Dati · Privacy · GDPR
AI e dati aziendali: cosa succede davvero ai tuoi documenti
È l'obiezione che blocca più progetti, ed è una domanda giusta. La risposta breve: dipende dal piano che hai attivato, e la differenza tra un account personale e uno aziendale non è tecnica, è contrattuale.
Verificato il . Le condizioni dei fornitori cambiano spesso: qui trovi cosa verificare e dove, non una fotografia che invecchia. Non è un parere legale.
La distinzione che nessuno spiega in azienda
Quando un imprenditore chiede se i suoi dati finiscono nell'addestramento, la risposta che riceve è quasi sempre un sì o un no secco. Sono entrambi sbagliati, perché la stessa azienda fornitrice tratta i dati in modo diverso a seconda del piano.
Sui piani personali e gratuiti dei principali assistenti conversazionali i contenuti inseriti possono essere usati per migliorare i modelli, salvo disattivare l'opzione dove è prevista. Sui piani business, team ed enterprise, e sull'accesso via API, l'uso per l'addestramento è normalmente escluso per impostazione predefinita ed è disponibile un accordo sul trattamento dei dati.
Questo significa che la frase "non usiamo l'AI perché i dati finiscono chissà dove" e la frase "usiamo l'AI, tanto non guarda nessuno" sono lo stesso errore, cioè non aver guardato quale piano si sta usando.
Cosa verificare, livello per livello
Le condizioni cambiano spesso e ogni fornitore le scrive a modo suo, quindi non ha senso una tabella che confronta nomi commerciali: invecchierebbe in un mese. Ha senso invece sapere cosa cercare.
| Livello | Addestramento sui tuoi dati | Accordo sul trattamento | Adatto a dati aziendali |
|---|---|---|---|
| Gratuito | Tipicamente sì, salvo disattivazione | Non previsto | No |
| Personale a pagamento | Spesso sì, con opzione per disattivare | Non previsto | No, manca la base contrattuale |
| Business o team | Escluso per impostazione predefinita | Disponibile da firmare | Sì, è il livello giusto per una PMI |
| Enterprise | Escluso, con garanzie contrattuali | Disponibile, con opzioni su residenza e conservazione | Sì, se servono requisiti specifici |
Le voci da verificare sulla pagina del fornitore, prima di comprare, sono sempre le stesse quattro: uso dei contenuti per l'addestramento, disponibilità di un accordo sul trattamento dei dati, periodo di conservazione e possibilità di ridurlo, luogo del trattamento.
Perché l'accordo sul trattamento non è burocrazia
È il punto che fa la differenza tra un'azienda in regola e una che scoprirà il problema al primo controllo. Quando fai trattare dati personali a un fornitore esterno, il GDPR chiede che quel rapporto sia regolato da un contratto ai sensi dell'articolo 28. Senza, il trattamento è privo della base contrattuale che la norma richiede.
Ed è esattamente il motivo per cui un abbonamento personale usato per lavoro non è una scorciatoia economica ma un problema: quel contratto non esiste, perché il fornitore lo mette a disposizione solo sui piani pensati per le organizzazioni. La differenza di prezzo per utente tra il piano personale e quello business è modesta. La differenza di responsabilità è tutta.
Il rischio vero non è il fornitore
Quando in un'azienda si discute di AI e dati, la conversazione gira sempre attorno a cosa fa il fornitore. Nella mia esperienza il rischio concreto sta da un'altra parte, ed è molto più banale: il dipendente che apre un account personale perché l'azienda non gliene ha dato uno.
Succede senza cattiva fede. Una persona ha una scadenza, deve scrivere una risposta a un cliente difficile, apre lo strumento che usa a casa e ci incolla il carteggio. In quel momento dati aziendali escono dall'azienda, senza che nessuno lo registri e senza nessun contratto a coprire il trattamento.
Si previene con due cose, e vanno fatte insieme. La prima è dare le licenze aziendali: se le persone hanno lo strumento giusto non hanno motivo di usarne uno proprio. La seconda è una regola interna scritta, concreta, che elenchi cosa non va mai inserito. Una regola che dice "usate l'AI con buon senso" non serve a niente.
Cosa mettere per iscritto
- L'accordo sul trattamento firmato con il fornitore scelto, conservato insieme agli altri contratti.
- Una regola interna di utilizzo che elenchi cosa non si inserisce: dati dei clienti, documenti coperti da riservatezza, credenziali, informazioni su singoli dipendenti.
