Cosa significa GDPR in relazione all'IA?

Il Regolamento generale sulla protezione dei dati protegge i dati personali. Tra questi rientrano le informazioni che possono essere attribuite direttamente o indirettamente a una persona fisica, ad esempio nomi, indirizzi e-mail, numeri di telefono, dati dei clienti, dati del personale o documenti di candidatura.

Non appena tali dati vengono trattati, si pone tra l'altro la questione se esista una base giuridica per farlo, per quanto tempo i dati possano essere conservati, chi possa accedervi e quali diritti abbiano le persone interessate.

Naturalmente, questo vale anche quando tali dati vengono trattati con l’ausilio di un sistema di IA. Il GDPR è quindi una componente importante di ogni strategia di IA. Ma non costituisce l’intera strategia di IA.

Non tutte le informazioni sensibili sono personali

Molte delle informazioni più preziose di un'azienda non rientrano direttamente nel campo di applicazione del GDPR. Tra queste figurano, ad esempio, calcoli, listini prezzi, idee di prodotto, documentazione di produzione, codice sorgente, strategie di vendita, offerte, bozze di contratto, pianificazioni interne o dati aziendali.

Queste informazioni possono essere di enorme importanza per un'azienda. Tuttavia, non costituiscono automaticamente dati personali.

È proprio qui che spesso nasce un falso senso di sicurezza. Una soluzione può essere configurata correttamente dal punto di vista della protezione dei dati e rappresentare comunque un rischio significativo per le informazioni aziendali riservate.

La domanda decisiva, quindi, non è solo:

Possiamo trattare questi dati?

Ma anche:

Dovremmo davvero trasmettere queste informazioni a questo servizio?

La protezione dei dati e la sicurezza dei dati non sono la stessa cosa

La protezione dei dati si concentra sui dati personali. La sicurezza dei dati riguarda tutte le informazioni meritevoli di protezione.

Si tratta di questioni molto pratiche:

• Dove vengono elaborati i dati?
• Chi può accedervi?
• Chi gestisce l'infrastruttura tecnica?
• I contenuti vengono salvati?
• Vengono utilizzati per altri scopi?
• Possono essere utilizzati per l'addestramento di un modello?
• Cosa succede in caso di incidente di sicurezza?
• È possibile cancellare completamente i dati?
• Quali possibilità ha un’azienda quando cambiano le condizioni di un fornitore?

Queste domande non sono rilevanti solo per i dati personali. Si applicano allo stesso modo ai segreti commerciali, alla documentazione tecnica, alle strategie per i clienti e al know-how interno.

Conforme al GDPR non significa automaticamente sicuro

Il termine „conforme al GDPR“ viene spesso utilizzato come un marchio generale di qualità. Nella pratica, l'affermazione è solo limitatamente significativa senza ulteriori spiegazioni.

Un’azienda dovrebbe verificare più attentamente a cosa si riferisce l’affermazione:

• Riguarda la posizione dei server?
• Le disposizioni contrattuali?
• La cancellazione dei dati?
• L’utilizzo degli input per finalità di addestramento?
• I diritti di accesso all’interno del fornitore?
• Oppure la base giuridica del trattamento?

Una soluzione può essere conforme al GDPR in un determinato ambito e contenere comunque rischi in un altro punto. Per questo vale sempre la pena dare un'occhiata all'intero sistema.

La sola posizione del server non è sufficiente

Molti fornitori pubblicizzano il fatto che i dati vengano archiviati in Europa. Questo può essere un aspetto importante. Tuttavia, non risponde a tutte le domande.

È importante anche quale azienda gestisce il servizio, a quale diritto è soggetta tale azienda e chi può accedere ai dati dal punto di vista tecnico o giuridico.

In questo contesto viene spesso citato il CLOUD Act statunitense. Questa legge può obbligare le aziende statunitensi, a determinate condizioni, a comunicare dati alle autorità statunitensi. Ciò può riguardare anche dati non archiviati negli Stati Uniti.

Se e in quale misura ciò sia rilevante nel singolo caso dipende dalla concreta configurazione tecnica e giuridica.

Per le aziende questo significa: il luogo di archiviazione è importante. Il controllo legale sui dati è almeno altrettanto importante.

Cosa succede ai dati nei grandi modelli linguistici?

Nell'utilizzo dei modelli linguistici vengono spesso inseriti contenuti che nascono nella normale quotidianità lavorativa. I collaboratori fanno migliorare testi, riassumere documenti, verificare contratti, formulare offerte o rispondere a domande tecniche.

