Provate a chiedere in azienda chi usa ChatGPT, Gemini, Copilot o strumenti simili. Probabilmente alzeranno la mano in molti, anche chi ufficialmente non dovrebbe. E se chiedete cosa ci incollano dentro, la risposta potrebbe preoccuparvi: email di clienti, bozze di contratti, fogli Excel con i fatturati, codice sorgente, curriculum dei candidati.
Non lo fanno per leggerezza: lo fanno perché funziona e fa risparmiare tempo. Il problema è che quando incolli un testo in un chatbot pubblico, quel testo esce dall’azienda.
Cosa succede ai dati che scrivi in un chatbot
Dipende dal servizio e dal tipo di account, ed è proprio questo il punto: molti non lo sanno. In linea generale:
- le versioni gratuite e personali dei servizi possono usare le conversazioni per migliorare i modelli, salvo che l’utente disattivi l’opzione;
- le conversazioni vengono conservate per un certo periodo sui server del fornitore, spesso fuori dall’Unione europea;
- le versioni aziendali (business, enterprise, o tramite API) di solito offrono garanzie contrattuali diverse: niente addestramento sui dati, tempi di conservazione definiti, accordi sul trattamento dei dati.
La differenza tra un account personale gratuito e uno aziendale configurato bene è enorme. Ma se in azienda ognuno usa il proprio, quella differenza nessuno la controlla.
Cosa non incollare mai in un chatbot pubblico
- Dati personali di clienti, dipendenti o candidati: nomi, contatti, codici fiscali, dati sanitari, curriculum. Qui entra in gioco anche il GDPR.
- Credenziali e chiavi: password, chiavi API, token di accesso, anche dentro pezzi di codice o file di configurazione.
- Informazioni riservate: contratti, offerte, listini, margini, piani commerciali, dati di bilancio non pubblici.
- Codice sorgente proprietario, soprattutto se contiene logiche di business o dati di accesso.
- Documenti coperti da accordi di riservatezza con clienti o partner.
Non vietare: governare
La reazione istintiva di molte aziende è vietare tutto. Funziona poco: le persone continuano a usare questi strumenti dal telefono personale, solo che a quel punto l’azienda non sa nemmeno cosa succede. Funziona molto meglio offrire un’alternativa sicura e regole chiare.
- Scegli uno o due strumenti ufficiali, con account aziendali e condizioni contrattuali che escludono l’uso dei dati per l’addestramento.
- Scrivi una policy breve, una pagina, non un trattato: quali strumenti sono ammessi, quali dati non si condividono mai, a chi chiedere in caso di dubbio.
- Insegna ad anonimizzare: spesso basta sostituire nomi e cifre con segnaposto (“Cliente A”, “importo X”) per ottenere lo stesso aiuto senza rischi.
- Forma le persone: è anche quanto chiede l’AI Act con l’obbligo di alfabetizzazione in vigore da febbraio.
- Per i casi d’uso ricorrenti, costruisci strumenti interni: un assistente collegato ai documenti aziendali, con permessi e log, è molto più sicuro di cento persone che incollano file in chat.
Un test veloce
Prima di incollare qualcosa in un chatbot, una buona regola è chiedersi: sarei tranquillo se questo testo finisse in una email inoltrata a qualcuno che non conosco? Se la risposta è no, il testo non va incollato così com’è.
L’intelligenza artificiale è uno strumento straordinario per lavorare meglio. Usarla bene significa anche sapere cosa non darle.
Vuoi una policy AI semplice per la tua azienda o un assistente interno che tenga i dati al sicuro? Scrivimi.
