Intelligenza artificiale sui dati aziendali e GDPR: cosa sapere
Aggiornato il
In breve
Usare l'intelligenza artificiale sui dati del gestionale è compatibile con il GDPR se si definiscono i ruoli (chi è titolare e chi responsabile del trattamento, con i relativi contratti), si inviano al modello solo i dati necessari, si sa dove vengono elaborati e si escludono usi ulteriori come l'addestramento. Le operazioni approvate in sola lettura aiutano, perché limitano per costruzione quali dati l'AI può vedere.
Chi fa cosa: ruoli e contratti
- La vostra azienda resta titolare del trattamento dei dati del gestionale.
- Il fornitore che realizza e gestisce l'integrazione, se tratta dati per vostro conto, agisce come responsabile del trattamento: serve un accordo ai sensi dell'art. 28 GDPR.
- Il fornitore del modello AI è a sua volta un sub-responsabile: verificate che esista un accordo sul trattamento dei dati (DPA) e che sia elencato tra i sub-responsabili.
Solo i dati necessari
Il principio di minimizzazione chiede di trattare solo i dati che servono allo scopo. Con le operazioni approvate al modello arrivano soltanto le righe necessarie a rispondere a quella domanda, non il database; se una domanda non ha bisogno di dati personali, l'operazione può escluderli del tutto.
Dove vengono elaborati i dati
- Chiedete dove il fornitore del modello elabora e conserva i dati e per quanto tempo.
- Se l'elaborazione avviene fuori dall'Unione europea, servono garanzie adeguate per il trasferimento, come le clausole contrattuali standard o l'adesione del fornitore al Data Privacy Framework UE-USA.
- Diversi fornitori offrono l'elaborazione in Europa: è un'opzione da valutare quando si trattano dati personali.
Niente addestramento sui vostri dati
Le versioni professionali dei servizi di intelligenza artificiale, usate tramite API o contratti business, di norma escludono l'uso dei dati dei clienti per addestrare i modelli. Verificatelo nelle condizioni contrattuali del fornitore scelto: le versioni gratuite per i consumatori possono avere regole diverse.
Registro, valutazione d'impatto e sicurezza
- Aggiornate il registro dei trattamenti con il nuovo strumento e le sue finalità.
- Valutate se serve una valutazione d'impatto (DPIA, art. 35 GDPR): è più probabile se l'AI tratta su larga scala dati di dipendenti, dati sanitari o altre categorie particolari.
- Applicate misure di sicurezza adeguate (art. 32): accesso in sola lettura, permessi per ruolo, registro di ogni domanda e credenziali che non passano dal modello.
- Informate le persone interessate quando i loro dati vengono trattati in modo nuovo, per esempio i dipendenti se l'AI legge dati del personale.
E l'AI Act?
Un assistente interno che risponde a domande sui dati del gestionale in genere non rientra tra i sistemi ad alto rischio del Regolamento europeo sull'intelligenza artificiale. Restano però alcuni obblighi generali, come garantire che chi lo usa abbia una formazione adeguata sull'intelligenza artificiale (art. 4) e che sia chiaro quando si interagisce con un sistema di AI.
Questa guida offre un inquadramento generale e non sostituisce il parere del vostro consulente privacy o del DPO.
Errori da evitare
- Dare all'AI un accesso libero al database: un equivoco nella domanda può produrre numeri sbagliati che sembrano giusti.
- Caricare export in Excel su un chatbot gratuito: i dati escono dal vostro controllo e la risposta non è ricontrollabile.
- Partire da troppe domande insieme: meglio tre o cinque domande frequenti fatte bene, poi allargare.
- Non mostrare la fonte: se la risposta non indica da quali dati viene, nessuno potrà fidarsi dei numeri.