Gli usi che rifiutiamo e l'architettura che li applica.

La piattaforma e costruita per acquisire intelligence della forza lavoro e trasformarla in intelligence su cui i dirigenti possono agire. Non e costruita per sorvegliare individui nominati, identificare partecipanti, vendere dati a livello di partecipante o alimentare il targeting militare. In conformita con la politica d'uso e i requisiti di conformita di Anthropic, e tramite la nostra propria applicazione contrattuale e architetturale, rifiutiamo questi usi. L'architettura e configurata in modo che i rifiuti siano difficili o costosi da aggirare anche con accesso privilegiato.

Non editorizziamo le decisioni strategiche che i nostri clienti prendono sulla base di intelligence aggregata. Chiudere punti vendita, ristrutturare unita operative, riprogettare ruoli: queste sono decisioni che l'operatore era in posizione di prendere. Il corpus esiste per informarle.

La re-identificazione individuale, la sorveglianza di persone nominate e gli altri usi di seguito appartengono a una categoria distinta. Sono rifiutati.

Questo rifiuto si aggiunge alla politica d'uso e al regime di conformita di Anthropic, ed e coerente con essi. Anthropic e il partner LLM per ogni piano, e qualsiasi tentativo di eseguire il pipeline in violazione della loro politica fallisce lato partner prima di raggiungere la nostra architettura.

Linguaggio contrattuale: "Il cliente non deve utilizzare la piattaforma, il corpus o qualsiasi intelligence derivata in connessione con il targeting militare, i sistemi di supporto alle decisioni militari, la progettazione di sistemi d'armamento, l'approvvigionamento di armi o qualsiasi applicazione destinata a dirigere o autorizzare l'uso della forza contro persone."

Applicazione architetturale: I piani il cui utilizzo previsto indica un'applicazione militare vengono rifiutati nella fase di provisioning del tenant. Anthropic ed ElevenLabs hanno le proprie politiche d'uso che escludono le applicazioni militari; un tentativo di eseguire il pipeline in violazione di tali politiche fallisce anche lato partner.

Linguaggio contrattuale: "Il cliente non deve utilizzare la piattaforma per identificare le opinioni, la condotta o le caratteristiche di qualsiasi partecipante nominato specifico. L'intelligence aggregata e l'output consentito; l'attribuzione nominativa non lo e."

Applicazione architetturale: La sostituzione vocale sintetica rimuove l'handle audio verso una persona nominata. La fase di oscuramento rimuove i nomi dalle trascrizioni prima dell'arricchimento. Le righe dei fatti memorizzano l'intelligence derivata rispetto a fasce di segmento. Gli identificatori dei partecipanti sono assenti dalla riga. La cascata di sicurezza nel percorso di accesso ai dati filtra ogni query secondo lo scope del chiamante; uno scope che consentirebbe query su partecipanti nominati e rifiutato al provisioning del tenant.

Uno scope OAuth che consentirebbe una query su un partecipante nominato non esiste sulla piattaforma. Tentare di introdurne uno sarebbe una modifica al codice rispetto allo schema pubblicato e al contratto.

Linguaggio contrattuale: "Il cliente non deve tentare di re-identificare alcun partecipante da qualsiasi artefatto prodotto dalla piattaforma, sia tramite analisi vocale, correlazione di trascrizioni, ricostruzione del vettore di segmento o qualsiasi altra tecnica. Il cliente non deve richiedere, contrattare o accettare qualsiasi deliverable di terze parti che produca l'identificazione di un partecipante."

Applicazione architetturale: L'audio originale non lascia traccia in nessun sistema che operiamo, ne presso ElevenLabs sotto il contratto di non-conservazione. La re-identificazione tramite voce richiede l'esistenza di una registrazione. Non ce n'e alcuna. La fase di oscuramento rimuove gli identificatori di persone dalla trascrizione prima dell'arricchimento, e la trascrizione pulita e l'unico artefatto che i passaggi a valle vedono. Il repository di fatti porta vettori di segmento ma non identificatori di partecipanti; i vettori di segmento descrivono fasce (livello, geografia, formato del punto vendita) a una granularita sufficientemente grossolana da collocare la ricostruzione di un singolo partecipante al di sotto della soglia di recupero pratico.

