Ditado por voz e RGPD: para onde vão realmente os seus dados?

Quando dita um email, uma ata ou uma peça jurídica, pronuncia em voz alta informação muitas vezes confidencial: nomes, valores, elementos de um processo. A pergunta não é apenas «a transcrição é boa?», mas «para onde vai a minha voz e quem lhe pode aceder?». É exatamente isso que o RGPD regula. Este guia explica o que o regulamento exige realmente a uma ferramenta de ditado por voz, porque a localização dos servidores não basta e como reconhecer uma solução conforme e soberana.

A sua voz é um dado pessoal

Primeiro ponto, muitas vezes mal compreendido: uma gravação de voz é um dado pessoal na aceção do RGPD assim que permite, direta ou indiretamente, identificar uma pessoa. A voz em si, um nome pronunciado, um número de cliente dito em voz alta: tudo isso entra no âmbito do regulamento. O RGPD aplica-se, portanto, ao ditado por voz a partir do momento em que um humano fala.

Há que concluir daí que se trata de dados «sensíveis»? Não de forma automática, e a nuance é importante. Segundo a CNIL, a voz só se torna dado biométrico (categoria sensível, regulada pelo artigo 9.º do RGPD) quando um sistema a utiliza para reconhecer ou autenticar um interlocutor a partir das suas características vocais. Uma ferramenta de ditado não faz isso: transforma a fala em texto, não identifica ninguém pela voz. A consequência prática:

• O áudio é um dado pessoal, mas não um dado biométrico, porque não há identificação vocal.
• O conteúdo ditado, pelo contrário, pode ser tudo menos inócuo: um processo médico mencionado, dados bancários, o nome de um cliente e a natureza do seu litígio. É aí que se concentra o verdadeiro risco.

Dito de outro modo, o perigo não é que o seu timbre de voz sirva para o identificar; é que o que dita acabe armazenado, reutilizado ou acessível a um terceiro. Daí a importância de saber com precisão o que a ferramenta faz com o seu áudio.

O que exige concretamente o RGPD a uma ferramenta de ditado por voz

O RGPD não se resume a um banner de consentimento. Para um serviço que transcreve a sua voz, seis obrigações contam a sério:

• Uma finalidade e uma base jurídica claras. Os seus dados só servem para produzir a sua transcrição, não para outra coisa.
• A minimização. A ferramenta só deve tratar o estritamente necessário. A CNIL, no seu livro branco sobre os assistentes de voz, recomenda mesmo transferir para os servidores apenas os dados indispensáveis.
• A limitação da conservação. O RGPD proíbe guardar os dados mais tempo do que o necessário. Para o ditado, a melhor opção é simples: zero conservação, o áudio é eliminado assim que é transcrito.
• A não reutilização. A sua voz e os seus textos não devem servir para treinar modelos de IA sem o seu consentimento.
• Um subcontratante regulado. O fornecedor deve oferecer-lhe um acordo de tratamento (DPA, artigo 28.º do RGPD) que enumere os seus subcontratantes e as suas garantias.
• A segurança e o quadro das transferências. Cifragem, medidas técnicas sérias e, sobretudo, um quadro estrito se os dados saírem da União Europeia (artigos 44.º e seguintes).

Estes critérios são verificáveis. Um fornecedor sério responde a cada um por escrito. É precisamente o último ponto, as transferências fora da UE, o que mais frequentemente falha, e o pior compreendido.

Uma precisão útil, para dissipar uma confusão frequente: o AI Act, o Regulamento europeu de inteligência artificial, não trata destas questões. Regula o que um sistema de IA tem o direito de fazer, não onde os seus dados são tratados nem sob que jurisdição está o fornecedor. Desenvolvemos essa repartição de papéis no nosso artigo sobre o que exige realmente o AI Act às suas ferramentas de IA.

O fornecedor é o seu subcontratante: o que deve dizer o artigo 28.º

Esta é a parte que a maioria dos compradores salta, e é a que carrega com a responsabilidade. Ao ditar conteúdo profissional, é quem dita o responsável pelo tratamento desses dados, e o fornecedor é o seu subcontratante. O artigo 28.º do RGPD não deixa essa relação à boa vontade: exige um contrato escrito, o DPA, e enumera o que esse contrato deve conter.

