Dove finiscono i dati che dai in pasto all'intelligenza artificiale

C'è un gesto che negli uffici si ripete decine di volte al giorno senza pensarci un secondo. Copi un pezzo di documento, apri lo strumento di IA, incolli, e chiedi un riassunto o una riscrittura più gentile.

Se in quel testo compare anche solo un nome, un indirizzo email o un numero di telefono, hai appena fatto un trattamento di dati personali. Con tutto quello che il GDPR si porta dietro.

La domanda giusta non è «si può»

Quella che mi sento fare più spesso è: si può usare l'IA con i dati dei clienti? Messa così non ha una risposta. Dipende dalla base giuridica su cui stai trattando quei dati, e da cosa avevi dichiarato al momento della raccolta.

Facciamo un caso concreto. Nell'informativa hai scritto che i dati servono a gestire il contratto. Adesso li usi per alimentare un sistema che fa tutt'altro, magari analisi commerciali. Stai trattando per una finalità diversa da quella dichiarata, e non è un cavillo formale: è esattamente il principio di limitazione della finalità, uno dei pilastri del regolamento.

Chi è il fornitore, e cosa fa dei tuoi dati

Quando usi uno strumento di IA di terzi, quel fornitore diventa a tutti gli effetti un responsabile del trattamento. Serve il contratto previsto dall'articolo 28, e servono risposte a un po' di domande che quasi nessuno fa prima di attivare l'abbonamento.

• I dati che invio vengono usati per addestrare i modelli? Parecchi servizi lo fanno in automatico sui piani consumer e non lo fanno su quelli business
• Per quanto tempo restano sui loro sistemi, e in che paese si trovano fisicamente
• Se un dipendente chiede la cancellazione, il fornitore è tecnicamente in grado di eseguirla
• Ci sono trasferimenti fuori dall'Unione europea, e con quali garanzie
• Dalla loro parte, chi può materialmente leggere quello che ho caricato

Su questi punti la differenza tra il piano gratuito e quello aziendale dello stesso identico strumento è enorme. Ed è la ragione per cui l'account personale usato per lavoro è quasi sempre un guaio, anche quando la persona in buona fede pensa di stare risparmiando all'azienda un abbonamento.

Quando scatta la valutazione d'impatto

La DPIA, cioè la valutazione d'impatto sulla protezione dei dati, non serve sempre. Con l'IA però capita più spesso di quanto si creda: quando l'uso è sistematico e su larga scala, quando si valutano o si profilano persone, quando ci sono di mezzo categorie particolari di dati, o quando si introduce una tecnologia nuova su un trattamento già delicato.

Prendi uno strumento che legge i curriculum in arrivo e li mette in ordine di attinenza. Di condizioni ne spunta tre su quattro in un colpo solo.

Le regole che poi la gente legge davvero

La policy sull'IA più efficace che mi sia capitato di vedere stava su una pagina sola. Nessuna premessa, nessun richiamo normativo in apertura: un elenco di cosa si può caricare, cosa no, e su quali strumenti. Appesa vicino alla macchinetta del caffè, tra l'altro.

• Quali strumenti sono autorizzati, e che si usano con l'account aziendale
• Cosa non esce mai: dati sanitari, dati giudiziari, credenziali, documenti coperti da riservatezza contrattuale
• Come si anonimizza un documento prima di caricarlo, con un esempio fatto e finito
• Che l'output va sempre riletto, e che la responsabilità resta di chi firma
• A chi si chiede quando si è in dubbio, con nome e cognome

Il registro dei trattamenti va aggiornato

Questa è la parte che si dimentica sempre. Hai introdotto uno strumento di IA che tocca dati personali? Allora quel trattamento va messo nel registro, con finalità, categorie di dati, destinatari, tempi di conservazione e misure di sicurezza.

Un registro fermo a due anni fa, in un'azienda che nel frattempo ha adottato tre strumenti nuovi, è la prima cosa che si nota in un controllo. E racconta all'autorità parecchio di più di quanto vorresti su come gestisci tutto il resto.

Nessuno ti sta dicendo di non usarla

Niente di tutto questo vuol dire tenere l'intelligenza artificiale fuori dalla porta. Vuol dire sapere quali dati escono, verso chi, e con quale accordo alle spalle. Sono tre domande. Nella maggior parte delle aziende ci si risponde in una mattinata, poi si va avanti a lavorare più tranquilli.