L’AI non crea soltanto nuove opportunità. Crea nuovi flussi di dati che l’impresa deve imparare a conoscere e governare.
L’Intelligenza Artificiale sta entrando nelle imprese molto più velocemente dei processi organizzativi pensati per governarla.
ChatGPT, Microsoft Copilot, assistenti AI integrati nei software aziendali, strumenti di marketing, sistemi di recruiting, piattaforme di customer care e applicazioni di analisi vengono utilizzati quotidianamente da dipendenti, collaboratori e fornitori.
Il problema, però, non è soltanto sapere quali strumenti vengono utilizzati.
La domanda più importante è un’altra:
Quali informazioni stiamo consegnando a questi sistemi?
Un dipendente può inserire in un prompt il contenuto di una mail.
Un ufficio commerciale può caricare una presentazione contenente informazioni sui clienti.
Le risorse umane possono utilizzare strumenti AI per analizzare candidature o preparare documenti.
Un professionista può chiedere a un sistema generativo di sintetizzare un contratto.
Un software acquistato dall’impresa può integrare funzionalità di Intelligenza Artificiale senza che chi lo utilizza conosca esattamente il percorso dei dati.
È qui che il rapporto tra GDPR e Intelligenza Artificiale diventa concreto.
Non perché ogni utilizzo dell’AI rappresenti automaticamente una violazione della normativa.
Ma perché ogni organizzazione dovrebbe sapere quali dati vengono trattati, perché vengono trattati, da chi, attraverso quali strumenti e con quali garanzie.
L’AI sta creando nuovi flussi di dati dentro le imprese
Per molti anni la protezione dei dati personali è stata gestita soprattutto attraverso processi relativamente riconoscibili.
CRM.
Gestionali.
Database clienti.
Sistemi HR.
Newsletter.
Videosorveglianza.
Siti web.
L’Intelligenza Artificiale cambia parzialmente questo scenario perché introduce strumenti estremamente flessibili.
Un chatbot può essere utilizzato per scrivere una comunicazione commerciale, sintetizzare un documento, analizzare un contratto, elaborare una candidatura o organizzare informazioni interne.
Lo stesso strumento può quindi ricevere dati completamente diversi a seconda dell’utilizzatore.
Ed è proprio questa flessibilità a rendere più difficile la governance.
Il rischio non è soltanto tecnologico.
È organizzativo.
L’impresa potrebbe trovarsi a trattare o trasferire informazioni senza avere una visione completa di ciò che sta accadendo.
Lo Shadow AI è il nuovo Shadow IT
Da anni le organizzazioni conoscono il problema dello Shadow IT: software, applicazioni o servizi utilizzati dai dipendenti senza essere formalmente approvati dall’azienda.
Con l’Intelligenza Artificiale sta emergendo un fenomeno analogo.
Possiamo chiamarlo Shadow AI.
Un dipendente apre un account personale su uno strumento generativo.
Un reparto utilizza autonomamente una piattaforma AI.
Un collaboratore carica documenti aziendali per ottenere una sintesi.
Un fornitore introduce funzionalità AI nel proprio servizio.
La tecnologia entra così nell’organizzazione senza necessariamente passare attraverso un processo centralizzato di valutazione.
Questo crea una domanda fondamentale:
L’impresa sa realmente quali sistemi AI stanno utilizzando le persone che lavorano per essa?
Se la risposta è no, diventa difficile governare anche i dati che transitano attraverso questi strumenti.
Non tutti i dati hanno lo stesso peso
Quando si parla di GDPR e Intelligenza Artificiale bisogna evitare un errore frequente.
Non tutte le informazioni inserite in un sistema AI sono necessariamente dati personali.
Ma molte possono esserlo.
Nome e cognome.
Indirizzi email.
Dati relativi ai dipendenti.
Informazioni sui clienti.
Curriculum.
Conversazioni.
Documentazione commerciale.
Informazioni economiche.
Dati contenuti nei contratti.
E in alcuni casi possono essere coinvolte categorie di dati particolarmente delicate.
Il problema, inoltre, non riguarda esclusivamente la privacy.
Un documento può non contenere dati personali ma essere comunque riservato, strategico o coperto da obblighi contrattuali di confidenzialità.
Per questo la governance dell’AI deve andare oltre una semplice domanda:
“Ci sono dati personali?”
Occorre chiedersi anche:
Quali informazioni stiamo trasferendo? Chi può accedervi? Come vengono utilizzate? Per quanto tempo vengono conservate? Possono essere riutilizzate dal fornitore?
Il GDPR non scompare perché utilizziamo l’AI
L’utilizzo di tecnologie innovative non crea una zona separata rispetto alla disciplina sulla protezione dei dati.
Quando un trattamento rientra nell’ambito del GDPR, continuano a essere rilevanti principi come liceità, correttezza, trasparenza, limitazione della finalità, minimizzazione, sicurezza e responsabilizzazione.
Il Parere 28/2024 dell’European Data Protection Board affronta direttamente alcuni aspetti dell’utilizzo dei dati personali nello sviluppo e nella diffusione dei modelli di Intelligenza Artificiale, compresi anonimizzazione, base giuridica e interesse legittimo.