In questo modo, informazioni sensibili possono finire rapidamente in sistemi esterni. Gli utenti non sono sempre consapevoli di quali dati stiano trasmettendo in quel momento.

Il rischio spesso non deriva da comportamenti scorretti intenzionali. Deriva dalla comodità e dalla mancanza di regole.

Per questo le aziende dovrebbero stabilire chiaramente quali informazioni possono essere inserite nei sistemi di IA esterni e quali no. Anche la protezione tecnica svolge un ruolo importante.

Una soluzione aziendale centralizzata con diritti di accesso regolamentati è in molti casi più sicura dell'uso incontrollato di account privati da parte di singoli dipendenti.

Anche la dipendenza dai fornitori rientra nella valutazione dei rischi

Oggi molte potenti tecnologie di IA provengono dagli USA. Per le aziende ciò offre grandi opportunità. Allo stesso tempo, si crea una dipendenza da fornitori, piattaforme e condizioni politiche sulle quali le aziende europee hanno solo un'influenza limitata.

I servizi possono modificare i loro prezzi. Le funzionalità possono essere eliminate. Le condizioni d’uso possono essere aggiornate. L’accesso a determinati modelli può essere limitato a livello regionale. Anche le decisioni politiche o le normative sulle esportazioni possono influenzare la disponibilità delle tecnologie.

Per questo le aziende non dovrebbero chiedersi solo quale soluzione sia oggi la più performante. Dovrebbero anche verificare quanto sia sicura la disponibilità di questa tecnologia a lungo termine.

La situazione diventa particolarmente critica quando processi centrali dipendono interamente da un unico fornitore. In tal caso, una decisione tecnica si trasforma rapidamente in un rischio imprenditoriale.

Dove le aziende devono andare oltre il GDPR

Un utilizzo responsabile dell’IA richiede più di una verifica della protezione dei dati. Richiede regole chiare per i dati aziendali, misure di sicurezza tecniche, diritti di accesso regolamentati, una scelta consapevole dei fornitori e contratti che disciplinino chiaramente ciò che accade ai dati.

Ha inoltre bisogno di una strategia per il caso in cui un servizio non sia più disponibile e di dipendenti che sappiano quali informazioni possono inserire in un sistema di IA.

Il GDPR rimane importante in questo contesto. Tuttavia, è solo una parte del quadro complessivo.

Vimmera – Spunto di riflessione

Si chieda:

• Sa quali dati i suoi dipendenti inseriscono già oggi nei sistemi di IA?
• Esistono regole chiare in merito?
• Sa dove vengono elaborati questi dati?
• Conosce il quadro giuridico dei fornitori utilizzati?
• È regolamentato se gli inserimenti vengono salvati o utilizzati a fini di addestramento?
• Potrebbe cambiare fornitore se cambiassero prezzi, condizioni o disponibilità?
• Sono protetti anche i dati aziendali riservati che non rientrano nel GDPR?

Se non riesce a rispondere chiaramente a diverse di queste domande, l'utilizzo dell'IA nella Sua azienda dovrebbe essere esaminato più attentamente.

Domanda pratica della settimana

La Sua azienda sarebbe sufficientemente protetta se domani tutti i dati personali fossero trattati in piena conformità al GDPR?

Oppure rimarrebbero comunque rischi per i segreti aziendali, le conoscenze interne e le informazioni strategicamente importanti?

In sintesi

Il GDPR è importante. Protegge i dati personali e stabilisce regole chiare per il loro trattamento. Tuttavia, quando si utilizza l’IA, questo da solo non basta.

Le aziende devono prestare altrettanta attenzione alla sicurezza dei dati, alla riservatezza, al controllo tecnico, alle possibilità di accesso legale e alla dipendenza da singoli fornitori.

Non tutte le informazioni importanti sono personali. Ma molte informazioni sono così preziose per un'azienda da dover essere protette almeno con la stessa cura.

Una buona strategia di IA non inizia quindi dalla domanda se una soluzione sia conforme al GDPR. Inizia dalla domanda su quali dati l’azienda debba proteggere e a quali condizioni tali dati possano essere trattati.

Perché non dare un’occhiata più da vicino?

Desidera sapere quali rischi comporta l'impiego dell'IA nella Sua azienda e come sia possibile combinare in modo sensato protezione dei dati, sicurezza dei dati e indipendenza tecnologica?

Non esiti a scriverci a info@vimmera.de. Insieme analizziamo il Suo attuale utilizzo dell’IA e sviluppiamo un percorso adatto alle Sue esigenze, ai Suoi dati e alla Sua azienda.