- L'aggiornamento del registro dei trattamenti con il nuovo fornitore, la finalità e la base giuridica.
- La traccia della formazione alle persone, che serve anche per l'obbligo di alfabetizzazione previsto dall'AI Act.
Su quest'ultimo punto e più in generale sugli obblighi normativi ho scritto una pagina dedicata: AI Act per le PMI, con le scadenze reali e cosa è stato rinviato.
Come lo affronto nei progetti
Nei progetti che seguo questa parte non arriva alla fine, arriva all'inizio, prima di scegliere gli strumenti. Il motivo è pratico: se scopri a metà lavoro che il flusso costruito fa passare dati dei clienti attraverso un servizio senza accordo, rifai tutto.
Si guarda quali dati toccherà davvero il processo che vogliamo automatizzare, spesso molti meno di quanto si pensi, si sceglie il livello di piano di conseguenza, e si scrive la regola interna insieme a chi userà lo strumento, non in un ufficio separato. Il metodo completo è nella pagina sulla consulenza sull'intelligenza artificiale.
Domande frequenti
Se uso ChatGPT i miei dati aziendali finiscono nell'addestramento?
Dipende dal piano, ed è la distinzione che quasi nessuno spiega in azienda. Sui piani personali e gratuiti dei principali assistenti conversazionali i contenuti inseriti possono essere usati per migliorare i modelli, salvo disattivare l'opzione dove è prevista. Sui piani business, team ed enterprise, e sull'accesso via API, l'uso dei contenuti per l'addestramento è normalmente escluso per impostazione predefinita ed è previsto un accordo sul trattamento dei dati. La differenza non è tecnica, è contrattuale.
Posso caricare un contratto o un listino su un'intelligenza artificiale?
Su un piano business con accordo sul trattamento dei dati firmato, sì, ed è uno degli usi più utili in assoluto. Su un account personale usato per lavoro, no, e non tanto per il rischio tecnico quanto perché manca la base contrattuale: senza un accordo ai sensi dell'articolo 28 del GDPR, un'azienda che fa trattare dati personali a un fornitore lo sta facendo senza il contratto che la norma richiede.
Qual è la differenza pratica tra piano personale e piano business?
Quattro cose. Sul piano business l'uso dei contenuti per addestrare i modelli è escluso per impostazione predefinita, è disponibile un accordo sul trattamento dei dati da firmare, la conservazione è configurabile e in alcuni casi azzerabile, e l'amministratore controlla gli account invece di avere dipendenti con licenze personali. Il costo per utente cambia poco rispetto al piano personale: la differenza vera è chi risponde se qualcosa va storto.
I dati restano in Europa?
Non automaticamente, e va verificato caso per caso sul fornitore e sul livello di piano. La residenza dei dati nell'Unione Europea è tipicamente una funzione dei livelli enterprise, mentre sui piani intermedi il trattamento può avvenire fuori dall'Unione con garanzie contrattuali. Per la maggior parte delle PMI italiane il punto decisivo non è la residenza ma l'esistenza dell'accordo sul trattamento e l'esclusione dall'addestramento.
Cosa succede se un dipendente incolla dati dei clienti in un chatbot?
È lo scenario più probabile e quello che nessuno presidia: il rischio maggiore non è il fornitore, è l'uso non governato all'interno dell'azienda. Un dipendente che apre un account personale e ci incolla un elenco clienti per farsi aiutare a scrivere un'email sta facendo uscire dati dall'azienda senza che nessuno lo sappia. Si previene con due cose messe insieme: licenze aziendali fornite dall'azienda, così le persone non hanno motivo di usare account propri, e una regola interna scritta che dica cosa non va mai inserito.
Cosa devo mettere per iscritto prima di dare le licenze al team?
Tre documenti brevi. Un accordo sul trattamento dei dati firmato con il fornitore. Una regola interna di utilizzo che elenchi in modo concreto cosa non si inserisce, dai dati dei clienti ai documenti coperti da riservatezza. Un aggiornamento del registro dei trattamenti che includa il nuovo fornitore. Sono poche pagine, e vanno scritte prima di distribuire gli accessi, non dopo il primo incidente.
Vuoi capire quali dati toccherebbe il tuo progetto?
Spesso sono molti meno di quanto sembra, e questo cambia quale piano ti serve. In mezz'ora ce lo chiariamo.
Marco Masut, Largo di Porta Cadore 5, 31029 Vittorio Veneto (TV)[email protected]