Privacy, GDPR e AI Act: usare l'AI in regola
Cosa succede ai tuoi dati quando usi un chatbot, come impostare la privacy, e cosa devono sapere aziende e professionisti su GDPR e Regolamento europeo sull'AI.
Nota: questa guida è informativa e non costituisce consulenza legale. Per casi specifici rivolgiti a un professionista.
Cosa succede ai dati che inserisci
Quando scrivi in un chatbot, il testo viene inviato ai server del fornitore. A seconda del servizio e del piano:
- può essere conservato per un periodo;
- può essere usato per migliorare i modelli (spesso disattivabile);
- può essere visto da personale autorizzato per sicurezza o abuso.
I piani business/enterprise di norma escludono l'uso dei dati per l'addestramento e offrono garanzie contrattuali.
Impostazioni da controllare subito
- Disattiva l'uso delle conversazioni per l'addestramento, se disponibile.
- Usa chat temporanee per contenuti delicati.
- Controlla memoria e cronologia e cancella ciò che non serve.
- Verifica cosa condividono i connettori (mail, drive).
- Usa account aziendali, non personali, per il lavoro.
Cosa non inserire mai (senza tutele adeguate)
- Dati personali di clienti, pazienti, dipendenti.
- Dati sanitari, giudiziari, categorie particolari.
- Segreti industriali, codice proprietario, credenziali e chiavi.
- Documenti coperti da NDA.
Tecnica utile: anonimizza prima ("Cliente A", "Importo X").
GDPR in pratica per chi usa l'AI al lavoro
| Tema | Cosa fare |
|---|---|
| Base giuridica | Individua la base per il trattamento dei dati personali |
| Informativa | Aggiorna l'informativa se usi l'AI su dati di terzi |
| Responsabile del trattamento | Contratto (DPA) con il fornitore |
| Trasferimenti extra-UE | Verifica garanzie e localizzazione dei dati |
| Minimizzazione | Invia solo i dati necessari |
| DPIA | Valutazione d'impatto per trattamenti ad alto rischio |
| Decisioni automatizzate | Garanzie e intervento umano su decisioni con effetti significativi |
AI Act europeo, in sintesi
Il Regolamento europeo sull'AI adotta un approccio basato sul rischio e prevede obblighi graduali:
- Rischio inaccettabile: pratiche vietate (es. alcune forme di manipolazione o sorveglianza biometrica).
- Alto rischio: sistemi in ambiti come lavoro, istruzione, credito, sanità: obblighi di documentazione, controllo umano, qualità dei dati.
- Rischio limitato: obblighi di trasparenza (es. avvisare che si interagisce con un'AI, etichettare contenuti sintetici).
- Modelli di uso generale: obblighi per i fornitori.
Per le aziende che usano l'AI conta anche l'alfabetizzazione: formare il personale a un uso consapevole.
Policy aziendale minima (modello)
Regole d'uso dell'AI in azienda:
1. Usare solo gli strumenti approvati dall'azienda.
2. Non inserire dati personali, riservati o coperti da NDA in strumenti non approvati.
3. Verificare sempre i contenuti generati prima dell'uso esterno.
4. Dichiarare l'uso dell'AI quando richiesto dal cliente o dalla legge.
5. Segnalare errori, incidenti o usi dubbi a [referente].Per ridurre i rischi alla radice valuta i modelli in locale.