Un dipendente incolla in un assistente AI il contratto di un cliente per farselo riassumere. Un altro carica l'elenco dei fornitori per farne una tabella. Sembrano gesti innocui e produttivi. Dal punto di vista della protezione dei dati sono trasferimenti a un fornitore terzo, e in azienda vanno governati.
Cosa succede tecnicamente
Quando invii un testo a un servizio AI online:
- Il testo viaggia sui server del fornitore, quasi sempre fuori dalla tua azienda e spesso fuori dall'Unione Europea.
- Viene elaborato per produrre la risposta.
- Viene conservato per un periodo, tipicamente per motivi di sicurezza e prevenzione degli abusi.
- A seconda del piano, può essere usato per migliorare i modelli.
- Può essere letto da personale umano nei controlli qualità o in caso di segnalazioni.
Nessuno di questi passaggi è di per sé scandaloso: è come funziona qualunque servizio in cloud. Il punto è saperlo e trattarlo di conseguenza.
Le differenze fra i piani
Semplificando, e con differenze fra i vari fornitori:
- Piani gratuiti e consumer: le conversazioni sono spesso usate per l'addestramento, salvo disattivare l'opzione dove è prevista. Nessun accordo specifico sul trattamento dei dati.
- Piani business ed enterprise: normalmente i dati non vengono usati per addestrare i modelli, la conservazione è più breve o configurabile, ed è disponibile un accordo sul trattamento dei dati che è il documento necessario per la conformità.
- Accesso via API: in genere i dati non alimentano l'addestramento e i controlli sono più granulari.
La distinzione importante non è quanto costa il piano, ma se esiste un contratto che regola il trattamento e cosa dice.
Cosa serve dal punto di vista GDPR
Se un'azienda usa un servizio AI su dati personali, deve avere alcune cose in ordine:
- Base giuridica per il trattamento.
- Accordo con il fornitore che lo nomini responsabile del trattamento.
- Garanzie per il trasferimento fuori UE, se i server sono extraeuropei.
- Registro dei trattamenti aggiornato con questa attività.
- Informativa a interessati e dipendenti.
- Valutazione d'impatto se il trattamento è su larga scala o riguarda dati particolari.
Questo non significa che non si possa usare l'AI: significa che va inquadrata come qualunque altro fornitore cloud, con la documentazione corrispondente.
Il problema più concreto: l'uso non governato
Il rischio maggiore non è il fornitore serio con cui hai un contratto. È il dipendente che, in buona fede e per fare prima, incolla dati in un servizio gratuito con il proprio account personale. In quel caso l'azienda non sa nemmeno che il trasferimento è avvenuto.
La contromisura non è vietare — i divieti generici vengono aggirati e basta — ma fornire uno strumento aziendale approvato e dire chiaramente cosa si può metterci dentro. Le persone usano lo strumento ufficiale se funziona; usano quello personale se l'alternativa è non avere nulla.
Una regola semplice da dare al personale
Tre categorie, facili da ricordare:
- Verde — materiale già pubblico o interno non sensibile: testi per il sito, descrizioni di prodotto, bozze di comunicazioni generiche. Si può usare liberamente.
- Giallo — documenti interni senza dati personali: procedure, appunti tecnici, capitolati anonimizzati. Solo con lo strumento aziendale approvato.
- Rosso — dati personali, contratti con clienti, dati sanitari, buste paga, listini riservati, credenziali. Solo su sistemi interni all'azienda.
Aggiungete un principio: anonimizzare prima. Molto spesso, per ottenere quello che serve, il nome del cliente non è necessario. Togliere nomi, indirizzi e partite IVA prima di incollare risolve gran parte dei casi.
La soluzione che elimina il problema
Per i dati della categoria rossa, un modello che gira sui server dell'azienda chiude la questione: nessun trasferimento, nessun fornitore terzo, nessun accordo da negoziare. La qualità dei modelli eseguibili in locale è ormai adeguata per riassumere, estrarre dati, classificare e rispondere sui documenti interni, che sono esattamente le operazioni con i dati più delicati.
Cosa fare oggi
- Scopri cosa già si usa in azienda: quasi sempre qualcuno usa già qualcosa.
- Scegli uno strumento ufficiale con un piano che preveda un accordo sul trattamento.
- Scrivi due pagine di regole con la classificazione verde-giallo-rosso.
- Aggiorna il registro dei trattamenti.
- Valuta una soluzione interna per i dati che non possono uscire.
Conclusione
L'AI non è un problema di privacy in sé: lo diventa quando viene usata senza sapere dove finiscono i dati. Con uno strumento approvato, una regola chiara in tre colori e una soluzione interna per il materiale riservato, si ottiene il beneficio senza l'esposizione. Se volete inquadrare l'uso dell'AI in azienda dal punto di vista pratico e documentale, possiamo aiutarvi a metterlo in ordine.