L’intelligenza artificiale lavora. I dati restano.

È la domanda che ferma la maggior parte delle aziende italiane, e ha ragione di fermarle.

Quando qualcuno incolla un contratto, un elenco clienti o il curriculum di un candidato dentro un servizio di intelligenza artificiale, quei dati escono dall’azienda. A volte finiscono su server fuori dall’Unione Europea. A volte contribuiscono ad addestrare il modello. Quasi sempre nessuno in azienda ha deciso che potesse succedere: è successo perché era comodo.

Il problema non si risolve vietando. Il divieto produce solo l’uso clandestino, che è la versione peggiore: stessa esposizione, nessun controllo, nessuna traccia.

Le tre strade

1. Modelli in cloud con contratti adeguati.
I principali fornitori offrono condizioni per uso aziendale che escludono l’addestramento sui dati inviati e permettono di scegliere la regione dei server. È sufficiente per molti usi — testi commerciali, traduzioni, sintesi di documenti pubblici — e non lo è per altri. La differenza la fa cosa entra, non quale strumento si usa.

2. Uno strato di protezione davanti al modello.
I dati passano da un sistema che riconosce e sostituisce le informazioni riconoscibili — nomi, codici fiscali, partite IVA, indirizzi, numeri di contratto — prima che il testo esca. Il modello lavora su un testo utile ma anonimo, e la risposta viene ricomposta all’ingresso. È la strada che permette di usare i modelli migliori senza esporre le persone.

Su questo il gruppo ha una piattaforma dedicata — nata esattamente da questo problema e sviluppata insieme a Securitix, la società tecnologica del gruppo.

3. Modelli installati sui vostri server.
Il dato non esce mai. Costa di più in infrastruttura e i modelli disponibili sono meno potenti di quelli in cloud, ma per certi settori è l’unica strada percorribile. Va detto senza entusiasmo: non è la scelta giusta per tutti, è la scelta giusta per alcuni.

Come si sceglie

Non si sceglie una strada per tutta l’azienda: si sceglie per tipo di dato.

Un testo per il sito e una cartella clinica non hanno bisogno della stessa protezione, e trattarli allo stesso modo significa o spendere troppo o esporsi troppo. La classificazione dei dati è il lavoro noioso che rende sensato tutto il resto, e si fa una volta.

Quello che il GDPR chiede davvero

Non c’è una norma che dica “non usate l’intelligenza artificiale”. Ci sono obblighi che valgono anche qui: sapere quali dati personali tratti e perché, avere una base giuridica, informare le persone, valutare i rischi quando il trattamento è delicato, e poter dimostrare tutto questo.

La parte che più spesso manca non è tecnica: è che nessuno ha scritto da nessuna parte cosa è permesso fare. Una policy interna di due pagine, comprensibile, vale più di uno strumento in più.

Perché ne parliamo con cognizione

ISO/IEC 27001 — la nostra azienda è certificata sulla gestione della sicurezza delle informazioni, verificata da ente terzo. Non è un attestato appeso: è la ragione per cui gestiamo dati di clienti che non potrebbero affidarli a chiunque.

Una struttura dedicata alla sicurezza. Vulneralt, con cui portiamo sul mercato i servizi di cybersecurity, e Securitix, la società tecnologica del gruppo con cui sviluppiamo gli strumenti di protezione dei dati aziendali.

Lo facciamo su noi stessi — usiamo l’intelligenza artificiale nel nostro lavoro quotidiano, e abbiamo dovuto rispondere a queste domande prima di venirle a spiegare a te.