Cosa significa il GDPR in relazione all’IA?

Il Regolamento generale sulla protezione dei dati protegge i dati personali. Si tratta di informazioni che possono essere ricondotte direttamente o indirettamente a una persona fisica, come nomi, indirizzi e-mail, numeri di telefono, dati dei clienti, dati del personale o documenti di candidatura.

Quando vengono trattati dati di questo tipo, occorre chiedersi, tra le altre cose, se esiste una base giuridica per farlo, per quanto tempo è consentito conservarli, chi può accedervi e quali diritti spettano agli interessati.

Naturalmente, questo vale anche quando tali dati vengono trattati con l’ausilio di un sistema di IA. Il GDPR è quindi una componente importante di qualsiasi strategia di IA, ma non rappresenta l’intera strategia.

Non tutte le informazioni sensibili sono dati personali

Molte delle informazioni più preziose di un’azienda non rientrano direttamente nell’ambito del GDPR. Ne sono un esempio i calcoli dei costi, i listini prezzi, le idee di prodotto, la documentazione di produzione, il codice sorgente, le strategie di vendita, le offerte, le bozze di contratto, la pianificazione interna o i dati economici.

Queste informazioni possono essere di enorme importanza per un’azienda. Tuttavia, non sono automaticamente dati personali.

È proprio qui che spesso nasce un falso senso di sicurezza. Una soluzione può essere impostata correttamente dal punto di vista della protezione dei dati e rappresentare comunque un rischio significativo per le informazioni riservate dell’azienda.

La domanda decisiva, quindi, non è soltanto:

Possiamo trattare questi dati?

Ma anche:

Dovremmo davvero trasmettere queste informazioni a questo servizio?

Protezione dei dati e sicurezza dei dati non sono la stessa cosa

La protezione dei dati si concentra sui dati personali. La sicurezza dei dati riguarda tutte le informazioni da proteggere.

Si tratta di questioni molto pratiche:

• Dove vengono trattati i dati?
• Chi può accedervi?
• Chi gestisce l’infrastruttura tecnica?
• I contenuti vengono conservati?
• Vengono utilizzati per altri scopi?
• Possono essere utilizzati per addestrare un modello?
• Cosa succede in caso di incidente di sicurezza?
• È possibile cancellare completamente i dati?
• Quali possibilità ha un’azienda se cambiano le condizioni di un fornitore?

Queste domande non riguardano solo i dati personali. Si applicano anche ai segreti commerciali, alla documentazione tecnica, alle strategie per i clienti e alle competenze interne.

Conforme al GDPR non significa automaticamente sicuro

Il termine «conforme al GDPR» viene spesso utilizzato come un marchio di qualità generale. Nella pratica, senza ulteriori spiegazioni, questa affermazione ha un valore limitato.

Un’azienda dovrebbe verificare più precisamente a cosa si riferisce tale affermazione:

• Riguarda la sede dei server?
• Le disposizioni contrattuali?
• La cancellazione dei dati?
• L’utilizzo degli input a fini di addestramento?
• I diritti di accesso all’interno del fornitore?
• Oppure la base giuridica del trattamento?

Una soluzione può essere conforme al GDPR in un determinato ambito e presentare comunque rischi in un altro. Per questo vale sempre la pena esaminare il sistema nel suo complesso.

La sola sede del server non basta

Molti fornitori pubblicizzano il fatto che i dati vengono conservati in Europa. Può essere un aspetto importante, ma non risponde a tutte le domande.

È altrettanto importante sapere quale azienda gestisce il servizio, a quale giurisdizione è soggetta e chi può accedere ai dati dal punto di vista tecnico o giuridico.

In questo contesto si cita spesso lo US CLOUD Act. In determinate circostanze, questa legge può obbligare le aziende statunitensi a fornire dati alle autorità degli Stati Uniti. Ciò può riguardare anche dati conservati al di fuori degli USA.

La rilevanza di questo aspetto e la sua portata dipendono dalle specifiche caratteristiche tecniche e giuridiche del singolo caso.

Per le aziende, questo significa che il luogo di conservazione è importante, ma il controllo giuridico sui dati lo è almeno altrettanto.

Cosa succede ai dati nei grandi modelli linguistici?

Quando si utilizzano modelli linguistici, spesso si inseriscono contenuti creati durante la normale attività lavorativa. I dipendenti chiedono di migliorare testi, riassumere documenti, esaminare contratti, formulare offerte o rispondere a domande tecniche.