Linguaggio contrattuale: "Il cliente non deve vendere, licenziare o altrimenti trasferire dati a livello di partecipante, incluse le trascrizioni grezze e le righe di fatti per partecipante, a terze parti. L'intelligence aggregata e delimitata per segmento puo essere condivisa sotto accordi brand partner separati con le proprie condizioni di consenso e utilizzo."

Applicazione architetturale: L'API brand partner e il feed degli agenti servono da righe di entita e aggregati di segmento. Nessuna delle due superfici legge le trascrizioni grezze. L'accesso alle trascrizioni grezze e limitato alle superfici operatore all'interno del tenant del cliente. Non esiste una superficie "esporta trascrizioni grezze a terze parti" sulla piattaforma.

Linguaggio contrattuale: "Il corpus del cliente non deve essere utilizzato per addestrare, mettere a punto o altrimenti migliorare qualsiasi modello di machine learning gestito da Nexa Intelligence, dal cliente o da terze parti, inclusi i partner LLM e voce nominati nell'elenco dei sub-responsabili."

Applicazione architetturale: Il contratto di non-addestramento di Anthropic per ogni piano e il contratto di non-addestramento di ElevenLabs per ogni piano costituiscono l'applicazione lato partner. All'interno del tenant del cliente, la piattaforma non esegue un pipeline di addestramento. La calibrazione della metodologia che eseguiamo ottimizza parametri deterministici (emivite, valori di soglia), non pesi del modello.

Linguaggio contrattuale: "Il cliente non deve iniettare partecipanti sintetici, generati da IA o altrimenti non umani nel corpus come se fossero acquisizione reale. L'affermazione di integrita del corpus richiede che ogni fatto sia tracciabile verso un vero colloquio con un vero lavoratore."

Applicazione architetturale: Il pipeline di acquisizione richiede il record di consenso del partecipante. Il record di consenso e associato a una persona reale che ha confermato all'inizio del colloquio. Il filtro di pre-arricchimento filtra le conversazioni che appaiono sintetiche (troppo brevi, troppo meccaniche, nessuna forma d'onda audio). L'aumento con partecipanti sintetici come caso d'uso consentito non esiste sulla piattaforma.

Linguaggio contrattuale: "Il cliente non deve utilizzare la piattaforma per identificare, prendere di mira, ritorsione o altrimenti agire contro qualsiasi singolo partecipante sulla base di dichiarazioni fatte durante il colloquio, incluse le dichiarazioni relative all'attivita sindacale, alla segnalazione di illeciti, alla divulgazione delle condizioni di lavoro o a qualsiasi altra attivita legalmente protetta."

Applicazione architetturale: La stessa catena di anonimizzazione che previene la re-identificazione generale si applica qui. Gli identificatori dei partecipanti vengono rimossi prima dell'arricchimento. Il repository di fatti non porta identificatori di partecipanti. I pannelli di controllo non mostrano attribuzioni per partecipante. L'operatore non puo interrogare "quali lavoratori hanno detto X" dalla piattaforma; la piattaforma non ha i dati per rispondervi.

Quando arriva una richiesta che violerebbe uno dei rifiuti, la risposta e procedurale. Informiamo il cliente che il rifiuto e nel contratto e che non implementeremo la richiesta. Se il cliente contesta l'interpretazione, la questione passa attraverso la clausola di risoluzione delle controversie contrattuali. Il team tecnico non la rinegozia informalmente.

Per le richieste che provengono dall'esterno del rapporto con il cliente (un partner che richiede dati a livello di partecipante, un organo di regolamentazione che richiede una ricerca nel corpus), il rifiuto viene comunicato per iscritto e il cliente viene notificato. Il team legale del cliente gestisce qualsiasi escalation esterna; collaboriamo nei limiti consentiti dal nostro contratto e dalla legge.