Riferimento normativo: Regolamento (UE) 2016/679 (GDPR) — Regolamento (UE) 2024/1689 (AI Act)
Il gesto più comune, il rischio più sottovalutato
"Riscrivimi questa email in modo più professionale". "Controlla questo contratto". "Riassumi questo verbale". Ogni giorno in migliaia di uffici qualcuno copia un testo e lo incolla in un assistente di intelligenza artificiale. È comodo e fa risparmiare tempo. Ma dentro quel testo ci sono spesso nomi, codici fiscali, indirizzi, dati di salute, stipendi.
Il problema non è l'intelligenza artificiale in sé. È che, per il GDPR, inserire dati personali in un servizio esterno è un trattamento di dati, e l'azienda ne risponde.
Cosa non incollare mai negli strumenti non autorizzati
- dati personali di clienti, fornitori e dipendenti: nomi con codice fiscale, indirizzi, telefoni, IBAN;
- dati particolari: certificati medici, idoneità alla mansione, appartenenza sindacale, dati giudiziari;
- buste paga e dati retributivi;
- contratti e offerte riservate, listini, strategie commerciali;
- password, chiavi di accesso e codici di software e siti;
- codice sorgente dei programmi aziendali con dati di configurazione.
Perché è un rischio
Gli assistenti di intelligenza artificiale non sono tutti uguali. Cambiano da strumento a strumento, e spesso tra versione gratuita e versione professionale:
- dove vengono conservati i dati, anche fuori dall'Unione europea;
- per quanto tempo restano salvate le conversazioni;
- se i contenuti vengono usati per migliorare i modelli, e se si può disattivare questa opzione;
- quali garanzie contrattuali sono previste per i clienti aziendali.
ChatGPT, Claude, Gemini, DeepSeek e Copilot hanno condizioni diverse, che cambiano nel tempo: vanno lette e verificate prima di usarli con dati aziendali. Uno strumento ottimo per scrivere codice o testi generici può non essere adatto a trattare i dati dei clienti.
Come usare l'IA senza rinunciare alla privacy
- anonimizza prima di incollare: "Mario Rossi, codice fiscale..." diventa "il cliente A". Per riscrivere un'email il nome non serve;
- usa account aziendali con condizioni contrattuali adeguate, invece degli account personali gratuiti;
- disattiva, dove possibile, l'uso delle conversazioni per l'addestramento;
- chiedi all'IA la struttura, non il contenuto: "come si imposta una lettera di richiamo" invece di incollare il caso reale;
- verifica sempre quello che l'IA produce prima di mandarlo a un cliente.
Le regole minime per l'azienda
Serve poco per mettere ordine, e aiuta anche a rispettare l'obbligo di alfabetizzazione dell'AI Act:
- un elenco degli strumenti autorizzati e degli usi consentiti;
- una regola scritta sui dati che non si possono inserire;
- la verifica, con il consulente privacy, dell'eventuale necessità di aggiornare il registro dei trattamenti, le informative e le nomine dei fornitori;
- una formazione breve per tutto il personale, con esempi pratici;
- un referente a cui chiedere in caso di dubbio.
E per chi sviluppa software con l'IA
Chi usa l'intelligenza artificiale per programmare deve fare attenzione a un errore tipico: incollare nel prompt il file di configurazione con la password del database o le chiavi di accesso ai servizi. Quelle informazioni vanno sempre sostituite con valori finti prima di chiedere aiuto. Ed è buona regola progettare il database con la protezione dei dati già in mente, fin dal primo giorno.
Fonti: Regolamento (UE) 2016/679; Regolamento (UE) 2024/1689. Le condizioni dei singoli servizi di intelligenza artificiale cambiano nel tempo e vanno verificate sui siti dei fornitori.
Vuoi usare l'intelligenza artificiale nel lavoro, senza improvvisare?
Abbiamo preparato corsi pratici su intelligenza artificiale e coding: basi di dati e prompt, programmazione con l'IA, software per la modulistica aziendale e progetti su misura.