Cosa significa GDPR nel contesto dell’IA?

Il Regolamento generale sulla protezione dei dati tutela i dati personali. Tra questi rientrano le informazioni che possono essere attribuite direttamente o indirettamente a una persona fisica, ad esempio nomi, indirizzi e-mail, numeri di telefono, dati dei clienti, dati del personale o documenti di candidatura.

Non appena tali dati vengono trattati, sorge tra l’altro la domanda se esista una base giuridica, per quanto tempo i dati possano essere conservati, chi vi possa accedere e quali diritti abbiano le persone interessate.

Naturalmente vale anche quando questi dati vengono trattati con l’aiuto di un sistema di IA. Il GDPR è quindi una componente importante di ogni strategia di IA. Ma non è l’intera strategia di IA.

Non ogni informazione sensibile è personale

Molte delle informazioni più preziose di un’azienda non rientrano direttamente nel GDPR. Tra queste vi sono ad esempio calcoli, listini prezzi, idee di prodotto, documentazione di produzione, codice sorgente, strategie di vendita, offerte, bozze di contratto, pianificazioni interne o dati aziendali.

Queste informazioni possono essere di enorme importanza per un’azienda. Tuttavia non sono automaticamente dati personali.

Proprio qui spesso nasce un falso senso di sicurezza. Una soluzione può essere impostata in modo corretto dal punto di vista della protezione dei dati e, allo stesso tempo, rappresentare un rischio significativo per le informazioni aziendali riservate.

La domanda decisiva quindi non è solo:

Possiamo trattare questi dati?

Ma anche:

Dovremmo trasmettere queste informazioni a questo servizio?

Protezione dei dati e sicurezza dei dati non sono la stessa cosa

La protezione dei dati si concentra sui dati personali. La sicurezza dei dati riguarda tutte le informazioni che meritano protezione.

Si tratta di domande molto pratiche:

• Dove vengono trattati i dati?
• Chi può accedervi?
• Chi gestisce l’infrastruttura tecnica?
• I contenuti vengono salvati?
• Vengono utilizzati per altri scopi?
• Possono essere usati per l’addestramento di un modello?
• Cosa succede in caso di incidente di sicurezza?
• I dati possono essere eliminati completamente?
• Quali possibilità ha un’azienda se cambiano le condizioni di un fornitore?

Queste domande non sono rilevanti solo per i dati personali. Valgono allo stesso modo per segreti commerciali, documentazione tecnica, strategie clienti e know-how interno.

Conforme al GDPR non significa automaticamente sicuro

Il termine «conforme al GDPR» viene spesso usato come un sigillo di qualità generale. In pratica, senza ulteriori spiegazioni, l’affermazione ha solo un valore limitato.

Un’azienda dovrebbe verificare più nel dettaglio a cosa si riferisce l’affermazione:

• Si tratta della posizione dei server?
• Delle disposizioni contrattuali?
• Della cancellazione dei dati?
• Dell’utilizzo degli input a fini di addestramento?
• Dei diritti di accesso all’interno del fornitore?
• Oppure della base giuridica per il trattamento?

Una soluzione può essere conforme al GDPR in un determinato ambito e, allo stesso tempo, presentare rischi in un altro. Per questo vale sempre la pena guardare all’intero sistema.

La sola ubicazione del server non basta

Molti fornitori pubblicizzano che i dati sono archiviati in Europa. Questo può essere un punto importante. Ma non risponde a tutte le domande.

È decisivo anche quale azienda gestisce il servizio, a quale diritto è soggetta questa azienda e chi può accedere ai dati dal punto di vista tecnico o giuridico.

In questo contesto viene spesso citato il CLOUD Act statunitense. Questa legge può obbligare le aziende statunitensi, a determinate condizioni, a consegnare dati alle autorità USA. Ciò può riguardare anche dati non archiviati negli Stati Uniti.

Se e in quale misura ciò sia rilevante nel singolo caso dipende dalla concreta configurazione tecnica e giuridica.

Per le aziende questo significa: la posizione di archiviazione è importante. Il controllo giuridico sui dati è almeno altrettanto importante.

Cosa succede ai dati nei grandi modelli linguistici?

Quando si utilizzano modelli linguistici, spesso vengono inseriti contenuti che nascono nel normale lavoro quotidiano. I collaboratori fanno correggere testi, riassumere documenti, esaminare contratti, formulare offerte o rispondere a domande tecniche.

