Nessun prodotto nel carrello.
di Antonio Sinibaldi per redigo.info
Cosa non inserire mai negli strumenti di intelligenza artificiale, immaginiamo scene concrete.
Un consulente che incolla dentro l’IA il testo integrale di una comunicazione ricevuta da un cliente, con nome, cognome, codice fiscale, posizione debitoria, dati patrimoniali e riferimenti contrattuali, sta portando nello strumento informazioni che richiedono tutela oppure un responsabile HR che carica curricula, valutazioni interne, note disciplinari o dati dei dipendenti, sta trattando informazioni riferite a persone identificabili.
La regola pratica dovrebbe essere chiara: ciò che contiene identità, informazioni personali, segreti professionali, dati aziendali non pubblici o documenti riservati non deve essere inserito con leggerezza dentro strumenti non autorizzati.
Prima viene la valutazione e poi, eventualmente, l’uso.
GDPR e dati sensibili
Il GDPR, già molto prima dell’esplosione dell’IA generativa, ci ha consegnato alcuni principi essenziali: “i dati personali devono essere trattati in modo lecito, corretto e trasparente, devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità, devono essere esatti, conservati per un tempo coerente, protetti con misure adeguate”. Dietro queste parole, che a volte sembrano lontane dalla vita quotidiana, c’è una logica molto concreta: non raccogliere, usare, spostare o condividere dati senza motivo, senza controllo, senza necessità e senza sicurezza.
L’IA non cancella questi principi, anzi, li rende ancora più importanti perché lavora benissimo proprio sui materiali che, spesso, contengono informazioni sensibili o riservate: testi, mail, documenti, file, report, verbali, tabelle, relazioni, registri, comunicazioni, contratti, note interne. Più lo strumento è utile, più cresce la tentazione di dargli tutto e, più gli diamo tutto, più dobbiamo sapere cosa stiamo facendo.
Un errore molto comune consiste nel pensare: “Tolgo il nome e il problema è risolto”.
A volte può aiutare, certo. La pseudonimizzazione, l’anonimizzazione, la rimozione degli identificativi diretti sono pratiche utili. Ma bisogna sempre stare attenti perché un cliente può essere spesso riconoscibile da una pratica, un dipendente può essere riconoscibile da un reparto, un paziente può essere riconoscibile da una storia clinica, ecc.
Serve metodo, non improvvisazione
Serve metodo e non improvvisazione.
In molti casi, prima di usare l’IA, si può lavorare su versioni “pulite” dei documenti. Si possono togliere nomi, codici fiscali, indirizzi, numeri di telefono, mail, IBAN, targhe, riferimenti a persone, dettagli non necessari, trasformare i dati reali in esempi neutri chiedendo all’IA di lavorare su un modello.
Questa, ora, è una competenza organizzativa e, questa competenza, diventa reale quando impariamo a farci delle domande preventive. Il principio di minimizzazione, nel lavoro con l’IA, diventa una regola quotidiana: dare allo strumento solo ciò che serve, niente di più.
E i dati aziendali?
Questo vale anche per i dati aziendali.
Spesso si parla di privacy pensando solo ai dati personali, ma negli strumenti di IA possono finire anche informazioni strategiche: listini non pubblici, margini, offerte commerciali, preventivi, piani di sviluppo, strategie di marketing, progetti non ancora annunciati, documenti interni, criticità organizzative, relazioni con fornitori, know-how, procedure operative.
Le imprese e gli studi professionali dovrebbero definire poche regole semplici, scritte in modo comprensibile, condivise con tutti:
- quali strumenti sono autorizzati;
- quali account devono essere usati;
- quali dati possono essere inseriti;
- quali dati devono restare esclusi;
- quali documenti richiedono una versione anonimizzata;
- quali attività possono essere svolte con l’IA;
- quali output devono essere verificati;
- chi è il referente interno;
- cosa fare in caso di inserimento accidentale di dati riservati.
Una policy interna sull’IA deve essere semplicemente “chiara” perché è proprio la chiarezza che protegge le persone qualsiasi sia il ruolo. Quando mancano regole, ognuno decide da solo e, quando ognuno decide da solo, l’organizzazione scopre i problemi solo dopo che sono accaduti.
Questo si applica anche al segreto professionale.
AI Act
La Commissione europea presenta l’AI Act come un quadro pensato per sostenere un’IA affidabile e affrontare i rischi collegati ai sistemi di intelligenza artificiale. Questo orientamento ci aiuta a capire un punto più ampio: l’IA deve essere inserita dentro processi controllabili, non basta solo adottarla sulla carta, bisogna governarla ovvero, bisogna sapere dire di no.
- no al caricamento di documenti completi quando basta una sintesi anonima;
- no all’inserimento di dati sanitari, fiscali o lavorativi in strumenti non valutati;
- no all’uso di account personali per attività professionali delicate;
- no alla condivisione di credenziali, password, chiavi API, codici di accesso, informazioni bancarie, documenti d’identità o dati di pagamento;
- no alla copia integrale di fascicoli, contratti, cartelle, buste paga, report interni e pratiche riservate senza una procedura autorizzata.
Farci le domande
L’uso responsabile dell’IA parte da una piccola inversione mentale: prima di chiederci “cosa posso far fare a questo strumento?”, dovremmo chiederci “quali dati sto per consegnare a questo strumento?”.
La prima domanda riguarda l’efficienza. La seconda riguarda la responsabilità.
La regola da portare al lavoro, allora, è semplice: il dato che non consegneresti ad uno sconosciuto non va inserito con leggerezza dentro uno strumento digitale.
Da un lato la macchina può lavorare sui dati, dall’altro la persona deve decidere quali dati possono entrare nel lavoro della macchina.