Ao ler um DPA, estas são as cláusulas que contam na prática:

• Instruções documentadas. O fornecedor só pode tratar os seus dados seguindo as suas instruções e para a finalidade que definiu. Essa única cláusula é a que proíbe reutilizá-los para treinar modelos.
• Confidencialidade do pessoal. Toda a pessoa com acesso aos dados deve estar sujeita a uma obrigação de confidencialidade.
• Medidas de segurança do artigo 32.º. Cifragem em trânsito e em repouso, controlo de acessos e capacidade declarada de restabelecer a disponibilidade após um incidente.
• Subcontratantes nomeados e autorizados. O fornecedor não pode incorporar outro fornecedor sem a sua autorização, e deve informá-lo antes de qualquer alteração. Um DPA que não nomeia a cadeia não está a fazer o seu trabalho.
• Assistência aos direitos das pessoas. Se alguém lhe pedir acesso ou apagamento, o fornecedor deve ajudá-lo a responder dentro do prazo.
• Apagamento ou devolução no final do contrato, e a informação de auditoria necessária para verificar tudo o anterior.

Um fornecedor que responde «cumprimos o RGPD» sem apresentar esse documento não respondeu. Peça o DPA antes de assinar, não depois de um incidente.

Prazo de conservação, e o que acontece aos seus direitos

A limitação do prazo de conservação é a obrigação que as ferramentas de ditado mais frequentemente incumprem, porque conservar o áudio convém ao fornecedor: alimenta o controlo de qualidade e a melhoria dos modelos. O RGPD coloca em contrapartida uma pergunta direta, durante quanto tempo é necessário o áudio para a finalidade que aceitou, e para uma transcrição a resposta honesta cabe nos poucos segundos que demora a produzir-se o texto. Para além disso há um prazo de conservação que é preciso justificar, documentar e declarar.

O prazo de conservação determina também até que ponto os seus direitos são praticáveis. O direito de acesso, retificação, apagamento e portabilidade recai sobre o que o fornecedor conserva. Isso tem uma consequência prática que convém entender: com uma política real de zero conservação não há nada a consultar nem a apagar no servidor, porque o áudio já não existe e o texto está no seu próprio equipamento. Quando uma ferramenta guarda um histórico dos seus ditados, esses direitos tornam-se trabalho real, e o fornecedor deve conseguir atendê-los no prazo de um mês.

Transferências fora da UE, e a questão da jurisdição

Os artigos 44.º e seguintes regulam o que acontece quando os dados saem da União Europeia. Na prática, um fornecedor norte-americano apoia-se ou no Data Privacy Framework, a decisão de adequação adotada a 10 de julho de 2023, ou nas cláusulas contratuais-tipo da Comissão Europeia. Em ambos os casos a transferência passa a ser lícita, e isso é realmente útil.

Também é apenas metade da análise. Por baixo há outra pergunta: que Estado pode obrigar o fornecedor a entregar os seus dados assim que os tiver. O Cloud Act norte-americano alcança qualquer fornecedor sujeito à jurisdição dos Estados Unidos independentemente de onde estejam os servidores, e por isso «alojado na Europa» e «fora do alcance das autoridades norte-americanas» não são a mesma afirmação. É um tema em si mesmo, que tratamos em detalhe, com a jurisprudência, o recurso pendente contra o DPF e as quatro verificações a fazer a qualquer fornecedor, no nosso guia porque alojar na Europa não basta.

O que o RGPD exige de si, não só da ferramenta

Escolher um fornecedor conforme não o liberta das suas próprias obrigações. Três delas aplicam-se assim que dita conteúdo profissional:

• O seu registo de atividades de tratamento (artigo 30.º). Se dita conteúdo com dados pessoais, a ferramenta faz parte do registo: finalidade, categorias de dados, o fornecedor como subcontratante, prazo de conservação e qualquer transferência fora da UE. É uma linha numa tabela, não um projeto, mas uma inspeção vai pedi-la. O artigo 30.º, n.º 5, isenta as organizações com menos de 250 trabalhadores, mas a isenção cai assim que o tratamento não é ocasional ou afeta dados confidenciais de clientes, que é exatamente o caso de um escritório que dita diariamente.
• Uma avaliação de impacto (artigo 35.º), ou não. Uma AIPD é obrigatória quando o tratamento pode implicar um elevado risco para os direitos das pessoas. Um ditado que se limita a transformar a sua própria voz em texto, sem conservação e sem identificação biométrica, normalmente não atinge esse limiar por si só. Ditar em grande escala dados de categorias especiais, informação de saúde por exemplo, muda o cálculo, e aí a avaliação cabe-lhe a si, não ao seu fornecedor.
• As pessoas de quem fala. Quando dita o processo de um cliente, esse cliente também é um titular de dados. A sua política de privacidade normalmente cobre isso, mas deve refletir a realidade: um subcontratante transcreve esse conteúdo.

