Otter.ai

Vad det är

AI-driven mötes-transkribering och -sammanfattning. Otter joinar möten som "Otter Assistant" (Zoom, Google Meet, Microsoft Teams) eller spelas in via dedikerad app. Producerar realtids-transkript, sammanfattning, action items, "Otter Chat" för Q&A över transkript.

Typisk dataaccess

• Möteinspelning + realtids-transkribering av allt sagt
• Mötesmetadata (deltagare, längd, kalender-info)
• Skärm-share-innehåll om aktiverat
• Vid integrations (Zoom, Meet, Teams): kalenderdata för att autojoina möten
• Vid Otter Chat: hela mötestranskriptet som kontext

EU AI Act-bedömning

Risknivå: Limited (general-purpose AI i mötes-kontext)

Motivering: Mötes-AI är inte automatiskt high-risk. Användning för automatiserad utvärdering av mötesdeltagare skulle vara Annex III.

GDPR-överväganden

Datalagring:

• All data: USA-servrar (AWS S3 primärt, plus GCP och Crusoe), oavsett användarens region. Ingen EU-residency-option.
• Otter använder de-identifierad användardata för modell-träning (proprietär de-identifiering, automatisk, ingen mänsklig granskning) — "Otter uses a proprietary method to de-identify user data before training our models." Detta är materiellt svagare än Zoom/Fireflies (som inte tränar alls).
• Nyans (research 2026-05-26): tredjeparts-LLM-leverantörerna Anthropic ("AI backend support") och OpenAI ("LLM effectiveness evaluation") tränar enligt Otter inte på datan — men Otter självt tränar på de-identifierad kunddata. Sub-processor-lista: https://otter.ai/subprocessors
• Custom data retention-policies kan sättas (per audio/video och per transkript separat); trash auto-deleted efter 30 dagar

Datatransfer: EU → US-överföring för all användning. Otter har GDPR-anpassningar men compliance "depends heavily on user implementation".

DPA tillgänglig: Behöver verifieras direkt — Otter erbjuder GDPR-anpassningar för enterprise.

Särskilda risker:

• De-identifierad träning är fortfarande träning — klient-konversationsmönster kan påverka framtida AI-modeller
• Account holder responsibility för samtycke: Otter informerar deltagare via "Otter Assistant joined" + chat-meddelande, men det räknas inte automatiskt som informerat samtycke under GDPR
• En användare kan trigga inspelning utan andra deltagares samtycke
• US-only hosting strider mot strikt EU-residency-krav för revisorer som behandlar svensk klientdata

Vanliga risker

• Användare schemalägger Otter Assistant för auto-join på alla möten — joinar oavsiktligt klientmöten
• Otters chat-meddelande missas av deltagare → bristande informerat samtycke
• "Otter Chat"-Q&A över transkript kan reproducera klient-känsliga detaljer i AI-svar
• Mötessammanfattningar delas brett (auto-mejl till alla inbjudna) → klient-data till mottagare som inte borde haft det

Rekommenderade mitigeringar

• Förbjud Otter för klientmöten i policy — alternativt kräv explicit klientmedgivande inhämtat före mötet
• Disable auto-join för möten med externa deltagare i kalenderintegrationer
• Granska data retention-inställningar — sätt korta retention-perioder för känsliga möten
• Förbjud Otter Free-tier (träning per default, inga enterprise-skydd)
• För klientmöten: använd alternativ EU-baserad lösning (t.ex. Fireflies med Private Storage) eller manuell anteckningsföring
• Tydlig kommunikation till mötesdeltagare före mötet att Otter används

Branschspecifik vägledning – revision/redovisning

Får användas för:

• Interna byrå-möten utan klient närvarande, utan klient-data
• Webinarier eller utbildningsmöten där materialet ändå är offentligt
• Brainstorming-sessioner mellan kollegor

Får INTE användas för:

• Klientmöten utan dokumenterat informerat samtycke från alla deltagare
• Möten där känsliga personuppgifter eller affärs-uppgifter diskuteras
• Klientmedel-relaterade samtal (revisorslagen 19 §)
• Granskningsdiskussioner som kräver konfidentialitet

Särskild försiktighet vid:

• Auto-join via kalender-integration — hög risk att Otter hamnar i klientmöten oavsiktligt
• "Otter Chat" som låter användare frågetransparat data om mötesinnehåll i efterhand
• Mötessammanfattningar som auto-mejlas till alla — kan inkludera mottagare som inte var med vid sekretess-beslut

Källor

• Otter.ai Privacy Policy: https://otter.ai/privacy-policy
• Otter.ai Privacy & Security: https://otter.ai/privacy-security
• Custom Data Retention: https://help.otter.ai/hc/en-us/articles/19500988656279
• Otter.ai sub-processors (AWS/GCP/Crusoe/Anthropic/OpenAI): https://otter.ai/subprocessors
• Otter blog on permission/consent: https://otter.ai/blog/permission-in-the-age-of-conversational-intelligence-evolving-expectations-and-the-new-value-of-workplace-conversations