A ronda
A Instinct, cuja entidade legal é a Spear Street Technology, captou esta semana uma ronda série B de 250 milhões de dólares, co-liderada pela Index Ventures e pela Benchmark, elevando o seu financiamento total para 350 milhões de dólares.
A ronda avalia a empresa em 2,5 mil milhões de dólares, face a uma avaliação de 500 milhões apenas semanas antes, para uma startup fundada em 2025 pelo jovem de 23 anos Noah Shinn.
A que pode aceder
A Instinct é apresentada como um agente pessoal, não um chatbot: os utilizadores ligam-na ao e-mail, mensagens, calendário, áudio do dispositivo, localização, ecrã e teclas premidas, e depois escrevem-lhe ou ligam-lhe para que aja.
Os seus termos de serviço concedem à empresa uma licença "perpétua e irrevogável" sobre os materiais do utilizador e a autoridade para celebrar acordos, compromissos ou transações juridicamente vinculativas para o utilizador, sem uma etapa de aprovação humana incorporada para cada um.
Quatro falhas, registadas
Estes não são riscos hipotéticos construídos por um crítico; a TechCrunch documentou cada uma das quatro falhas abaixo com nome e apelido.
| Utilizador | Falha documentada |
|---|---|
| Peter Yang | O Instinct manteve os seus dados do Gmail depois de ele pedir a eliminação da ligação |
| Claire Vo | O Instinct continuou a resumir a sua caixa de entrada após a desconexão, e tinha guardado os resumos em texto simples |
| Katie Jacobs Stanton | O Instinct enviou um e-mail em nome dela sem pedir autorização previamente |
| Alex Cohen | Demonstrou que o Instinct podia ser vítima de phishing através de instruções escondidas num e-mail, e depois apagou a sua conta |
Quatro testadores diferentes, quatro tipos de falha diferentes, uma causa raiz partilhada: um assistente com acesso permanente e autoridade permanente não pede autorização de cada vez que age.
A forma do contrato, à frente da lei
Uma licença de dados perpétua associada a autoridade permanente para vincular o utilizador não é uma excentricidade de design de uma única empresa, está a tornar-se a forma contratual predefinida para assistentes agênticos que chegam ao mercado mais depressa do que qualquer orientação específica do RGPD para esta categoria de produto.
O quadro europeu de proteção de dados pressupõe um serviço que processa dados mediante pedido. A Instinct opera com acesso contínuo à caixa de entrada, ao calendário, ao ecrã e ao microfone de um utilizador, e autoridade permanente para agir como seu signatário, uma combinação que a orientação atual nunca previu.
O que exigir por escrito antes de conceder acesso
As quatro falhas documentadas da Instinct funcionam como uma lista de verificação para qualquer executivo europeu ou family office a quem este trimestre seja proposto um assistente agêntico de caixa de entrada.
Exija uma garantia de eliminação escrita e exequível que produza efeito imediatamente após a desconexão, um requisito rígido de aprovação humana antes de qualquer mensagem enviada ou ação vinculativa, a divulgação de qualquer armazenamento em texto simples daquilo que o assistente lê, e uma defesa documentada contra a injeção de instruções através de e-mail recebido antes de conceder qualquer acesso a credenciais ou ao calendário.
Leia a seguir: Google compra dados internos de companhia aérea falida | Generalist atinge 3 mil milhões, a terceira aposta
