Mercoledì pomeriggio, riunione del consiglio di amministrazione. Il direttore generale apre il portatile e clicca "avvia trascrizione". Compare un bot in chiamata: si chiama Otter, o Fireflies, o Tactiq, fa lo stesso. In due minuti hai trascrizione automatica, riassunto, action items. Magia. Tre clic e il segretario non serve più.
Domanda da bar: dove va a finire l'audio della riunione? Risposta breve: quasi sempre fuori dall'Europa, su server di aziende americane che fanno addestramento, conservano log, condividono con terzi. E al consiglio di amministrazione nessuno ha mai chiesto consenso. Vediamo cosa rischi davvero, e come fare la stessa cosa senza farti male.
Il pasticcio in cui finisci se clicchi senza pensarci
Cosa succede tecnicamente quando avvii Otter o Fireflies. Il bot della piattaforma entra in chiamata. Registra audio e video, li trasmette ai server (di solito americani). Il sistema trascrive, salva trascrizione e a volte riassunto, te li manda. Cosa hai appena fatto, in ordine. Trasferito audio fuori UE senza basi giuridiche. Registrato voci dei partecipanti, che possono essere un dato biometrico. Permesso al fornitore di usare l'audio per addestramento (a meno di averlo disabilitato, e quasi nessuno lo fa). Esposto contenuti riservati: contratti, strategie, dati clienti.
Sanzioni potenziali, se la cosa salta fuori: fino a 20 milioni o il 4% del fatturato. Più, se nella riunione c'erano segreti industriali, perdita della tutela e azione di concorrenza sleale. Più, se è una conversazione con clienti, problemi seri di segreto professionale. Triplo combo in una mossa.
Caso esemplare già visto: Samsung nel 2023 ha vietato ChatGPT in azienda dopo che alcuni dipendenti avevano caricato codice proprietario nei prompt. Bloomberg e TechCrunch ci hanno scritto sopra. Le grosse aziende hanno fiutato il problema prima di altre, ma il problema vale anche per il consiglio di amministrazione di una PMI di Latina.
Cosa NON puoi fare
Non puoi far entrare bot Otter o Fireflies in riunioni con clienti senza informare e raccogliere consenso. Mai. Non basta una riga nell'invito di calendario.
Non puoi caricare registrazioni di colloqui legali, sanitari, finanziari su servizi IA pubblici. Categoria sensibile, dati personali, a volte segreto professionale: cumulando, sei in sanzione automatica.
Non puoi fidarti del bottone "non addestrare sui miei dati" senza un contratto scritto. È una dichiarazione di intenti del fornitore, mica un vincolo che ti tutela in caso di causa.
Non puoi usare app di trascrizione "gratis" pensando che sia un regalo. Se è gratis, paghi con i tuoi dati. Sempre.
Non puoi trascrivere un consiglio di amministrazione su un servizio consumer. Quei verbali contengono strategia commerciale e dati patrimoniali: roba che vuoi tenere in casa.
Cosa invece si può fare bene
Whisper, il modello di trascrizione di OpenAI, è aperto. Significa che lo puoi installare e farlo girare sul tuo server in Europa, senza mandare niente a OpenAI. Lo carichi su un server con scheda grafica adeguata, esponi un'interfaccia web protetta da login. L'audio sale direttamente lì, viene trascritto, e l'unico file resta a casa tua.
Il riassunto lo fa un secondo modello, sempre aperto e sempre tuo. Legge la trascrizione e tira fuori action items, decisioni prese, persone coinvolte. File originale cancellato dopo la trascrizione, principio di minimizzazione. Trascrizione cifrata sul server, accesso limitato a chi serve.
Procedura operativa in riunione: a inizio meeting, informativa preliminare. "La riunione viene trascritta automaticamente da un sistema interno, su server aziendale europeo. La trascrizione resta agli atti per X giorni". Trenta secondi, e hai coperto la formalità. Per riunioni delicate (clienti, fornitori esterni, candidati a colloquio), il consenso lo chiedi esplicitamente. Una mail in cui dichiari come funziona, una risposta che acconsente: documento agli atti.
I paletti che non si toccano
Server europeo, possibilmente in casa o presso fornitore italiano serio. Modello di trascrizione aperto, in casa. Modello di sintesi aperto, in casa. Audio cifrato in transito e a riposo. Conservazione limitata: trascrizione cancellata dopo un termine ragionevole se non più necessaria.
Audit log degli accessi: chi ha letto cosa, quando, perché. Per le riunioni che riguardano sistematicamente dati personali, una valutazione d'impatto privacy fatta una volta, aggiornata quando cambia qualcosa. Il fornitore del server nominato responsabile esterno, contratto firmato.
E non da ultimo: una policy aziendale chiara che dice quali strumenti si possono usare e quali no. Senza una policy scritta, il dipendente medio installa Otter di sua iniziativa e tu scopri il problema dopo che è successo.
Una nota personale
Io di mestiere monto sistemi IA privati per studi professionali e PMI italiane. Non vendo corsi, non vendo abbonamenti. Mi occupo di gente che fa riunioni serie e vuole tenerle dentro casa. Sul gruppo Telegram di Super Squalo (t.me/Squalogruppo) si parla di trascrizioni, riunioni, segreto industriale ogni giorno, e si risponde gratis.
La prossima riunione, intanto, prima di cliccare "avvia trascrizione" su un servizio americano, fermati un secondo. Esiste lo stesso strumento, ma in casa.