ChatGPT, Copilot e gli altri strumenti di Intelligenza Artificiale generativa stanno entrando rapidamente nelle attività quotidiane delle aziende.
Possono essere utilizzati per elaborare testi, sintetizzare documenti, predisporre presentazioni, analizzare informazioni o supportare numerose attività professionali.
La loro facilità di utilizzo, tuttavia, può portare a sottovalutare un aspetto fondamentale: quando inseriamo informazioni in uno strumento di IA stiamo comunicando dati a un sistema esterno all’organizzazione.
E quei dati potrebbero riguardare clienti, dipendenti, fornitori o altri soggetti.
Il problema non è utilizzare l’IA, ma sapere cosa le stiamo affidando
Copiare un testo all’interno di un prompt, allegare un documento o chiedere all’IA di analizzare un file può comportare il trattamento delle informazioni contenute al suo interno.
Pensiamo, ad esempio, a:
- un contratto contenente nominativi e recapiti;
- un curriculum vitae;
- una busta paga;
- un elenco clienti;
- una contestazione disciplinare;
- documentazione sanitaria relativa a un lavoratore;
- una corrispondenza aziendale;
- un report commerciale contenente informazioni riferibili a persone fisiche.
Quali informazioni non dovrebbero essere inserite liberamente?
n assenza di specifiche regole e strumenti aziendali autorizzati, particolare cautela dovrebbe essere riservata a:
Dati personali
Nomi, cognomi, indirizzi, numeri di telefono, e-mail, codici fiscali e qualsiasi altra informazione che consenta di identificare una persona.
Dati particolari
Informazioni relative, ad esempio, alla salute, appartenenza sindacale, convinzioni religiose o altri dati ai quali il GDPR riconosce una particolare tutela.
Credenziali e informazioni di sicurezza
Password, codici di accesso, chiavi, configurazioni di sicurezza o altre informazioni che potrebbero compromettere sistemi e account aziendali.
Informazioni riservate dell’azienda
Contratti, strategie commerciali, listini riservati, progetti, know-how, informazioni finanziarie o documenti coperti da obblighi di riservatezza.
Anonimizzare può essere una soluzione
Quando possibile, il documento o il testo può essere preventivamente privato delle informazioni che permettono di identificare le persone.
Anziché scrivere:
“Mario Rossi, dipendente dell’azienda Alfa S.r.l., assente per…”
si potrà, quando la finalità lo consente, utilizzare una formulazione come:
“Un dipendente dell’azienda, assente per…”
La regola pratica è semplice: fornire all’IA soltanto le informazioni realmente necessarie per ottenere il risultato desiderato.
È l’applicazione, anche nell’utilizzo delle nuove tecnologie, del principio di minimizzazione dei dati previsto dal GDPR.
Account personale e strumenti aziendali non sono necessariamente la stessa cosa
Un altro aspetto spesso trascurato riguarda quale servizio di IA viene utilizzato e con quale configurazione.
Le condizioni di trattamento, conservazione e utilizzo dei dati possono infatti differire a seconda del fornitore, del servizio e della tipologia di account utilizzato.
Non è quindi sufficiente dire genericamente che “l’azienda utilizza ChatGPT” o “utilizza Copilot”.
Prima di autorizzare uno strumento occorre conoscere quale servizio viene utilizzato, con quali condizioni, quali impostazioni sono state adottate e quali dati possono essergli affidati.
Cosa dovrebbe fare l’azienda?
L’utilizzo dell’Intelligenza Artificiale non dovrebbe essere lasciato esclusivamente all’iniziativa dei singoli lavoratori.
L’organizzazione dovrebbe innanzitutto conoscere quali strumenti vengono utilizzati e per quali attività, valutarne le implicazioni in materia di protezione dei dati e sicurezza delle informazioni e stabilire regole interne comprensibili per chi li utilizza.
Può essere opportuno definire:
- gli strumenti di IA autorizzati;
- le attività per le quali possono essere utilizzati;
- le categorie di informazioni che non devono essere inserite;
- le modalità di anonimizzazione dei documenti;
- le cautele nell’utilizzo degli output prodotti dall’IA;
- le modalità di segnalazione di eventuali utilizzi impropri o incidenti.
Una nuova consapevolezza digitale
L’obiettivo non dovrebbe essere vietare l’Intelligenza Artificiale.
Al contrario, questi strumenti possono rappresentare un’importante opportunità per le aziende, se utilizzati all’interno di un quadro di regole chiare e condivise.
La vera sfida è imparare a utilizzarli in modo consapevole, integrando innovazione, protezione dei dati, riservatezza e sicurezza delle informazioni.
Queste informazioni sono davvero necessarie per ottenere ciò che sto chiedendo all’IA?