Dove finiscono i dati aziendali quando usi l’AI

Versione personale e versione aziendale non sono la stessa cosa

Lo stesso strumento può trattare i dati in modo molto diverso a seconda dell’account. Prendiamo ChatGPT. Secondo le pagine di aiuto di OpenAI, negli account personali, anche quelli a pagamento, le conversazioni possono essere usate per migliorare i modelli finché l’utente non spegne l’opzione nelle impostazioni. Nei piani per aziende, come Business ed Enterprise, i dati per impostazione predefinita non vengono usati per l’addestramento.

Lo stesso discorso vale per Microsoft. Copilot usato con l’account aziendale ha protezioni contrattuali che l’account personale non ha, e Microsoft indica che domande e risposte non servono ad addestrare i modelli di base. In pratica, se i tuoi dipendenti usano l’AI con la loro email privata, l’azienda non ha nessun controllo su quello che succede ai dati.

Addestramento e conservazione sono due domande diverse

Quando si parla di dati e AI si pensa subito all’addestramento, cioè al rischio che le tue informazioni finiscano dentro il modello. È una domanda giusta, ma non l’unica. C’è anche la conservazione, cioè per quanto tempo il fornitore tiene le conversazioni e i file caricati, chi può vederli e dove stanno fisicamente.

Un dettaglio che pochi conoscono riguarda i pollici in su e in giù sotto le risposte. Secondo OpenAI, se un utente di un account personale lascia un giudizio, l’intera conversazione può essere usata per migliorare i modelli anche quando ha disattivato l’addestramento. Sono cose scritte nelle condizioni, basta andarle a leggere.

Server in Europa, cosa vuol dire

Molti fornitori ora permettono di tenere i dati in Europa. OpenAI, per esempio, offre la residenza dei dati in Europa per i piani Enterprise ed Edu e per i progetti sviluppati sulla sua piattaforma per programmatori. Microsoft ha un impegno simile per i servizi Microsoft 365 aziendali, che chiama EU Data Boundary. Le condizioni cambiano spesso, quindi vanno sempre ricontrollate sulla pagina ufficiale del singolo servizio.

Avere i server in Europa è utile, ma non risolve tutto da solo. Conta anche chi è il soggetto che tratta i dati, con quale contratto e per quali scopi. Il regolamento europeo sulla protezione dei dati prevede che, quando un fornitore tratta dati personali per conto della tua azienda, il rapporto sia regolato da un accordo scritto. Nei servizi aziendali seri questo accordo esiste ed è scaricabile. Negli account personali non c’è.

Cosa non caricare, in nessun caso

Anche con lo strumento giusto, alcune informazioni non vanno incollate in una chat generica. Il fornitore può anche essere affidabilissimo. Semplicemente non c’è un motivo per farlo, e il rischio supera il vantaggio.

• Dati sanitari dei dipendenti, buste paga, documenti d’identità.
• Elenchi completi di clienti con contatti e condizioni commerciali.
• Password, chiavi di accesso, dati bancari.
• Progetti e disegni tecnici coperti da accordi di riservatezza con i clienti.
• Contratti e documenti legali con nomi di terzi, se non anonimizzati.

Pensa a un’azienda metalmeccanica che lavora su disegno del cliente. Spesso il contratto vieta di passare quei disegni a soggetti esterni. Caricarli in uno strumento online può violare quell’accordo anche se il fornitore dell’AI li tratta con tutte le cautele.

Quando l’AI lavora sui tuoi dati in modo continuo

Diverso è il caso di uno strumento costruito per lavorare sui dati dell’azienda, come un assistente sul catalogo o una memoria aziendale consultabile con una domanda. Qui i dati passano dal modello ogni giorno, ed è normale. Quello che conta è come è progettato il sistema.

Quando ne sviluppo uno, mando al modello solo le parti di documento che servono a rispondere, non l’archivio intero. Uso servizi con condizioni aziendali che escludono l’addestramento, scegliendo la sede europea quando il servizio la offre. E tengo nei sistemi dell’azienda i documenti originali, i permessi e lo storico, così si sa sempre chi ha visto cosa.

Come scegliere, in pratica

Per ogni strumento che pensi di adottare fatti dare per iscritto tre informazioni. Se i dati vengono usati per l’addestramento e come si esclude. Dove vengono conservati e per quanto. Se esiste un accordo sul trattamento dei dati da firmare. Se un fornitore non risponde in modo chiaro, è già una risposta.

Poi guarda dentro casa. Quali strumenti usano davvero i tuoi dipendenti, con quali account. Spesso il primo passo utile è dare a tutti una versione aziendale e chiedere di non usare più gli account personali per il lavoro. Il secondo è scrivere poche regole chiare su cosa si può caricare e cosa no.

Approfondisci: Second Brain aziendale · Consulenza e sviluppo