Profissões com segredo: advogados, notários, consultores fiscais

Para um advogado, um notário ou um consultor fiscal, o RGPD soma-se a uma obrigação ainda mais estrita: o segredo profissional. Ditar o nome de um cliente e a natureza do seu processo numa ferramenta que poderia ser obrigada a comunicar esses dados é expor informação abrangida pelo segredo.

Como exemplo em França, o Conselho Nacional da Advocacia recordou-o no seu guia deontológico sobre a inteligência artificial: o uso de ferramentas de IA nunca pode justificar um levantamento do segredo profissional, e nunca se devem confiar a uma IA generativa para o grande público dados abrangidos por ele. O guia sublinha ainda que as soluções alojadas na União Europeia, que não reutilizam as consultas para treinar os seus modelos, apresentam um perfil de risco claramente inferior ao das ferramentas de consumo.

É exatamente o critério a aplicar a uma ferramenta de ditado: tratamento na UE, zero conservação, sem reutilização e um fornecedor que não esteja sujeito a uma legislação extraterritorial. Detalhamos este ponto para os escritórios na nossa página dedicada ao ditado por voz e o segredo profissional do advogado.

5 perguntas a fazer antes de escolher uma ferramenta de ditado por voz

Uma forma simples de decidir: faça estas cinco perguntas a qualquer fornecedor. As respostas devem ser claras e por escrito.

1. Conservam o meu áudio e as minhas transcrições? A boa resposta é: não, eliminação imediata após a transcrição.
2. Os meus dados servem para treinar os vossos modelos? A boa resposta é: não.
3. Onde são processados os meus dados e que empresa o faz? Procure um tratamento na UE por uma empresa europeia, não apenas um «centro de dados na Europa».
4. Estão sujeitos ao Cloud Act ou a outra lei extraterritorial? Um fornecedor europeu não controlado por uma matriz norte-americana pode responder que não. Se a resposta for evasiva, o nosso guia sobre o Cloud Act explica como verificá-lo por si próprio.
5. Oferecem um DPA conforme ao artigo 28.º do RGPD? Indispensável para um uso profissional.

A opção mais estrita: o 100% local

Sejamos honestos: se quer a garantia absoluta de que a sua voz nunca sai do seu computador, a solução mais protetora não é a nuvem, é o tratamento 100% local. Nada vai para a internet: nem o RGPD nem o Cloud Act sequer entram em jogo, já que nenhum dado é transmitido a um terceiro. Ferramentas de código aberto como o Handy (gratuita, com licença livre, para Windows, macOS e Linux) executam a transcrição diretamente na sua máquina, sem qualquer envio a um servidor.

A contrapartida é real, e detalhamo-la na nossa comparação ditado por voz local vs nuvem: o 100% local limita-se quase sempre a uma transcrição em bruto, sem a limpeza nem a formatação por IA, e exige uma máquina bastante potente. Para muitos profissionais, o desafio é, portanto, recuperar a comodidade da nuvem, um texto limpo, em qualquer aplicação e em qualquer computador, sem renunciar à soberania. É precisamente o que o Fast Dictate procura.

A abordagem do Fast Dictate

O Fast Dictate é uma alternativa europeia pensada para responder a estas perguntas sem rodeios:

• Zero conservação de dados em todos os planos. O seu áudio é transcrito e eliminado de imediato, e nunca é reutilizado para treinar modelos.
• Plano Pro: tratamento exclusivamente em França, em servidores certificados ISO/IEC 27001, fora do alcance do Cloud Act norte-americano, com um DPA RGPD avançado. Pensado para advogados, notários e qualquer pessoa que lide com processos confidenciais.
• Planos Gratuito e Standard: uma infraestrutura internacional rápida, sempre sem conservação de dados.
• Funciona em todo o lado: Word, Gmail, Notion, o seu navegador, qualquer campo de texto, com um único atalho no Windows e no Mac.
• Plano gratuito: 2000 palavras por semana, sem cartão de crédito.

Perguntas frequentes