In ogni aula in cui entriamo, prima o poi arriva la stessa domanda: “ma i nostri dati?”. Di solito la fa qualcuno che ha già incollato un contratto dentro una chat e adesso vuole sapere se ha fatto un disastro.
La risposta onesta è che dipende da tre cose, e nessuna delle tre è complicata.
Il malinteso da togliere subito
Il GDPR non nomina l’intelligenza artificiale e non serve che lo faccia. Un servizio AI, dal punto di vista della protezione dei dati, è un fornitore esterno a cui mandi dei dati. Le regole sono quelle che già applichi al gestionale in cloud, al servizio di posta, al software di fatturazione.
Questo semplifica molto il ragionamento: non serve una disciplina nuova, serve applicare quella che l’azienda usa già.
Le tre domande che decidono tutto
1. Che tipo di dato è
Non tutto quello che esce da un ufficio è un dato personale. Un listino, una procedura interna, un testo commerciale non lo sono. Un contratto con nome e cognome del referente lo è. Una cartella clinica, un dato sindacale, un procedimento disciplinare sono dati particolari, e lì l’asticella si alza parecchio.
La domanda pratica che usiamo in aula è più utile della categoria giuridica: il problema sarebbe che si leggono dei nomi, o che si legge quello che c’è scritto?
Se il problema sono solo i nomi, spesso basta toglierli: il documento senza nomi smette di essere un dato personale e il lavoro si può fare. Se il problema è il contenuto, togliere i nomi non serve a niente.
2. Con che strumento
È la differenza che quasi nessuno spiega ai dipendenti, e che cambia tutto.
Un account personale gratuito è un servizio per consumatori: i contenuti possono essere usati per migliorare i modelli, e la conversazione non è coperta da nessun accordo fra l’azienda e il fornitore. Da lì non deve uscire niente di aziendale.
Un piano aziendale che esclude l’addestramento e prevede un contratto di responsabile del trattamento è un fornitore come gli altri. Le domande diventano quelle standard: dove sono elaborati i dati, per quanto restano nei log, chi vi accede.
Se l’azienda non dà uno strumento aziendale, le persone useranno quello personale. Succede in ogni azienda in cui entriamo, ed è il vero rischio: non il servizio AI, ma il fatto che l’azienda non sappia cosa è uscito.
3. Per farci cosa
Riscrivere un testo, riassumere un documento, generare una bozza sono trattamenti a basso impatto. Prendere decisioni su persone è un’altra categoria, e lì oltre al GDPR entra in gioco l’AI Act con la fascia ad alto rischio.
La valutazione d’impatto serve quando il trattamento può comportare un rischio elevato per i diritti delle persone. È il criterio generale del GDPR, non una novità dell’AI: vale la stessa logica che applicheresti a un nuovo sistema di videosorveglianza.
Il semaforo, che è il modo pratico di gestirlo
Tre colori, decisi una volta e validi per tutti.
Verde: si usa liberamente
Documenti senza dati personali e senza informazioni riservate: procedure, testi commerciali, materiale già pubblico, normativa. È la maggior parte del lavoro quotidiano, ed è il motivo per cui questa classificazione libera invece di bloccare.
Giallo: si usa, togliendo il nome
Documenti con dati personali comuni, tipo nomi e contatti in contratti e corrispondenza. Si usano con lo strumento aziendale, e dove il nome non serve al lavoro si toglie.
Rosso: non esce
Dati particolari, dati di minori, informazioni coperte da segreto, tutto ciò che in caso di fuoriuscita avrebbe conseguenze serie. L'eccezione la autorizza una persona sola.
Serve anche una regola sul momento, perché non conta solo il documento: una trattativa in corso è diversa dallo stesso contratto sei mesi dopo la firma.
Cosa mettere per iscritto col fornitore
Quattro cose, e tutte in contratto o nei termini del servizio, non a voce in call.
- I dati sono usati per addestrare modelli? Deve essere escluso per il piano che stai usando.
- Dove vengono elaborati e con quale garanzia per gli eventuali trasferimenti fuori dall’Unione.
- Quanto restano nei log del fornitore e chi può accedervi.
- Il contratto di responsabile del trattamento previsto dall’articolo 28.
Diffida di due formule. “100% GDPR compliant” non è un bollino che esista: la conformità è un processo che resta in parte in capo a te, con nomine, registro dei trattamenti ed eventuale valutazione d’impatto. E “i dati restano in Italia” va sempre chiesto come: la residenza si promette per regione europea, e in diversi servizi dipende dalla configurazione.
L’errore che costa di più
Vietare tutto.
È la reazione istintiva di molte direzioni, e produce l’effetto opposto: le persone continuano a usare gli strumenti perché il lavoro va fatto, solo che lo fanno di nascosto e con account personali. L’azienda perde l’unica cosa che le serviva davvero, cioè sapere cosa sta uscendo.
La strada che funziona è l’inverso: uno strumento aziendale utilizzabile, il semaforo spiegato in mezza giornata, e una persona a cui chiedere nei casi dubbi. Da quel momento le domande diminuiscono, perché le persone hanno un criterio invece di un permesso da chiedere ogni volta.
Sul resto degli adempimenti, la guida su cosa deve fare una PMI con l’AI Act mette in fila i cinque passi, e quella sull’obbligo di formazione copre la parte che è già in vigore.