Un punto è particolarmente significativo per le imprese:
non è sufficiente considerare automaticamente un modello AI anonimo per concludere che il GDPR non trovi applicazione.
L’EDPB richiede una valutazione concreta e caso per caso.
Questo conferma un principio più generale.
Nella governance dell’AI le qualificazioni giuridiche non possono essere semplicemente presunte.
Devono essere verificate.
Il vero problema spesso è il fornitore
Molti sistemi AI utilizzati dalle imprese non vengono sviluppati internamente.
Arrivano attraverso fornitori.
Software as a Service.
Piattaforme cloud.
Applicazioni integrate.
Servizi professionali.
API.
Questo significa che una parte importante della governance passa inevitabilmente attraverso la supply chain tecnologica.
Prima di utilizzare un sistema potrebbe essere necessario comprendere:
- dove vengono elaborati i dati;
- quali soggetti partecipano al trattamento;
- quali condizioni contrattuali si applicano;
- se i dati vengono conservati;
- se possono essere utilizzati per migliorare o addestrare i sistemi;
- quali misure di sicurezza vengono adottate;
- quali trasferimenti internazionali possono essere coinvolti.
Il punto non è trasformare ogni acquisto software in una procedura interminabile.
È introdurre un livello di verifica proporzionato al rischio.
Privacy by design significa progettare prima, non correggere dopo
Uno dei concetti più importanti del GDPR è quello della protezione dei dati fin dalla progettazione.
Nel contesto dell’Intelligenza Artificiale questo principio diventa ancora più rilevante.
È molto più semplice definire prima quali informazioni possono essere utilizzate con uno strumento AI piuttosto che cercare successivamente di ricostruire centinaia di utilizzi non governati.
Una buona organizzazione dovrebbe stabilire almeno alcune regole di base.
- Quali strumenti sono autorizzati.
- Quali informazioni possono essere inserite.
- Quali informazioni non devono essere utilizzate.
- Quando è richiesta una verifica preventiva.
- Chi può approvare nuovi strumenti.
- Come devono essere gestiti i fornitori.
- Quando è necessario coinvolgere privacy, IT, cybersecurity o funzione legale.
La compliance efficace nasce soprattutto dalla chiarezza organizzativa.
Non tutto richiede una DPIA. Ma tutto richiede consapevolezza
Non ogni utilizzo dell’Intelligenza Artificiale richiede automaticamente una valutazione d’impatto sulla protezione dei dati.
La necessità dipende dalle caratteristiche concrete del trattamento e dal rischio per i diritti e le libertà delle persone.
Questo è un punto importante.
Una governance intelligente non deve creare procedure sproporzionate.
Deve essere capace di distinguere.
Usare un assistente AI per migliorare una bozza interna non equivale necessariamente a utilizzare un sistema automatizzato per valutare candidati o prendere decisioni che producono effetti significativi sulle persone.
Il principio corretto è quindi:
più cresce il rischio, più deve crescere il livello di controllo.
Cosa dovrebbe fare oggi un’impresa?
Non serve necessariamente costruire immediatamente strutture complesse.
Ma un’organizzazione che utilizza seriamente strumenti di Intelligenza Artificiale dovrebbe almeno conoscere il proprio livello di esposizione.
Un percorso ragionevole può partire da cinque attività.
1. Mappare gli strumenti AI
Comprendere quali applicazioni vengono utilizzate all’interno dell’organizzazione, comprese quelle integrate nei software già acquistati.
2. Mappare i dati
Capire quali informazioni vengono inserite nei sistemi e distinguere dati personali, dati riservati e informazioni aziendali ordinarie.
3. Definire una AI Usage Policy
Stabilire regole semplici e comprensibili su ciò che può essere fatto e ciò che richiede autorizzazione.
4. Verificare i fornitori
Comprendere condizioni contrattuali, trattamento dei dati, sicurezza, conservazione e possibili trasferimenti.
5. Integrare Privacy, Legal, IT e Cybersecurity
L’AI non dovrebbe essere governata da una sola funzione.
La tecnologia attraversa contemporaneamente organizzazione, dati, contratti, sicurezza e responsabilità.
THE LEGAL BUSINESS PERSPECTIVE
La privacy non dovrebbe impedire all’impresa di utilizzare l’Intelligenza Artificiale. Dovrebbe permetterle di utilizzarla con maggiore consapevolezza.
La questione fondamentale non è scegliere tra innovazione e protezione dei dati.
È costruire processi che rendano possibile entrambe.
Un’impresa che conosce i propri strumenti, comprende i propri flussi informativi, governa i fornitori e definisce responsabilità chiare può utilizzare l’AI con maggiore sicurezza e velocità.
Il GDPR, in questa prospettiva, non rappresenta semplicemente un insieme di obblighi.
Può diventare un metodo per comprendere meglio come circolano le informazioni all’interno dell’organizzazione.
E quando l’impresa comprende i propri dati, comprende meglio anche i propri processi.
La vera sfida non è impedire ai dati di muoversi. È sapere dove stanno andando.
Il diritto crea valore quando diventa parte della strategia.
Leg Desk affianca imprese e management nell’interpretazione delle trasformazioni normative, tecnologiche e organizzative, trasformando la complessità giuridica in decisioni consapevoli.
PARLIAMONE