L'Intelligenza Artificiale è entrata nelle aziende con una velocità impressionante. C'è chi utilizza ChatGPT, Claude, Gemini e altri tool AI per scrivere email, chi per riassumere documenti, chi per creare codice, chi per preparare offerte commerciali o analizzare contratti.
Ma c'è una domanda che negli ultimi mesi viene posta sempre più spesso da imprenditori, DPO, responsabili IT e uffici legali:
"L'AI registra tutto quello che scrivo?"
La risposta breve è: dipende. La risposta corretta, invece, è decisamente più articolata e riguarda privacy, sicurezza informatica, AI Act e governance aziendale.
Perché il vero problema non è tanto se i tool di intelligenza artificiale "ricordano", ma cosa decidiamo di raccontargli, cioè di scrivere nel prompt per farci generare i contenuti.
È un po' come "consegnare il pallone" al nuovo giocatore appena arrivato. Prima di metterlo in campo sull'azione decisiva in una partita strategica, l'allenatore vuole sapere chi è, come gioca e se può davvero fidarsi. Lo stesso principio dovrebbe valere quando affidiamo informazioni aziendali a un sistema di Intelligenza Artificiale.
Una delle convinzioni più diffuse è che ogni conversazione con i software di intelligenza artificiale venga automaticamente utilizzata per addestrare il modello.
In realtà la situazione cambia in base alla versione utilizzata.
Ad esempio, nelle versioni consumer o gratuite possono essere previste impostazioni che consentono l'utilizzo delle conversazioni per migliorare i modelli, salvo diversa configurazione da parte dell'utente. Le versioni business, come Team o Enterprise di Chat GPT ad esempio, solitamente prevedono condizioni contrattuali differenti e maggiori garanzie sul trattamento dei dati. Ciò significa che non esiste una risposta valida universalmente.
La prima regola è quindi molto semplice: prima di utilizzare qualsiasi piattaforma AI occorre conoscere come vengono trattati i dati. Ed è proprio qui che entra in gioco la governance.
Paradossalmente, il problema più grande non è la tecnologia.
Sono le persone.
Ogni giorno migliaia di persone caricano all'interno di chatbot AI:
Molto spesso senza chiedersi:
L'Intelligenza Artificiale non è semplicemente un nuovo software, ma una scelta organizzativa che modifica i processi e richiede nuove modalità di gestione della conformità.
Una buona regola è questa:
Se un'informazione non la renderesti pubblica o non la caricheresti sul sito della tua azienda, probabilmente non dovresti inserirla in un chatbot pubblico senza averne verificato le condizioni di utilizzo.
Comunque, nello specifico, i dati che meritano particolare attenzione troviamo:
Il GDPR continua ad applicarsi anche quando utilizziamo strumenti di Intelligenza Artificiale.
Ad esempio:
In questo caso il problema potrebbe riguardare non solo la privacy, ma anche la tutela della proprietà intellettuale.
Seguendo questo ragionamento, le aziende iniziano a chiedersi se utilizzare gli strumenti di intelligenza artificiale sia conforme al GDPR. La normativa di riferimento, oltre al GDPR, è l'AI ACT.
La conformità rispetto al GDPR e all'AI ACT è un lavoro di integrazione che mette insieme privacy, sicurezza informatica, software, organizzazione e formazione aziendale, evitando una gestione "a compartimenti stagni".
C'è poi un fenomeno che sta preoccupando moltissimo aziende e consulenti: la Shadow AI. Con questa espressione si indica l'utilizzo di strumenti AI senza che vi sia conoscenza da parte dell'organizzazione o senza il controllo dell'IT manager dell'azienda
Secondo le ricerche richiamate nel webinar, il fenomeno è ormai diffusissimo e può coinvolgere una quota molto elevata dei lavoratori.
Il risultato?
L'azienda spesso non sa:
È come se ogni giocatore della squadra scegliesse autonomamente in quale stadio andare a giocare la domenica. Il talento individuale conta poco se manca completamente l'organizzazione.
Vietare l'AI sarebbe un po' come vietare Internet nel 2005: anacronistico e non funzionerebbe. Molto più efficace e lungimirante è costruire una AI Governance aziendale basata su regole chiare.
Ad esempio:
Molti incidenti di privacy e cybersecurity non derivano da vulnerabilità tecnologiche, nascono da un utilizzo non del tutto consapevole degli strumenti.
Per questo motivo l'Articolo 4 dell'AI Act introduce l'obbligo di garantire un livello sufficiente di alfabetizzazione sull'Intelligenza Artificiale per il personale coinvolto nell'utilizzo dei sistemi AI.
Un dipendente formato saprà riconoscere:
La formazione diventa quindi uno dei principali strumenti di prevenzione.
Nel calcio le squadre vincenti non sono quelle che hanno semplicemente il miglior attaccante, ma quelle che sanno come coprire la difesa per tutti i novanta minuti.
Con l'Intelligenza Artificiale vale esattamente lo stesso principio: il vero vantaggio competitivo non nasce dalla tecnologia, ma dalla capacità di governarla.