Sicurezza e conformità nell'uso dell'AI
In breve. Il rischio vero non è la sanzione: è il dato di un cliente che finisce dove non doveva, o la risposta inventata da un modello che entra in un documento firmato. Metto regole scritte attorno all'uso dell'AI già in corso in azienda, chiudo i punti dove le informazioni escono senza controllo e verifico la posizione rispetto a GDPR, NIS2 e AI Act. Dove serve un intervento dedicato faccio una gap analysis; dove basta una policy e mezza giornata di formazione, lo dico.
Che cos'è la shadow AI e perché riguarda anche te
È l'uso di strumenti di intelligenza artificiale deciso dalle singole persone, senza che l'azienda lo sappia o lo abbia autorizzato. Non nasce da insubordinazione: nasce perché lo strumento funziona e nessuno ha mai detto cosa si può e cosa non si può farci.
Il problema è che ogni incolla in una chat pubblica è una comunicazione di dati a un terzo. Se dentro c'è l'anagrafica di un cliente, un contratto, una distinta di produzione o un certificato medico di un dipendente, hai un trattamento senza base giuridica, senza informativa aggiornata e senza contratto con il responsabile esterno. E lo hai già fatto, non lo farai.
Da dove si comincia
Non da un divieto generalizzato, che viene aggirato il giorno dopo e peggiora il problema rendendolo invisibile. Si comincia da tre domande:
- 1.Quali strumenti sono in uso oggi, inclusi quelli personali usati per lavoro.
- 2.Quali informazioni ci passano dentro, divise per sensibilità: dati personali comuni, dati particolari, segreti industriali, informazioni coperte da NDA con i clienti.
- 3.Chi verifica gli output prima che diventino decisioni o documenti.
Dalle risposte escono le regole, e le regole sono poche, scritte in italiano semplice e ancorate a esempi dell'azienda, non alla norma.
Che cosa comprende l'intervento
- Policy sull'uso dell'AI: cosa si può caricare, su quali strumenti, chi approva le eccezioni, cosa fare quando un dato è già uscito.
- Configurazione degli strumenti: account aziendali al posto di quelli personali, esclusione dall'addestramento dove il contratto lo consente, conservazione delle conversazioni, registrazione degli accessi.
- Gap analysis rispetto a GDPR (artt. 5, 6, 13, 28, 32, 35), NIS2 (D.Lgs. 138/2024 dove applicabile) e AI Act, con l'elenco dei rilievi per livello e un piano di rimedio con responsabile e termine accanto a ciascuno.
- Documentazione che regge un controllo: registro dei trattamenti aggiornato con i nuovi strumenti, informative allineate, nomine ex art. 28 verso i fornitori.
- Formazione di chi usa gli strumenti, calibrata sulle funzioni.
Quando serve una valutazione d'impatto
Non sempre, e dirlo è parte del lavoro. Una DPIA ex art. 35 GDPR è dovuta quando il trattamento presenta un rischio elevato: profilazione con effetti significativi, monitoraggio sistematico, trattamenti su larga scala di categorie particolari, uso di tecnologie innovative su dati sensibili. Automatizzare la generazione di preventivi non la richiede; introdurre uno strumento che valuta le persone sì. Anche lo screening con esito negativo va però documentato: è l'evidenza che la valutazione è stata fatta.
Domande frequenti
Possiamo usare ChatGPT in azienda o è vietato?
Non è vietato. È vietato farlo senza sapere quali dati ci passano dentro. La differenza fra uso lecito e illecito sta in tre cose: account aziendale con le condizioni contrattuali giuste, regole scritte su cosa si può caricare, e informative e registro dei trattamenti allineati a quello che succede davvero.
Se un dipendente ha già caricato dati di clienti su uno strumento pubblico, cosa devo fare?
Prima di tutto accertare cosa è uscito, quando e verso chi: senza questo non si può valutare nulla. Poi valutare se si tratta di una violazione di dati personali da notificare al Garante entro 72 ore dalla conoscenza. L'errore tipico è nascondere l'episodio: una notifica tempestiva e incompleta è preferibile a una tardiva e completa, e punire chi segnala il proprio errore garantisce che il prossimo non lo segnali.
NIS2 riguarda la mia azienda?
Dipende dal settore e dalla dimensione, non dal fatturato IT. Qui la guida per capirlo.
Serve un DPO?
Nella maggior parte delle PMI manifatturiere e di servizi, no: l'art. 37 GDPR lo impone solo in casi definiti. Ma la valutazione va fatta e messa per iscritto, perché l'assenza di DPO deve risultare una decisione motivata e datata, non un'omissione. Attenzione a un dettaglio che costa caro: chiamare "DPO" il referente interno in organigrammi, firme email o biglietti da visita può valere come designazione di fatto, con tutti gli obblighi degli artt. 37-39.
Quanto dura una gap analysis?
Fra due e quattro settimane per una PMI di 20-80 persone, a seconda di quanti sistemi e fornitori ci sono di mezzo. Il tempo se ne va nella raccolta dei contratti con i fornitori, quasi mai nell'analisi.
Se l'AI è già entrata in azienda e nessuno sa dove finiscono i dati, mezz'ora basta per capire quanto è grande il problema.
Parliamone insieme, gratis