In questo modo informazioni sensibili possono rapidamente finire in sistemi esterni. Non sempre chi utilizza questi strumenti è consapevole di quali dati stia condividendo.

Il rischio spesso non nasce da un comportamento intenzionalmente scorretto. Nasce dalla comodità e dalla mancanza di regole.

Per questo le aziende dovrebbero stabilire chiaramente quali informazioni possono essere inserite in sistemi di IA esterni e quali no. Anche la protezione tecnica svolge un ruolo importante.

Una soluzione aziendale centralizzata con diritti di accesso regolamentati è in molti casi più sicura dell’uso incontrollato di account privati da parte dei singoli collaboratori.

La dipendenza dai fornitori fa anch’essa parte della valutazione del rischio

Molte tecnologie di IA ad alte prestazioni provengono oggi dagli Stati Uniti. Per le aziende questo offre grandi opportunità. Allo stesso tempo nasce una dipendenza da fornitori, piattaforme e condizioni politiche su cui le aziende europee hanno solo un’influenza limitata.

I servizi possono modificare i prezzi. Le funzioni possono venire meno. Le condizioni d’uso possono essere adattate. L’accesso a determinati modelli può essere limitato a livello regionale. Anche decisioni politiche o norme sull’export possono influenzare la disponibilità delle tecnologie.

Le aziende non dovrebbero quindi chiedersi solo quale soluzione sia oggi la più performante. Dovrebbero anche verificare quanto questa tecnologia sia disponibile in modo sicuro nel lungo periodo.

La situazione diventa particolarmente critica quando processi centrali dipendono completamente da un singolo fornitore. In quel caso una decisione tecnica diventa rapidamente un rischio imprenditoriale.

Dove le aziende devono andare oltre il GDPR

Un uso responsabile dell’IA richiede più di una verifica sulla protezione dei dati. Richiede regole chiare per i dati aziendali, misure di sicurezza tecniche, diritti di accesso regolamentati, una scelta consapevole dei fornitori e contratti che disciplinino in modo comprensibile cosa accade ai dati.

Richiede inoltre una strategia per il caso in cui un servizio non sia più disponibile, e collaboratori che sappiano quali informazioni possono inserire in un sistema di IA.

Il GDPR resta importante. Ma è solo una parte del quadro complessivo.

Spunto di riflessione Vimmera

Si chieda una volta:

• Sa quali dati i suoi collaboratori inseriscono già oggi nei sistemi di IA?
• Esistono regole chiare al riguardo?
• Sa dove questi dati vengono trattati?
• Conosce il quadro giuridico dei fornitori utilizzati?
• È regolato se gli input vengono salvati o utilizzati a fini di addestramento?
• Potrebbe cambiare fornitore se prezzi, condizioni o disponibilità dovessero cambiare?
• Sono protetti anche i dati aziendali riservati che non rientrano nel GDPR?

Se non riesce a rispondere in modo chiaro a diverse di queste domande, l’uso dell’IA nella sua azienda dovrebbe essere esaminato più da vicino.

Domanda pratica della settimana

La sua azienda sarebbe sufficientemente protetta se domani tutti i dati personali venissero trattati in modo completamente conforme al GDPR?

Oppure resterebbero comunque rischi per segreti commerciali, conoscenze interne e informazioni strategicamente importanti?

Da portare con sé

Il GDPR è importante. Protegge i dati personali e crea regole chiare per il loro trattamento. Tuttavia, quando si utilizza l’IA, da solo non basta.

Le aziende devono prestare attenzione allo stesso modo alla sicurezza dei dati, alla riservatezza, al controllo tecnico, alle possibilità di accesso giuridico e alla dipendenza da singoli fornitori.

Non ogni informazione importante è personale. Ma molte informazioni sono così preziose per un’azienda che devono essere protette con almeno la stessa cura.

Una buona strategia di IA quindi non inizia con la domanda se una soluzione sia conforme al GDPR. Inizia con la domanda quali dati l’azienda deve proteggere e a quali condizioni tali dati possono essere trattati.

Vuole dare un’occhiata più da vicino?

Vuole sapere quali rischi esistono nell’uso dell’IA nella sua azienda e come protezione dei dati, sicurezza dei dati e indipendenza tecnologica possano essere combinate in modo sensato?

Ci scriva pure a info@vimmera.de. Insieme analizziamo il vostro attuale utilizzo dell’IA e sviluppiamo un percorso adatto alle vostre esigenze, ai vostri dati e alla vostra azienda.