estão alojados, por quem e como são encriptados. Um alojamento em França ou na União Europeia evita as questões de transferência para fora da UE, que, caso contrário, exigem garantias específicas. Se subcontratantes do seu prestador, por exemplo um fornecedor de modelos de linguagem, estiverem situados fora da UE, o contrato deve dizê-lo e enquadrá-lo.
O caso particular dos dados de saúde
Um consultório médico, dentário, de fisioterapia ou de terapia da fala recebe, logo na marcação, informações relacionadas com a saúde: o motivo da consulta, por vezes o nome de um especialista. Estes dados são «sensíveis» na aceção do RGPD e, em França, o seu alojamento por conta de um profissional de saúde está reservado aos fornecedores certificados HDS. Antes de qualquer outro critério, verifique se o seu prestador aloja os dados num fornecedor deste tipo, e peça-lhe que o escreva no contrato.
Três regras de bom senso completam a certificação:
- o agente faz a marcação e dá as informações práticas, nunca um parecer médico;
- não confirma a terceiros nem que uma pessoa é paciente do consultório, nem o motivo de uma consulta;
- o profissional de saúde tem a última palavra sobre o que é anotado e transmitido.
O guia «secretária médica ou IA» detalha a organização de um consultório com um agente de voz, e o guia completo da rececionista virtual com IA enquadra tudo isto na configuração.
O sigilo profissional
Advogados, notários, contabilistas, profissionais de saúde: o sigilo profissional não termina no atendimento telefónico. O agente deve ser configurado para nunca confirmar a existência de um processo, de um cliente ou de uma marcação a outra pessoa que não a interessada, e para anotar uma mensagem em vez de responder quando tiver dúvidas. Esta configuração faz-se na ficha de atividade, e testa-se: ligue fazendo-se passar por um terceiro e verifique o que o agente responde.
A lista de verificação, em dez pontos
- O agente anuncia que é uma IA no início de cada chamada.
- Nunca é configurado para se fazer passar por um humano.
- O seu site tem uma página de informação sobre o tratamento das chamadas, com o nome do prestador.
- Foi assinado com o prestador um contrato de subcontratação conforme ao artigo 28.º.
- Sabe onde estão alojados os dados, e por quem.
- Os prazos de conservação estão fixados, escritos e são aplicados.
- A gravação áudio está desativada ou, se estiver ativada, enquadrada.
- O tratamento consta do seu registo das atividades de tratamento.
- Sabe como responder a um pedido de acesso ou de apagamento.
- Para a saúde: alojamento certificado HDS (em França), nenhum parecer médico, nenhuma confirmação a terceiros.
O que a Sayelo faz
Concebemos o agente para que estas regras sejam respeitadas por predefinição: a IA é anunciada no início de cada chamada, os dados estão alojados em França num fornecedor certificado HDS, e é fornecido um acordo de tratamento de dados a cada cliente. Os números e a telefonia são fornecidos por um operador parceiro declarado junto da ARCEP (o regulador francês das telecomunicações). A configuração do sigilo, dos prazos e da gravação continua nas suas mãos, porque o tratamento é seu. A página segurança e RGPD descreve o detalhe, e o guia técnico explica por onde passam os dados durante uma chamada.
