GDPR e intelligenza artificiale: proteggere i dati aziendali comincia da una domanda molto concreta. Prima di incollare un documento dentro una chat, sai quali informazioni stai condividendo e con quale servizio?
Come al solito, i tempi corrono più in fretta della nostra capacità di abituarci al cambiamento. Ci vengono messi a disposizione strumenti potentissimi, spesso a prezzi accessibili, senza che ci sia altrettanta chiarezza su come usarli nel lavoro quotidiano.
Il problema non è soltanto cosa risponde l’AI. È anche quello che le consegniamo: informazioni nostre, dei clienti o dei dipendenti, documenti sanitari, atti legali e materiali riservati dell’azienda.
Non basta scegliere un nome conosciuto
Google, OpenAI, Anthropic, DeepSeek: non si può decidere come trattano i nostri dati basandosi soltanto sul marchio o sul prezzo. Bisogna verificare il prodotto specifico, il piano, le impostazioni e le condizioni applicabili.
Ecco, un piano a pagamento non è una certificazione di conformità GDPR. E impedire l’uso delle conversazioni per l’addestramento non risponde, da solo, a tutte le domande su conservazione, accessi e utilizzo delle informazioni.
Le domande da farsi prima di condividere un documento
Prima di scegliere o autorizzare uno strumento, partirei da queste domande:
- Il documento contiene dati personali o informazioni riservate? Sono davvero necessari per il compito?
- Per quale finalità stiamo usando il servizio e quali condizioni contrattuali si applicano?
- I dati vengono usati per addestrare modelli? Per quanto tempo vengono conservati?
- Chi può accedervi, dove vengono trattati e quali controlli ha l’azienda sugli account?
- Possiamo ottenere lo stesso risultato usando dati di prova o condividendo meno informazioni?
Non è una verifica che si esaurisce con un interruttore nelle impostazioni. La CNIL, nelle indicazioni sull’AI generativa, richiama proprio l’attenzione sull’uso dei dati e sulle regole da dare alle persone che utilizzano questi strumenti.
Servono regole anche dentro l’azienda
Penso soprattutto a studi legali, medici e dentistici: avere uno strumento comodo non significa poter caricare qualsiasi cartella o documento. Prima vanno chiariti i dati utilizzabili, le finalità e le condizioni di trattamento.
Un esempio pratico: per provare se un’AI sa riassumere un testo, puoi partire da un documento fittizio. Non c’è motivo di usare subito una cartella reale di un cliente. E togliere soltanto il nome non garantisce che le altre informazioni non rendano riconoscibile una persona.
Va chiarito quali strumenti sono autorizzati, chi può usarli e quando fermarsi per chiedere una verifica. La protezione riguarda anche account, permessi e dispositivi, non soltanto ciò che scriviamo nella chat. È lo stesso approccio per rischi e misure adeguate descritto nella guida dell’EDPB.
Se hai dubbi sugli strumenti AI che usi nel lavoro, richiedi una consulenza: partiamo dai dati che tratti e dalle attività che vuoi svolgere, per valutare strumenti e impostazioni con più consapevolezza.
