Professione AI
Documenti aziendali e AI: quali dati stiamo davvero condividendo?
Prima di caricare un file servono una finalità chiara e una verifica del servizio. Il parere EDPB sui modelli AI resta un riferimento da leggere nel suo contesto.
Dati personali, documenti riservati e servizi generativi: le domande da affrontare prima di inserire l’AI nel lavoro quotidiano.
Un contratto, una candidatura, il verbale di una riunione: caricare un documento in un servizio AI può sembrare un gesto ordinario. Prima di farlo, però, è necessario capire quali informazioni contiene e che cosa succederà a quei dati dopo l’invio.
Il parere EDPB 28/2024, adottato il 18 dicembre 2024, affronta diversi aspetti della protezione dei dati nei modelli AI. Tra i chiarimenti, l’anonimato di un modello non può essere dato per scontato: va valutato caso per caso. Il documento esamina anche l’interesse legittimo e le conseguenze di trattamenti illeciti nella fase di sviluppo. Non è un via libera generale all’uso di qualsiasi dato.
EDPB — Parere sui modelli AI e sui principi del GDPR, 18 dicembre 2024
Una verifica sul servizio concreto
La stessa famiglia di prodotti può offrire piani, configurazioni e condizioni differenti. Per questo non basta conoscere il nome del modello. Occorre verificare il servizio effettivamente usato, le impostazioni attive e gli accordi applicabili all’organizzazione.
Qual è lo scopo del caricamento e quali informazioni sono realmente necessarie?
Il documento contiene dati personali, informazioni riservate o materiale di terzi?
Chi può accedere ai dati e per quanto tempo vengono conservati?
Le condizioni prevedono un uso dei contenuti per addestramento o miglioramento del servizio?
Quali misure, ruoli e adempimenti devono essere valutati con i responsabili competenti?
Meno dati, istruzioni più chiare
Sul piano organizzativo, può essere utile predisporre esempi di documenti ammessi e non ammessi, invece di affidarsi a un divieto generico o alla prudenza del singolo. Quando lo scopo lo consente, si può lavorare su estratti, dati di prova o versioni depurate dalle informazioni non necessarie. Togliere un nome, tuttavia, non garantisce da solo che una persona non sia più identificabile.
Per una prima sperimentazione, un insieme di documenti sintetici preparati per il test permette di verificare l’utilità dello strumento prima di coinvolgere dati reali. Il passaggio alla produzione richiede una decisione esplicita: chi autorizza l’uso, con quali limiti e con quali controlli.
La responsabilità non finisce con la risposta
Anche un risultato generato può contenere informazioni personali, errori o dettagli da non diffondere. Il controllo riguarda quindi l’intero percorso: ciò che entra nel sistema, il trattamento effettuato e ciò che viene riutilizzato o condiviso. Per il professionista, rendere chiaro questo percorso è parte integrante della qualità del progetto.
Questo articolo offre informazioni generali e indicazioni operative. La valutazione degli obblighi applicabili richiede l’esame del singolo caso e non è sostituita da questo approfondimento.