Dove finiscono i tuoi dati? Privacy e AI senza panico

Quando in azienda si parla di intelligenza artificiale, la seconda domanda arriva sempre: e i nostri dati? È una domanda giusta. Ma spesso porta a una di due conclusioni sbagliate: o «è troppo rischioso, non la usiamo», o «tanto la usano tutti, non ci pensiamo».

In questa puntata proviamo a mettere le cose in ordine, senza allarmismi e senza leggerezze: dove sta il rischio vero, quali domande fare a un fornitore, cosa chiedono le norme a una piccola o media impresa.

L'AI è già in casa tua, che tu lo sappia o no

Anche dove nessuno ha mai deciso di adottarla, l'intelligenza artificiale è probabilmente già al lavoro. Un collaboratore incolla un contratto in un chatbot gratuito per farselo riassumere. Un altro carica un foglio clienti per «sistemare le colonne». Lo fanno per lavorare meglio, non per fare danni.

Ha anche un nome: shadow AI, l'AI usata fuori da qualunque regola aziendale. I numeri dicono che non è un'eccezione.

Quasi otto persone su dieci, tra chi usa l'AI al lavoro, si portano gli strumenti da casa. E una su due preferisce non dirlo. Tradotto: l'azienda non sa quali dati escono, verso quali servizi, con quali condizioni.

Perché vietare non basta

La reazione istintiva è un divieto. Funziona poco: chi trova utile uno strumento continua a usarlo dal telefono, solo con meno trasparenza di prima. Il rischio non sparisce, diventa invisibile.

Funziona meglio il contrario: dare uno strumento adatto e poche regole chiare. Quali dati si possono usare, con quale servizio, e chi risponde alle domande quando un caso non è chiaro.

Le regole ci sono, e vengono applicate

Nel dicembre 2024 il Garante per la protezione dei dati personali ha chiuso l'istruttoria su ChatGPT con una sanzione di 15 milioni di euro a OpenAI. Tra i motivi: aver usato dati personali per addestrare il modello senza un'adeguata base giuridica, la scarsa trasparenza verso gli utenti, una violazione di dati non notificata e l'assenza di verifiche sull'età. OpenAI ha annunciato ricorso.

Il punto, per un'azienda, non è il singolo caso. È che privacy e AI non sono un terreno senza regole: chi sceglie uno strumento sceglie anche come vengono trattati i dati di clienti e dipendenti, e ne risponde.

Cosa significa per una PMI, in pratica

Un assistente che risponde sui documenti aziendali, nella maggior parte dei casi, non è un sistema ad alto rischio. Questo non vuol dire che non ci sia niente da fare. Le cose concrete sono poche:

• Un contratto con il fornitore che lo nomini responsabile del trattamento dei dati personali (art. 28 del GDPR) e dica dove stanno i dati.
• Dati in Europa, o garanzie adeguate se escono dall'UE.
• Un minimo di formazione per chi lo usa: cosa può fare, cosa no, cosa non caricare.
• Un'informativa ai collaboratori se lo strumento incide sul loro lavoro, come chiede la legge italiana.
• Una regola d'uso in una pagina: quali strumenti sono ammessi e con quali dati.

Questa è una guida per orientarsi, non una consulenza legale: per il tuo caso specifico, coinvolgi il tuo consulente privacy o il DPO.

Il rischio che si dimentica: quello interno

Si pensa sempre ai dati che escono verso l'esterno. Ma c'è un rischio più vicino. Se un assistente AI legge tutti i documenti dell'azienda e risponde a tutti allo stesso modo, chiunque può ritrovarsi davanti le buste paga, una trattativa riservata o una pratica disciplinare.

Per questo i permessi contano quanto la privacy: l'assistente deve sapere chi sta facendo la domanda, e cercare solo nei documenti che quella persona può già leggere.