In questo modo, informazioni sensibili possono finire rapidamente in sistemi esterni. Chi li utilizza non sempre si rende conto dei dati che sta condividendo.

Spesso il rischio non deriva da una condotta scorretta intenzionale, ma dalla comodità e dall’assenza di regole.

Per questo le aziende dovrebbero stabilire chiaramente quali informazioni possono essere inserite nei sistemi di IA esterni e quali no. Anche le misure di sicurezza tecniche svolgono un ruolo importante.

In molti casi, una soluzione aziendale centralizzata con diritti di accesso regolamentati è più sicura dell’uso incontrollato di account personali da parte dei singoli dipendenti.

La dipendenza dai fornitori rientra anch’essa nella valutazione dei rischi

Oggi molte tecnologie di IA ad alte prestazioni provengono dagli Stati Uniti. Per le aziende offrono grandi opportunità, ma creano anche una dipendenza da fornitori, piattaforme e condizioni politiche sulle quali le aziende europee hanno un’influenza limitata.

I servizi possono modificare i prezzi. Alcune funzionalità possono essere eliminate. Le condizioni d’uso possono cambiare. L’accesso a determinati modelli può essere limitato a livello regionale. Anche le decisioni politiche o le norme sulle esportazioni possono influire sulla disponibilità delle tecnologie.

Per questo le aziende non dovrebbero chiedersi soltanto quale soluzione sia oggi la più potente. Dovrebbero anche valutare quanto sia probabile che questa tecnologia resti disponibile nel lungo periodo.

La situazione diventa particolarmente critica quando i processi principali dipendono interamente da un unico fornitore. In tal caso, una decisione tecnica si trasforma rapidamente in un rischio aziendale.

Dove le aziende devono andare oltre il GDPR

Un uso responsabile dell’IA richiede più di una verifica della protezione dei dati. Servono regole chiare per i dati aziendali, misure di sicurezza tecniche, diritti di accesso regolamentati, una scelta consapevole dei fornitori e contratti che definiscano in modo comprensibile cosa succede ai dati.

Serve inoltre una strategia per il caso in cui un servizio non sia più disponibile e occorre che i dipendenti sappiano quali informazioni possono inserire in un sistema di IA.

Il GDPR resta importante, ma è solo una parte del quadro complessivo.

Spunto di riflessione Vimmera

Chiedetevi:

• Sapete già quali dati i vostri dipendenti inseriscono nei sistemi di IA?
• Esistono regole chiare al riguardo?
• Sapete dove vengono trattati questi dati?
• Conoscete il quadro giuridico dei fornitori utilizzati?
• È stabilito se gli input vengono conservati o utilizzati a fini di addestramento?
• Potreste cambiare fornitore se i prezzi, le condizioni o la disponibilità dovessero cambiare?
• Sono protetti anche i dati aziendali riservati che non rientrano nell’ambito del GDPR?

Se non riuscite a rispondere con certezza a più di una di queste domande, è il caso di esaminare più attentamente l’uso dell’IA nella vostra azienda.

La domanda pratica della settimana

La vostra azienda sarebbe sufficientemente protetta se da domani tutti i dati personali venissero trattati nel pieno rispetto del GDPR?

Oppure continuerebbero a sussistere rischi per i segreti commerciali, il know-how interno e le informazioni di importanza strategica?

Da ricordare

Il GDPR è importante: protegge i dati personali e stabilisce regole chiare per il loro trattamento. Tuttavia, da solo non basta quando si utilizza l’IA.

Le aziende devono prestare attenzione anche alla sicurezza dei dati, alla riservatezza, al controllo tecnico, alle possibilità di accesso ai dati previste dalla legge e alla dipendenza da singoli fornitori.

Non tutte le informazioni importanti sono dati personali. Tuttavia, molte informazioni sono così preziose per un’azienda da dover essere protette con altrettanta cura.

Per questo una buona strategia di IA non parte dalla domanda se una soluzione sia conforme al GDPR. Parte dalla domanda su quali dati l’azienda debba proteggere e a quali condizioni sia consentito trattarli.

Volete approfondire?

Volete sapere quali rischi comporta l’uso dell’IA nella vostra azienda e come integrare efficacemente la protezione dei dati, la sicurezza dei dati e l’indipendenza tecnologica?

Scriveteci pure all’indirizzo info@vimmera.de. Esamineremo insieme il vostro attuale utilizzo dell’IA e svilupperemo un percorso adatto alle vostre esigenze, ai vostri dati e alla vostra azienda.